Eine kleine Evolutionsgeschichte der Malware

Anbieter zum Thema

Rittal GmbH & Co. KG

AppRiver AG

Eskenzi PR Limited

Die 90er: Die eingebaute Schwachstelle und der erste Makro-Virus

Die Malware-Autoren fanden sehr schnell Mittel und Wege die bereits in der Computerarchitektur angelegten Schwachstellen auszunutzen. Eine der ersten Techniken dieser Art, die im Übrigen auch heute noch gerne verwendet wird, wurde erstmals 1988 beim Auftreten des Wurms „Morris“ beobachtet. Der berüchtigte Wurm nutzte eine Buffer-Overflow-Attacke gegen BDS-Linux-Systeme um sich weiter zu verbreiten.

Bei einer Buffer-Overflow-Attacke werden so lange Daten in den Speicher eingeschrieben, bis dieser an seine Kapazitätsgrenzen kommt und in angrenzende Speicherbereiche überläuft. Der existierende Code wird anschließend überschrieben oder auch ersetzt und anschließend in diesem neuen Speicherplatzbereich ausgeführt. Diese Technik ist auch heutzutage noch durchaus gebräuchlich. Schlicht, weil einige der gängigen Programmiersprachen keine entsprechenden Schutzmaßnahmen haben, um solche Attacken zu vermeiden.

In den frühen 90ern lernte die Malware zusätzlich die Kunst des Ausweichens. Inzwischen war aus den Anfängen der Antivirensoftware ein boomendes Business geworden. Signaturen und Hash-Werte bekannter Bedrohungen wurden erfasst, um sie wiedererkennen und so das eigentliche Ausführen der Virenaktivität verhindern zu können.

Die ersten polymorpher Viren

Die Antwort der anderen Seite ließ nicht lange auf sich warten. Mark Washburn entwickelte die erste Familie polymorpher Viren. Diese Viren ändern ihr Erscheinungsbild von Generation zu Generation, indem sie sich praktisch jedes Mal neu schreiben. Die ursprünglichen Funktionen behalten sie bei.

Dadurch, dass sich der Code kontinuierlich verändert, gelingt es dieser Virenart von Antivirensoftware weitgehend unentdeckt zu bleiben. Die sucht nämlich nur nach statischen Malware-Signaturen. Mitte der 90 er Jahre machten sich bereits etliche Malware-Familien polymorphe Viren zunutze und bauten diese gleich in die Zahlenkombinationen der Malware-Engine mit ein. Das machte die Viren umso langlebiger. “OneHalf” und “Ply” sind zwei exzellente Beispiele.

Einige Entwickler wählten einen anderen Weg als den üblichen und versteckten ihre Schadsoftware in Dokumenten, anstatt ihre potenziellen Opfer mit ausführbaren Programmen zu attackieren. Diese Stand-Alone-Varianten waren naturgemäß deutlich auffälliger. 1995 erblickte dann der erste Makrovirus das Licht der Welt.

Microsoft-Software als Ziel

Die Funktionsweise: Die Viren nutzen die Fähigkeit von „Microsoft Word“ und „Excel“ ausführbare Dateien, sogenannten „Makros“, in Dokumente einzubinden. Diese Makros werden immer dann ausgeführt, wenn die Dokumente im zugehörigen nativen Programm geöffnet werden.

Solche Makros können eine ganze Reihe von schädlichen Aktivitäten in Gang setzen. Sie laden beispielsweise Malware herunter, steuern (Malware)-Websites an oder führen jede beliebige Aktion aus, die sich der betreffende Autor ausgedacht hat.

Um solche Infektionen fürderhin zu vermeiden verzichtete Microsoft darauf, die Makro-Funktion per Default in Word und Excel zu aktivieren. Das half zwar zunächst, allerdings konnte man damit das Malware-Problem mit Makros nicht vollständig in den Griff bekommen. Ein Beispiel ist die „Cridex“-Malware-Familie, die auch 20 Jahre später noch äußerst aktiv ist.

Meslissa und Staog

Mit dem Ende des Jahrtausends umspannte das Internet inzwischen den Globus weltweit. In den USA hatten bereits 50 Prozent aller Haushalte einen Computer und fast 50 Prozent aller Haushalte verfügte über einen Internet-Anschluss. Damit waren die idealen Ausgangsbedingungen für Malware, wie wir sie heute kennen, geschaffen.

Die Dekade der 90er brachte denn auch eine ganze Reihe folgenschwerer Attacken hervor, darunter den berüchtigten „Melissa“-Virus und den ersten Linux-Virus überhaupt, „Staog“. Praktisch gleichzeitig wurde das Konzept der Botnets entwickelt, eine Gruppe automatisierter Programme, die auf miteinander vernetzten Rechnern laufen und die deren Netzwerkanbindung nutzen beziehungsweise auf deren Ressourcen zugreifen. Auf diese Weise kann ein Malware-Autor alle infizierten Systeme in einem Netzwerk zusammen betreiben und die Gesamtrechnerleistung hilft, die Malware schnell und folgenreich weiter zu verbreiten.

(ID:43599157)