--------------------------------------------------------------------- Pius Nippgen, Bergstr.12, D-6657 Gersheim 8, Tel.06843/1522 ab 18.30 --------------------------------------------------------------------- **************************************** VIRUS-CONTROL V2.0 - Bedienungsanleitung **************************************** Hallo Amigafreunde, VIRUS-CONTROL V2.0 ist das zur Zeit mit Abstand leistungsfähigste Anti-Virus-System. VIRUS-CONTROL ist resetfest und arbeitet völlig unauffällig im Hintergrund. Sie müssen also nicht extra ein Programm aufrufen und werden auch nicht andauernd von speicherplatzfressenden Windows oder Screens belästigt. VIRUS-CONTROL V2.0 überprüft sekündlich alle wichtigen Systemvektoren. Veränderungen werden mittels Requester angezeigt. Wenn Sie VIRUS-CONTROL starten oder wenn Sie eine Virus-verdächtige Diskette einlegen, so erscheint ein sogenanntes WarnWindow. Dieses Window bietet Ihnen nun eine riesige Auswahl an sinnvollen Funktionen zur Virenbekämpfung an. Sie können dieses WarnWindow auch einfach durch Tastendruck aufrufen, indem Sie die linke ALT-Taste zusammen mit Taste 0,1,2 oder 3 aus dem rechten Zehnerblock drücken. VIRUS-CONTROL V2.0 kann allerdings NOCH VIEL VIEL MEHR !!!! BITTE ARBEITEN SIE DAHER DIE FOLGENDE BEDIENUNGSANLEITUNG DURCH. Nur dann werden Sie VIRUS-CONTROL V2.0 optimal ausnutzen können. A. VIRUS-CONTROL V2.0 - ANLEITUNG: ---------------------------------- 1. Einleitung 2. Verbessserungen 3. Installierung 4. Funktionsprinzip 5. Reset-Menü 6. Boot-Menü 7. Warn-Window-Aufruf 8. Warn-Window-Auswahlmöglichkeiten 8.1 Close 8.2 Iconify 8.3 DF0: DF1: DF2: DF3: 8.4 Quit 8.5 Kill System-Virus 8.6 Info 8.7 BB -> Schirm 8.8 BB -> File 8.9 BB -> Puffer 8.10 Puffer -> BB 8.11 Grafik - BB 8.12 String-Gadget 8.13 File -> BB 8.14 Normal - BB 8.15 NoFastMem- BB 8.16 f.Checksum->NoBoot 8.17 r.Checksum-> Boot 8.18 ChipMemFirst An/Aus 8.19 FastMem An/Aus 8.20 Link-Virus-Schutz 8.21 Viren-Files suchen 8.22 Auto-Check 8.23 Puffergrößen-Gadget 8.24 Vektoren-Anzeige 9. BootBlock-Archivierungs-System 9.1 nach S:NoWarning 9.2 nach S:VirusName 9.3 Auto-Archiv 10. programminterne BB-Virus-Identifizierung 11. System-Vektoren-Kontroll-Task 12. Kill System-Virus-Requester 13. BootBlock-Schreibzugriffkontrolle 14. Wie erkenne ich einen BootBlock-Virus 15. zusätzliche Parameterangabe (CLI od. TOOLTYPES) 15.1 -t eingelegte Disks nicht testen 15.2 -k bestimmte Kickchecksum tolerieren 15.3 -c keine neuen Farben 15.4 -o alle Open-Zugriffe melden 15.5 -n nur Open-NEWFILE melden 15.6 -i auch .info-Files melden 15.7 -w jeden Disk-Schreibzugriff anzeigen 15.8 -f ArchivFiles nicht durchsuchen 15.9 -m ChipMemFirst AN 15.10 -a FastMem AUS 15.11 -e geschützte Files wieder entschützbar 15.12 -s Load-Files nicht automatisch schützen 15.13 -l Nicht-Load-Files schützbar 15.14 -u kein Auto-Check 15.15 -v Exec-Vektor-Veränderung n.melden 15.16 -p keine automatische Programm-Start-Kontrolle 16. Zusammenfassung der Tasten-Funktionen und Farb-Signale 16.1 Tasten-Funktionen 16.2 Farb-Signale 17. Anmerkung A. VIRUS-CONTROL V2.0 - ANLEITUNG: ================================== 1. EINLEITUNG: ============= VIRUS-CONTROL V1.3: erschien Anfang Mai 89 =================== als Public-Domain-Programm. VIRUS-CONTROL V1.4: erschien in der September-Ausgabe 89 des AMIGA-MAGAZINES. =================== Das Copyright von VIRUS-CONTROL V1.4 liegt daher bei dem MARKT & TECHNIK-VERLAG. VIRUS-CONTROL V2.0: vollständig neu programmiert und extrem leistungsfähig! =================== erschien zweigeteilt in der April- und Mai-Ausgabe 90 des AMIGA-MAGAZINES. Das Copyright von VIRUS-CONTROL V2.0 liegt daher bei dem MARKT & TECHNIK-VERLAG. Sie dürfen und sollen VIRUS-CONTROL V2.0 weitergeben. Nur so kann VIRUS-CONTROL V2.0 am besten seiner Aufgabe gerecht werden, nämlich der Virengefahr zu begegnen. Eine Veröffentlichung in einer Public-Domain-Serie ist aber nicht möglich, da das Copyright bei dem Markt&Technik-Verlag liegt. Womöglich kennen Sie bereits VIRUS-CONTROL V1.3 oder V1.4. Nach circa einem halben Jahr intensiver Programmierarbeit kann ich Ihnen nun VIRUS-CONTROL V2.0 vorstellen. Bereits VIRUS-CONTROL V1.3 und V1.4 zählten mit Sicherheit zu den besten Anti-Virus-Programmen. Bereits in diesen Versionen waren viele neuartige Ideen zur Virenbekämpfung realisiert. Die Programmierung von Anti-Virus-Programmen ist allerdings eine unendliche Geschichte. Neue Viren-Mechanismen erfordern eine entsprechende Antwort. Ich sah mich daher gezwungen, vielfältige Verbesserungen und Erweiterungen in VIRUS-CONTROL einzubauen. VIRUS-CONTROL V2.0 ist daher vollständig neu programmiert und in jeder Hinsicht verbessert und erweitert. Neben vielen offensichtlichen Verbesserungen, werden Sie viele Leistungssteigerungen erst bei der täglichen Benutzung schätzen lernen. Ich bin davon überzeugt, daß VIRUS-CONTROL V2.0 das zumindest momentan leistungsfähigste Anti-Virus-Programm ist. Dennoch sind mit Sicherheit weitere Verbesserungen denkbar. Auch kann ich aufgrund der Komplexität des Programmes nicht für Fehlerfreiheit garantieren. VIRUS-CONTROL sollte dennoch problemlos mit allen Amigas, Prozessoren, Kickstart V1.2+V1.3, Speichererweiterungen usw. zusammenarbeiten. Sollten Sie jedoch auf eventuelle Fehler stoßen oder Verbesserungsvorschläge haben, so wäre ich Ihnen sehr dankbar, wenn Sie mich informieren würden. Auch bin ich sehr an jeder Art von Viren interessiert. Über eine Zusendung würde ich mich sehr freuen !!. Ich danke für Ihre Mithilfe, denn nur mit Ihrer Hilfe kann ich VIRUS-CONTROL möglichst leistungsfähig gestalten. Ich möchte gleich an dieser Stelle ganz deutlich auf folgendes hinweisen: EIN ABSOLUTER SCHUTZ VOR VIREN IST UNMÖGLICH !!!!! Wenn Ihnen ein Produkt dennoch dieses vespricht, so ist dieses höchst unseriös und irreführend! Fertigen Sie möglichst immer Sicherheitskopien an! Wenn Sie VIRUS-CONTROLV2.0 einsetzen, so erhalten Sie einen größtmöglichen Schutz vor bisherigen und auch zukünftigen Viren. Es folgt nun als Appetithappen ein grober Abriß der Leistungen von VIRUS-CONTROL: - RESETFEST, auch mit 1MB ChipMem (kein setpatch r erforderlich) - kompatibel mit Kick-residenten Programmen wie RAD: ALF usw. - 100% Assembler, lauffähig mit Kickstart 1.2, 1.3, FastMem usw. - gefahrloses Booten von Virus-Disketten durch Bootsimulation - Laufwerke vertauschen und oder abschalten - resetfestes FastMem-An/Aus, resetfestes ChipMemFirst An/Aus - Disketten werden beim Einlegen und Booten automatisch überprüft - Disketten können auch durch einfachen Tastendruck überprüft werden - namentliche Erkennung von über 25 Bootblock-Viren - Schutz vor auch zukünftigen Link-Viren durch File-Schutz-Kennung - Schutz vor auch zukünftigen Link-Viren durch Open,Write-Vektor-Kontrolle - IRQ, BGS9, Terrorists, RevengeOfTheLamer-Virus-Erkennung und Entfernung - Autocheck-Option überprüft automatisch eingelegte Disk auf Virus-Files - Bootblock-ASCII-Anzeige - Bootblock kann in ein File abgespeichert werden - Bootblock kann mit einem File überschrieben werden - Bootblock mit Commodore-Original-Bootblock überschreiben (=install) - Bootblock mit NoFastMemoryBootblock überschreiben - Bootblock mit Grafik-Bootblock überschreiben - BootBlock in Puffer zwischenspeichern - Inaktivieren(NoBoot), Reaktivieren(Boot) von (Virus)disketten - sekündliche Überprüfung der Systemvektoren durch eigenen Task - jederzeit Anzeige aller veränderten System-Vektoren möglich - Anzeige aller wichtigen Systemvektoren mit Adressenangabe - aktiver Virus aus System entfernbar - aktiver Virus wird namentlich angezeigt - Schreibzugriff auf Bootblock in Lesezugriff umwandelbar - jeden Schreibzugriff auf Diskette durch Farbsignal anzeigbar - verdächtiger Bootblock kann mit einem Namen archiviert werden - verdächtiger Bootblock kann als ungefährlich archiviert werden - Auto-Archiv-Option archiviert selbstmodifizierende BB-Viren - VIRUS-CONTROL überprüft sich beim Start auf Virus-Infektion - CLI-Start oder WORKBENCH-Start - zusätzliche Parameterangabe in TOOLTYPES oder CLI möglich - Iconify-Option -> CHIP/FASTMEM + Zeit-Anzeige - es werden immer die echten BootBlock-Daten angezeigt, (auch bei Lamer) 2. VERBESSERUNGEN: ================= Die nun vorliegende Version V2.0 weist insbesondere folgende Verbesserungen auf: - der bisherige Boot-Requester wurde durch ein leistungsfähiges BOOTMENü mit zusätzlicher BootBlock-ASCII-Anzeige ersetzt: F1: BOOT-SIMULATION F2: DISK-BOOT F3: VIRUS-CONTROL-Ende F4: FastMemory AN/AUS F5: int.LW-Boot, LW AN F6: int.LW-Boot,LW AUS F7: ext.LW-Boot, LW AN F8: ext.LW-Boot,LW AUS F9: Normal - Bootblock F10: NoFastMemBootblock Allein dieses Bootmenü kann man bereits als ein leistungsfähiges Anti-Virus-Programm betrachten. Sehr nützlich ist auch die Möglichkeit Laufwerke zu vertauschen und oder abzuschalten. - resetfest, auch mit 1MB ChipMem (kein setpatch r erforderlich) - Wenn man eine Diskette einlegt, so erscheint das Warn-Window erst dann, wenn die Diskette dem Betriebssystem bekannt ist. Es kann nun also 100% mit dieser Disk gearbeitet werden. - es können nun die Laufwerke auch mittels einer Tastenkombination überprüft werden. (L-SHIFT + 0-3(Zehnerblock)) - namentliche Erkennung von über 25 Bootblock-Viren ASS, BamigaSectorONE, ByteBandit, 16BitCrew, DASA(ByteWarrior), DiskDoctors, Gadaffi, Graffiti, HCS, 5 verschiedene Lamer!-BB-Viren, LSD, MicroMaster, Obelisk, PentagonCircleVirusSlayer, Phantasmumble, Revenge, SCA, Starfire(NorthStar), OldNorthStar, SystemZV3.0,V4.0,V5.0, TimeBomb, UltraFox - VIRUS-CONTROL V2.0 versucht sich nun immer zu installieren, auch bei bereits infiziertem System. Der aktive Virus wird hierbei namentlich angezeigt. - Kill System-Virus noch leistungsfähiger - jederzeit Anzeige aller veränderten System-vektoren möglich - Vektoren werden nun immer mit Adressenangabe angezeigt - resetfestes FastMem-An/Aus, resetfestes ChipMemFirst An/Aus jederzeit An/Aus möglich (auch schon vor dem Booten) - Schreibzugriff auf Diskette optisch sichtbar machen - IRQ-Link-Virus erkennen und entfernen - BSG9-File-Virus erkennen und entfernen - Terrorists-File-Virus erkennen und entfernen - Revenge-Of-The-Lamer-File-Virus erkennen und entfernen - mittels der Auto-Check-Option können diese Viren auch bereits beim Einlegen einer Diskette erkannt werden - das Link-Virus-Schutz-System und Suche Viren-Files kann nun auf einmal komplette Disketten oder Festplatten untersuchen - OpenVektorKontrolle zeigt zusätzlich den Zugriffsmodus an ferner wird nun auch der Write-Vektor kontrolliert, die zu schreibenden Daten werden angezeigt. - bei einem BootBlock-Schreibzugriff werden die zu schreibenden Daten nun auch angezeigt - Bootblock mit Grafik-Bootblock überschreiben - BootBlock in Puffer zwischenspeicherbar - verbessertes und flexibleres Archivierungs-System. mittels der Auto-Archiv-Option können auch selbstmodifiziernde BootBlock-Viren archiviert werden. - der OpenError-Requester zeigt nun zusätzlich den Filenamen + Errorcode an - Iconify-Option -> CHIP/FASTMEM + Zeit-Anzeige - VIRUS-CONTROL überprüft sich beim Start auf Virus-Infektion - VIRUS-CONTROL zeigt immer die echten BootBlock-Daten an, so kann z.B. der LamerVirus keinen Standard-Bootblock mehr vortäuschen - Weiterhin wurden viele, meist unsichtbare Detailverbesserungen vorgenommen. (z.B. wenn VIRUS-CONTROL aktiv ist, kann z.B. der ByteBandit oder Lamer-Virus keine Disketten mehr infizieren) usw. usw. 3. INSTALLIERUNG: ================ VIRUS-CONTROL wird im CLI oder in der startup-sequence mit oder ohne run gestartet. Auch ein WorkBench-Start wird unterstützt. Zusätzliche Parameter können im CLI oder in ToolTypes eingetragen werden. Näheres siehe unter 15. zusätzliche Parameter. VIRUS-CONTROL prüft, ob es bereits installiert wurde und gibt eine diesbezügliche Meldung aus. Auch wird erkannt, ob bereits VIRUS-CONTROLV1.3 oder V1.4 installiert ist. VIRUS-CONTROL überprüft sich beim Start immer automatisch auf Veränderungen oder einen eventuellen Link-Virus-Befall. Sollte sich also ein Virus an das Programm gelinkt haben, so wird dieses mittels Requester angezeigt. Erst nach Anklicken des Requesters wird VIRUS-CONTROL installiert. (es existieren z.B. VirusX-Versionen, an welche der Lamer-Virus gelinkt ist). Man kann das Erscheinen des Warn-Requesters verhindern, indem man VIRUS-CONTROL mit -p startet. Hierdurch wird die automatische Start-Kontrolle abgeschaltet. Es erscheint also trotz verändertem VIRUS-CONTROL-Programm kein Warn-Requester mehr. Beim Start von VIRUS-CONTROL wird geprüft, ob bereits ein Virus aktiv ist. Es erfolgt eine namentliche Anzeige dieses Virus. Mittels des folgenden Kill-System-Virus-Requesters können Sie den Virus deaktivieren. VIRUS-CONTROLV2.0 bietet die Möglichkeit an, einen resetfesten und keinen Speicherplatz verbrauchenden Laufwerk-Selektor zu installieren (s.u.). Sollte diese Routine installiert sein, so erfolgt eine entsprechende Meldung. 4. FUNKTIONSPRINZIP: =================== VIRUS-CONTROL wird bei einem Reset über den COLD und COOL-Vektor angesprungen. Es wird nun geprüft, ob die LINKE MAUSTASTE gedrückt ist. Wenn ja, wird VIRUS-CONTROL entfernt. Wenn nein, zeigt ein weiß-blaues Farb-Signal an, daß VIRUS-CONTROL weiterhin das System kontrolliert. Es wird nun der DOIO-Vektor auf VIRUS-CONTROL verbogen. Ab jetzt wird bei jedem DOIO-Aufruf geprüft, ob ein Zugriff auf eine Diskette ab Track 0 efolgt. Dies ist beim gleich folgenden Booten und auch beim normalen Einlegen einer Diskette der Fall. Ferner verbiegt VIRUS-CONTROLV2.0 auch den BeginIO-Vektor des trackdisk.devices. VIRUS-CONTROL installiert ferner einen Task, welcher sekündlich alle wichtigen Systemadressen auf Veränderungen überprüft. Dieser Task wiederum installiert einen Prozeß, welcher die Disketten überprüft. Auch bindet VIRUS-CONTROL einen Inputhandler ein usw. usw. usw. VIRUS-CONTROL benötigt nur wenig Rechenzeit und belästigt Sie auch nicht permanent mit einem störenden Window. Installieren Sie also möglichst immer VIRUS-CONTROL ! Ein großer Vorteil von VIRUS-CONTROL ist seine Reset-Festigkeit. Leider gibt es einige wenige Programme (z.B.manche Intros,Spiele), welche völlig willkürlich auch eventuell schon belegten Speicher beschreiben. So kann es passieren, daß VIRUS-CONTROL zumindest teilweise überschrieben wird. Auch einige Anti-Virus-programme oder auch Viren sind sehr unsauber programmiert und vertragen sich daher nicht mit VIRUS-CONTROL. 5. RESET-MENÜ: ============= Der Amiga bootet nur dann von einer Diskette, wenn folgende zwei Bedingungen erfüllt sind: Die Diskette muß die DOS-Kennung besitzen, die Bootblockchecksumme muß stimmen. Ist nun der Bootcode der Diskette ungleich dem Standard-Bootcode, so handelt es sich um eine 'verdächtige Disk', da es sich ja um einen Bootblock-VIRUS handeln könnte. Es kann sich aber auch um ein harmloses Boot-Intro oder ein selbststartendes Spiel usw. handeln. Angenommen es wurde ein Reset ausgelöst und der Amiga versucht nun zu booten. Sollte das BootLaufwerk leer sein, so erscheint das Reset-Menü.(verhinderbar durch Drücken von R-ALT) LEER-TASTE -> BOOT-VERSUCH F3: VIRUS-CONTROL-Ende F4: FastMemory AN/AUS F5: int.LW-Boot, LW AN* F6: int.LW-Boot,LW AUS F7: ext.LW-Boot, LW AN F8: ext.LW-Boot,LW AUS Mittels der Leer-Taste kann ein Bootversuch unternommen werden, welcher mit der bekannten Amiga-Hand endet, wenn das Laufwerk weiterhin leer ist und auch kein sonstiges Auto-Boot möglich ist. Mit der Funktonstaste F4 wird ein eventuelles FastMem abwechselnd AN bzw. AUS geschaltet. F5-F8 dient zum Einstellen der Laufwerk-Konfiguration. Ein Stern(*) kennzeichnet die aktuelle Laufwerk-Konfiguration. Normalerweise ist F5 int.LW-Boot, LW AN eingestellt. Das heißt als Boot-Laufwerk wird das interne Laufwerk verwendet, und eventuelle externe Laufwerke bleiben eingeschaltet. Mit F6 bleibt das interne Laufwerk weiterhin das Boot-Laufwerk, eventuelle externe Laufwerke werden allerdings nicht aktiviert. Da jedes Laufwerk circa 20 KB Speicherplatz benötigt, wird somit pro jedes nicht aktivierte Laufwerk 20 KB gewonnen. Mit F7 wird ein eventuelles externes Laufwerk zum Boot-Laufwerk. Alle übrigen Laufwerke bleiben eingeschaltet. Sollte man mehrere externe Laufwerke besitzen, so wird das 'äußerste Laufwerk' zum BootLaufwerk. Mit F8 wird ebenfalls ein eventuelles externes Laufwerk zum Boot-Laufwerk. Alle sonstigen Laufwerke werden allerdings nicht aktiviert. Da jedes Laufwerk circa 20 KB Speicherplatz benötigt, wird somit pro jedes nicht aktivierte Laufwerk 20 KB gewonnen. Es ist also z.B. möglich von einem externen 5 1/4 Zoll-Laufwerk zu booten, wobei das interne Laufwerk abgeschaltet wird, und somit keinen Speicher belegt. Das softwaremäßige Ausschalten von Laufwerken ist insbesondere für die Amiga-User nützlich, deren Laufwerk keinen Ausschalter besitzt. Durch das Vertauschen der Laufwerke wird nun das externe Laufwerk mit df0: angesprochen. Normalerweise klappt diese Laufwerk-Vertauschung und oder Abschaltung problemlos. Lediglich Kopierprogramme ignorieren meist die Laufwerk- Vertauschung und oder Abschaltung. Da sich diese Programme nicht der üblichen Betriebssystem- funktionen bedienen, sondern direkt auf die Hadrware zugreifen, wird hier natürlich eine softwaremäßige Abschaltung bzw. Vertauschung wirkungslos. Mit F3 wird VIRUS-CONTROL beendet, und somit auch kein Speicher mehr belegt. Lediglich im Falle einer Laufwerksvertauschung/abschaltung wird ein kleines Programm, welches für die jeweilige Laufwerkeinstellung zuständig ist, über COLD- und COOL-Vektor resetfest installiert. Das Programm wird im Supervisor-Stack abgelegt und belegt somit keinen Speicher. Als Zeichen, daß weiterhin der Laufwerk-Vertauscher(+Ausschalter) aktiv ist, erscheint bei jedem Reset ein gelbes Farb-Signal. Man kann auch diese Routine entfernen, indem man während des Resets die linke Maustaste drückt. Nach dem Anwählen von F3,F5-F8 wird softwaremäßig ein Reset ausgelöst. Dies ist erforderlich, da man die Laufwerke nur direkt nach einem Reset vertauschen bzw. ausschalten kann. Unter Umständen wird z.B. eine autokonfigurierende Speichererweiterung durch den Softwarereset nicht eingebunden. In diesem Fall sollten Sie zusätzlich CTRL,L-Amiga,R-Amiga drücken, um einen echten Hardware-Reset auszulösen. 6. BOOT-MENÜ: ============ Handelt es sich bei der Boot-Diskette um eine verdächtige Disk, so erscheint ein sogenanntes BootMenü. Das Erscheinen dieses BootMenüs kann auch bei nicht verdächtigen Disks durch Drücken von L-ALT erzwungen werden. F1: BOOT-SIMULATION F2: DISK-BOOT F3: VIRUS-CONTROL-Ende F4: FastMemory AN/AUS F5: int.LW-Boot, LW AN F6: int.LW-Boot,LW AUS F7: ext.LW-Boot, LW AN F8: ext.LW-Boot,LW AUS F9: Normal - Bootblock F10: NoFastMemBootblock ASCII-Anzeige des Bootblocks Das Boot-Menü ist also ähnlich wie das Reset-Menü aufgebaut. Für F3,F4, F5-F8 lesen Sie bitte die obigen Erläuterungen. Es erfolgt eine ASCII-Anzeige des Bootblocks im Boot-Laufwerk. Mit F9 kann man diesen Bootblock mit dem Normal-Bootblock (=Install) überschreiben. Mit F10 kann man diesen Bootblock mit einem NoFastMem-Bootblock überschreiben. Mit F1 erfolgt eine ungefährliche Boot-Simulation !! Wird F2 angewählt, so erscheint ein weiterer Requester, welcher auf die Gefahr des Aktivierens von Bootblock-Viren durch das echte Disk-Boot hinweist. Einige wenige Boot-Intros oder Spiele sind äußerst timing-abhängig programmiert und laufen daher mit Disk-Boot nicht. Wenn man durch Drücken von R-ALT das Erscheinen des Boot-Menüs verhindert, laufen in Regel auch diese seltenen Programme. Normalerweise erscheint bei leerem Boot-Laufwerk das Reset-Menü. Das Reset-Menü erscheint nicht, wenn ab Erscheinen des blau-weißen Farb-Signals R-ALT gedrückt wird. Normalerweise erscheint das Boot-Menü vor dem Booten von einer verdächtigen Diskette. Durch Drücken von R-ALT wird sofort von der verdächtigen Disk gebootet. Durch Drücken von L-ALT erscheint auch bei nicht verdächtigen Disketten das Boot-Menü. R-ALT bzw. L-ALT wird ab Erscheinen des blau-weißen Farb-Signals niedergedrückt. Durch das Erscheinen des Reset oder Boot-Menüs wird ein Standard- WorkBench-Screen geöffnet (640*256). Hierdurch wird eine eventuelle Überbreite der system-configuration später nicht mehr berücksichtigt. Durch Drücken von R-ALT kann man dieses bei Bedarf verhindern. 7. WARN-WINDOW-AUFRUF: ===================== Da die VIRUS-CONTROL-Funktionen mittels des Warn-Windows angewählt werden, muß also zuvor dieses Warn-Window aufgerufen werden. Hierfür gibt es folgende Möglichkeiten. - Einlegen einer verdächtigen Diskette - Einlegen einer beliebigen Diskette bei gedrückter L-ALT-Taste - gewünschtes Laufwerk mittels Tastenkombination anwählen L-ALT + 0(Zehnerblock) -> DF0: L-ALT + 1(Zehnerblock) -> DF1: L-ALT + 2(Zehnerblock) -> DF2: L-ALT + 3(Zehnerblock) -> DF3: - erneutes Aufrufen von VIRUS-CONTROL - das Close-Gadget des Iconify-Windows anklicken - im Warn-Window selber kann durch Anklicken des entsprechenden Laufwerk-Gadgets auf dieses Laufwerk gewechselt werden Wird während der Arbeit mit dem Amiga eine verdächtige Diskette eingelegt, so wird dieses durch das Erscheinen eines Warn-Windows deutlich gemacht. Hält man während des Disk-Einlegens die RECHTE ALT-TASTE gedrückt, so wird die Diskette nicht durch VIRUS-CONTROL überprüft. Hält man während des Disk-Einlegens die LINKE ALT-TASTE gedrückt, so erscheint auch bei nicht verdächtigen Disks das Warn-Window. Auch beim erneuten Starten von VIRUS-CONTROL (ohne -t) oder beim Anwählen eines Laufwerks mittels Tastendruck (L-ALT+0-3(Zehnerblock)) wird immer ein Warn-Window ausgegeben. Man kann somit auch mit nicht verdächtigen Disketten arbeiten. Ebenso wird beim Anklicken des Close-Gadgets des Iconify-Windows immer ein Warn-Window ausgegeben. Kann aufgrund von Speichermangel das Warn-Window nicht geöffnet werden, so wird dieses durch eine kurze Schwarzfärbung des Bildschirms angezeigt. Wenn Auto-Check eingestellt ist, so wird beim Einlegen einer Diskette und bei allen oben aufgeführten Warn-Window-Aufruf-Möglichkeiten zuerst die Diskette nach Viren-Files durchsucht (Näheres siehe unter 8.22 Autocheck) Sollte hierbei ein Virus-File gefunden werden, so wird die "Viren-Files suchen"-Option des Warn-Windows aufgerufen, in der dann die komplette Diskette nach Viren-Files durchsucht werden kann. Hierbei können dann die Viren-Files restauriert bzw. entfernt werden. Normalerweise ist AutoCheck eingestellt (ist mit -u abstellbar) 8. WARNWINDOW-AUSWAHLMÖGLICHKEITEN: ================================== Das Warn-Window bietet eine Vielzahl sehr nützlicher Möglichkeiten an, welche durch Drücken des entsprechenden Gadgets ausgewählt werden. 8.1 Close-Gadget: ---------------- Das Anklicken des CLOSE-Gadgets beendet die Arbeit mit der Diskette und das Warn-Window wird geschlossen. 8.2 Iconify: ----------- Das Anklicken von 'Iconify' beendet ebenfalls die Arbeit mit der Diskette und das Warn-Window wird geschlossen. Anstelle des Warn-Windows erscheint nun aber ein sogenanntes Iconify-Window, welches Ihnen immer die aktuelle Speichersituation und Uhrzeit anzeigt. Durch Anklicken des Close-Gadgets erhalten Sie wieder das Warn-Window. Wenn Sie z.B. mit einem Malprogramm arbeiten, welches auch den Speicher benötigt, welcher durch Schließen der Work-Bench erhalten werden kann, so dürfen Sie Iconify nicht benützen, da dann wegen des offenen Windows die Work-Bench nicht geschlossen werden kann. Hierin liegt ein großer Vorteil von VIRUS-CONTROL, da mittels des Close-Gadgets des Warn-Windows VIRUS-CONTROL völlig unsichtbar wird. Die meisten anderen Anti-Virus-Programme hingegen belegen permanent wertvollen Speicher aufgrund offener Windows oder Screens. 8.3 DF0: DF1: DF2: DF3: ---------------------- Durch Anklicken dieser Gadgets können sie das entsprechende Laufwerk überprüfen 8.4 Quit: -------- Das Anklicken von 'Quit' entfernt VIRUS-CONTROL. Es wird 100% der Speicher wieder freigegeben, den VIRUS-CONTROL belegt hat. Viele andere Anti-Virus-Programme sind in dieser Hinsicht unsauber pro- grammiert und geben nicht mehr den gesamten belegten Speicher wieder frei. Sollten zwischenzeitlich im Reset/Boot-Menü die Laufwerke neu konfiguriert worden sein, so bleibt ein entsprechender, kein Speicherplatz verbrauchender Handler installiert. Hierauf wird mittels Requester verwiesen. 8.5 Kill System-Virus: --------------------- Ein Anklicken von 'Kill System-Virus' versucht einen aktiven Virus zu eliminieren, indem unter anderem alle wichtigen Systemvektoren restauriert werden. Näheres siehe unter 12. Kill System-Virus-Requester. 8.6 Info: -------- Copyright-Hinweis und Adressenangabe des Programmautors. 8.7 BB -> Schirm: ---------------- Ein Anklicken von 'BB -> Schirm' zeigt den gesamten Bootblock (1024 Bytes) als ASCII-Dump an. Diese Funktion ist sehr nützlich, da sich viele BootBlock-Viren durch gewisse Strukturen zu erkennen geben. Im Gegensatz zu allen anderen bisherigen Anti-Virus-Programmen zeigt VIRUS-CONTROL V2.0 garantiert immer die echten BootBlock-Daten an. VIRUS-CONTROL V2.0 hat somit auch keine Probleme mit dem Lamer-Virus. Durch Anklicken des Fensters oder durch einen Tastendruck gelangt man in das Warn-Window zurück. 8.8 BB -> File: -------------- Ein Anklicken von 'BB -> File' schreibt den gesamten Bootblock(1024 Bytes) in ein File, dessen Name im unteren String-Gadget eingegeben wird. 8.9 BB -> Puffer: ---------------- Ein Anklicken von 'BB -> Puffer' legt den aktuellen Bootblock in einem programminternen Puffer ab. Mit diesem Puffer kann nun jederzeit der BootBlock einer Diskette überschrieben werden. Hierzu wird das folgende Gadget angeklickt: 8.10 Puffer -> BB: ----------------- Ein Anklicken von 'Puffer -> BB' überschreibt den BootBlock der Diskette mit dem Puffer. 8.11 Grafik - BB: ---------------- Durch Anklicken von 'Grafik - BB' wird ein BootBlock auf Diskette geschrieben, welcher beim Booten ein weiß-blaues Farb-Signal ausgibt. Wenn nun in Zukunft beim Booten kein Farbsignal mehr erscheint, so ist der BootBlock überschrieben worden. Dies ist eine sehr einfache und dennoch wirksame Schutzmethode gegen BootBlockViren. Es gibt nun neuerdings aber BootBlock-Viren (neuere Lamer-Viren), welche den Original-BootBlock einfach von Block 0,1 auf Block 2,3 verschieben. Beim Booten wird nun zuerst der BootBlock-Virus auf Block 0,1 aktiviert und dann der frühere Original-BootBlock ausgeführt. Es würde also nach wie vor das FarbSignal ausgegeben werden und man würde sich zu Unrecht in Sicherheit glauben. Es lassen sich somit durch diesen BootBlock-Virus-Typ alle bisherigen Anti-Virus-Programme täuschen. Nicht jedoch VIRUS-CONTROL V2.0 !! Der VIRUS-CONTROL-Grafik-BootBlock überprüft nämlich, ob er sich auch wirklich noch auf Block 0,1 befindet. 8.12 String-Gadget: ------------------ VIRUS-CONTROL benutzt bei allen Aktionen, bei denen ein Name erforderlich ist, den im String-Gadget unten eingegebenen Namen. Bei File-Namen muß der genaue Pfadname einschließlich Basisverzeichnis angegeben werden (z.B. DF0:aaa/bbb) Beim Archivieren wird nur der Name angegeben, da S:NoWarning/ bzw. S:VirusName/ automatisch vorgegeben wird. 8.13 File -> BB: --------------- Ein Anklicken von 'File -> BB' überschreibt den Bootblock mit einem File, dessen Name im String-Gadget angegeben wird. Mit dieser Möglichkeit, den Bootblock in ein File abspeichern zu können, und dieses File auch wieder auf den Bootblock schreiben zu können, kann man sehr einfach von allen wichtigen Disketten eine Bootblockkopie anfertigen, und somit notfalls den Original- Bootblock wiederherstellen. 8.14 Normal - BB: ---------------- Durch das Anklicken von 'Normal-BB' wird der Original-Amiga-Bootblock auf Diskette geschrieben (entspricht 'install'). Durch diese Funktion kann also ein BootBlock-Virus von der Diskette gelöscht werden. 8.15 NoFastMem-BB: ----------------- Durch das Anklicken von 'NoFastMem-BB' wird eine Bootblockroutine auf Diskette geschrieben, die das FastMem schon zu Beginn des Bootvorgangs abschaltet. Der Rechner verhält sich so, als ob er nur ChipRam besitzen würde. Ein blaues Farbsignal zeigt die NoFastMem-Routine an. Hält man während des Resets die linke Maus- taste gedrückt, so wird die NoFastMem-Routine nicht ausgeführt. 8.16 f.Checksum -> NoBoot: ------------------------- Durch das Anklicken von 'f.Checksum -> NoBoot' wird eine falsche Bootblock-Checksumme auf die Diskette geschrieben, wodurch von der Diskette nicht mehr gebootet werden kann. Ein eventueller BootblockVirus ist dadurch (vorübergehend) unschädlich gemacht. 8.17 r.Checksum -> Boot: ------------------------ Durch das Anklicken von 'r.Checksum -> Boot' kann die Bootblock-Checksumme allerdings auch wieder korrigiert werden. Dadurch kann von der Diskette wieder gebootet werden, und somit auch ein eventueller Virus aktiviert werden. r/f.CHECKSUM ändert nur die BootBlock-Checksumme. Der BootBlock-Inhalt bleibt also voll erhalten. 8.18 ChipMemFirst AN/AUS: ------------------------ Diese Option ist z.B. bei Intros usw. empfehlenswert, welche nicht gezielt Chip-Mem anfordern. Hierbei wurde nicht bedacht, daß es auch Amigas mit mehr als 512 KB gibt. Dieser Speicherbereich(FastMem) wird, wenn nicht gezielt Chip-Mem angefordert wird, vor ChipMem belegt. Dies hat zur Folge, daß z.B. Grafik- oder Musik-Daten im FastMem abgelegt werden, wodurch sie von den Custom-Chips nicht mehr erreicht werden können. Es kommt daher zu Grafik- und Soundfehlern. Das Amigabetriebssystem belegt also möglichst FastMem, wenn der zu belegende Speicher nicht näher beschrieben wird. Dies geschieht aus dem Grund, weil ChipMem kostbarer als FastMem ist. (maximal 1MB ChipMem, aber bis zu 9MB FastMem möglich). Nachteilig ist dieses Verfahren aber bei dem oben beschriebenen unsauberen Programmierstil. VIRUS-CONTROL bietet daher auch die Möglichkeit an, ChipMem bevorzugt vor FastMem zu belegen. Diese sogenannte ChipMemFirst-Option wird mit -m, bzw. durch Anklicken des entsprechenden Gadgets resetfest eingestellt. 8.19 FastMem AN/AUS: ------------------- Es geht um das bereits bei ChipMemFist beschriebene Problem. Anstatt das Problem mittels ChipMemFirst zu lösen, kann man auch den radikaleren Weg mit FastMem AUS gehen. 8.20 LINK-VIRUS-SCHUTZ: ====================== Bisher gibt es erst zwei Methoden, sich gegen Link-Viren zu schützen. Das eine sind Programme, welche den IRQ-LinkVirus entfernen können. Positiv ist, daß man wieder das Originalfile zurückerhält. Der große Nachteil dieser Programme ist, daß sie nur diesen einen Link-Virus entfernen können. Bei zukünftigen Link-Viren werden diese Programme unwirksam sein. Das andere sind Programme, welche die Filelänge und eine File-Prüfsumme in einer separaten Datei abspeichern. Mit Hilfe dieser Datei kann man nun überprüfen, ob die Files noch unverändert sind. Diese Methode ist durchaus wirksam, aber sie erfordert sorgfältiges Vorgehen und ist recht umständlich. VIRUS-CONTROL ZEICHNET SICH NUN DURCH ZWEI ABSOLUT NEUARTIGE SCHUTZMÖGLICHKEITEN GEGENÜBER AUCH ZUKüNFTIGEN LINK-VIREN AUS. Die eine Methode verbiegt den OpenFile,WriteFile,CloseFile-Vektor und ist unter Punkt 9.1.3 erklärt. Nun zu der zweiten neuartigen Link-Viren-Schutz-Methode. Wie schon gerade erwähnt bestand bisher der Schutz vor Link-Viren darin, die Filelänge und eine Prüfsumme über den Fileinhalt in einer separaten Datei abzuspeichern. Man kann nun regelmäßig mit Hilfe der Datei überprüfen, ob die Files noch unverändert sind. Dieses Verfahren ist zwar recht wirksam, aber leider sehr unkomfortabel. Man muß immer mit einer zusätzlichen Diskette hantieren, auf welcher man die Prüf-Datei abgespeichert hat. Meist muß man sogar mit mehreren Prüfdateien arbeiten, z.B. eine Prüfdatei für die Festplatte, eine Prüfdatei für die Startup- Diskette, eine weitere Prüfdatei für die Extras-Diskette, und noch weitere Prüfdateien für weitere wichtige Disketten. Dieses Verfahren wird dadurch leider etwas umständlich und unübersichtlich. Ich löste dieses Problem dadurch, indem ich die Originalfilelänge und Originalprüfsumme nicht in eine extra Prüfdatei schreibe, sondern indem ich diese Werte direkt an das File anhänge. Das umständliche Hantieren mit verschiedenen Prüfdateien entfällt vollständig. Das VIRUS-CONTROL-File-Schutz-System hat einen weiteren großen Vorteil. Angenommen Sie erstellen ein gutes Programm, schützen es mit VIRUS-CONTROL, und lassen es dann als PublicDomain ver- treiben. Das Programm verbreitet sich nun über die ganze Welt und geht somit durch tausende Hände. Hierbei ist ein hohes Infektionsrisiko gegeben. Schließlich erhält ein Amigafan in z.B. Japan das Programm. Er kann nun einfach mittels VIRUS-CONTROL prüfen, ob sich das Programm noch im Originalzustand befindet. Das VIRUS-CONTROL-File-Schutz-System kann also weltweit wirksam werden, eine Prüfdatei hingegen kann nur von privatem Nutzen sein. Das File-Schutz-System wird mit dem Gadget 'LINK-VIRUS-SCHUTZ' aufgerufen. Es wird nun das im String-Gadget angegebene File nach der VIRUS-CONTROL-Schutz-Kennung durchsucht. Weist das File noch keine Schutz-Kennung auf, so wird, sofern es sich um ein load-file handelt, automatisch eine File-Schutz-Kennung angebracht. Wenn man VIRUS-CONTROL mit -s aufruft, oder wenn man 'AUTO-SCHÜTZEN AUS' durch Anklicken setzt, so wird ein File erst nach Rückfrage geschützt. Nicht-Load-Files wie z.B. Texte usw. werden nur beachtet, wenn -l oder 'NichtLoadFiles AN' gesetzt wird. In dem Fall kann man auch Nicht-Load-Files (nach Rückfrage) schützten. Im Normalfall werden NichtLoadFiles aber ignoriert, da es oftmals nicht sinnvoll ist, z.B. ein Text-File zu schützen. Anstatt eines einzelnen Filenamens sind auch Verzeichnis-Angaben erlaubt. Hierbei werden auch eventuell enthaltene Unterverzeichnisse bearbeitet. Dieses bequeme automatische Durcharbeiten eines kompletten Verzeichnisses kann jederzeit durch das gleichzeitige Drücken von L-SHIFT + R-SHIFT gestoppt werden. Weist ein File bereits die Schutz-Kennung auf, so wird nun geprüft, ob die aktuelle Filelänge noch der in der File-Schutz-Kennung abgespeicherten Original-Filelänge entspricht. Weiterhin wird mittels einer File-Check-Summe geprüft, ob sich der Fileinhalt verändert hat. Sollte sich die Filelänge oder der Fileinhalt verändert haben, so erscheint ein Requester, welcher auf den vermutlichen Link-Virus-Befall hinweist. Mittels des Requesters ist es nun möglich das File wieder zu entschützen. Beim nächsten File-Schutz-Durchgang würde dieses File dann wieder mit einer neuen File-Schutz-Kennung versehen werden. Mit File-Entschützen kann jedoch kein Link-Virus entfernt werden, denn da Amiga-DOS für load-files einen sehr flexiblen Aufbau gestattet, sind sehr viele Link-Viren-Typen denkbar. Es ist also völlig unmöglich ein generelles Link-Virus-Entfern-Programm zu schreiben. Vielmehr muß für jeden Link-Virus gezielt ein spezielles Entfernprogramm erstellt werden. Es empfiehlt sich also folgende Vorgehensweise, um sich vor Link-Viren zu schützen. - Sicherheitskopien von den Original-Files anfertigen !! - Original-Files schützen ( mit 'LINK-VIRUS-SCHUTZ') - regelmäßig prüfen (mit 'LINK-VIRUS-SCHUTZ'), ob Files noch unverändert sind. - Wird jedoch eine Fileveränderung festgestellt, so deutet dies auf einen Link-Virus hin. Man entfernt nun diesen Link-Virus einfach dadurch, indem man das verdächtige Programm mit dem Original-Programm überschreibt. Dieses neue Programm sollte nun sofort wieder geschützt werden usw. Durch das Anklicken von 'LINK-VIRUS-SCHUTZ' werden also noch ungeschützte Files geschützt und bereits geschützte Files auf Veränderung überprüft. Dieses geschieht weitgehend automatisch. Wird jedoch 'AUTO-SCHÜTZEN AUS' gesetzt, so muß das 'File schützen' extra bestätigt werden. Es empfiehlt sich, beim ersten Mal die Verzeichnisse automatisch schützen zu lassen. Dannach sollte man aber 'AUTO-SCHÜTZEN AUS' setzen, denn dadurch wird man in Zukunft extra mittels Requester darauf aufmerksam gemacht, wenn ein neues File im Verzeichniss vorliegt. Ein Virus könnte durchaus ein gefährliches Programm erstellen, bzw. ein vorliegendes Programm einfach überschreiben. Dieses kann nun nicht mehr übersehen werden. Wenn eine File-Veränderung festgestellt wird, so muß auch diese wegen eines womöglichen Link-Virus-Befalls extra bestätigt werden. Wenn man VIRUS-CONTROL mit -e aufruft oder 'ENTSCHÜTZEN AN' durch Anklicken setzt, so bietet VIRUS-CONTROL die Möglichkeit an, das File zu entschützen, die File-Schutz-Kennung also wieder zu entfernen, wodurch das Original-Programm wieder erhalten wird. In der Regel ist dieses aber nicht sinnvoll. Ferner erkennt VIRUS-CONTROLV1.4 Files, welche mit der Public-Domain-Version VIRUS-CONTROLV1.3 geschützt wurden. Es wird die Möglichkeit, das File zu entschützen, angeboten. Danach kann das File mit V1.4 neu geschützt werden. VIRUS-CONTROLV1.3 prüft nur auf Filelängenveränderung. VIRUS-CONTROL zeigt alle File-Schutz-Vorgänge am Bildschirm an. Ferner wird ein dauerhaftes Protokoll als S:VCprotokoll angelegt. VIRUS-CONTROL ist das bisher erste zuverlässige und komfortable System zum Erkennen von auch zukünftigen Link-Viren ! Man sollte die C:, L:, LIBS:, und DEVS: -Verzeichnisse schützen, da es sich hier um load-files(=ausführbare Programme) handelt, welche entweder von Benutzer selber (C:), oder vom Betriebssystem aufgerufen werden (L:,LIBS:,DEVS:). Bei diesem Aufruf könnte dann ein Link-Virus aktiviert werden. Info-Files werden generell nicht geschützt. Nicht-load-files werden erst nach Rückfrage geschützt, da es normalerweise nicht sehr sinnvoll ist, nicht ausführbare Programme zu schützen. Meine File-Schutz-Kennung läßt sich aufgrund des 'hunk'-Aufbaus völlig problemlos an load-files anhängen. Für Nicht-load-files ist jedoch eine universelle File-Schutz-Kennung völlig undenkbar, da diese Files ja völlig willkürlich aufgebaut sind. Man muß also ausprobieren, ob ein Nicht-load-file auch nach Schützen noch voll funktionsfähig ist. Wenn nicht, kann es wieder entschützt werden. Lediglich in den folgenden Fällen erscheint es sinnvoll, Nicht-load-files zu schützen. 1.) Es ist denkbar, daß sich ein Virus-Programm in die startup-sequence oder mountlist schreibt. Beim Abarbeiten dieser Files beim Booten könnte dann der Virus aktiviert werden. Ein Schützen dieser Files ist durchaus möglich, da die angehängte Fileschutzkennung lediglich als nicht ausführbarer Befehl gewertet wird. Wenn man nun aber diese Files abändert, so erhält man logischerweise beim Aufruf von 'LINK-VIRUS-SCHUTZ' eine Link-Virus-Warnung. Man sollte nun das File entschützen, und durch einen erneuten Aufruf von 'LINK-VIRUS-SCHUTZ' neu schützen lassen. 2.) Es ist denkbar, daß sich Viren gezielt in Compiler-Libraries einhängen. Jedes in Zukunft entwickelte Programm würde nun mit infiziertem Code gelinkt werden. Ich habe daher versucht, die Aztec-Libraries zu schützen. Dieses ist problemlos möglich und somit auch sehr empfehlenswert. Inwieweit sich auch bei anderen Compilern die Libraries schützen lassen, kann nur ein Versuch zeigen. 8.21 Viren-Files suchen: (IRQ,BGS9,Terrorists,RevengeOfTheLamer) --------------------------------------------------------------- Es wird das angegebene File oder das angegebene Verzeichnis (einschließlich aller Unterverzeichnisse) nach IRQ,BGS9, Terrorists und RevengeOfTheLamer-Virus-Files durchsucht. Infizierte Files werden mittels Requester angezeigt. Bei mit dem IRQ-Link-Virus infizierten Programmnen kann fast immer das Originalfile wiederhergestellt werden. Aufgrund des äußerst flexiblen Fileaufbaus gelingt eine Rekonstruktion jedoch nicht immer. VIRUS-CONTROL kopiert deswegen das infizierte File unter den Filenamen mit der Endung .IRQ. Sollte nun das rekonstruierte File nicht laufen, so haben Sie nach wie vor das infizierte File. Im Normalfall aber wird das Originalfile erfolgreich wiederhergestellt und Sie können das File mit der Endung .IRQ löschen. Die meisten IRQ-Link-Virus-Entfernprogramme arbeiten sehr unbefriedigend. Nur wenige rekonstruierte Files sind lauffähig und das infizierte Originalfile wird unwiderbringlich gelöscht. VIRUS-CONTROL ist viel leistungsfähiger, da es fast immer die Originalfiles rekonstruieren kann. Sollte aber dennoch ein File nicht rekonstruierbar sein, so bleibt Ihnen zumindest das infizierte und meist lauffähige Originalfile erhalten. Sollte ein BGS9-Virus-File gefunden werden, so wird versucht das Originalfile mit Hilfe von (devs/)$a0$a0$a0$20$20$20$a0$20$20$20$a0 zu restaurieren. Sollte ein solches Original-File nicht vorhanden sein, so können sie zumindest das BGS9-Virus-File löschen. Sollte ein Terrorists-Virus-File gefunden werden, so wird versucht das Originalfile mit Hilfe von $a0$20$20$20$a0$20$20$a0$20$a0$a0 zu restaurieren. Sollte ein solches Original-File nicht vorhanden sein, so können sie zumindest das Terrorists-Virus-File löschen. Sollte ein RevengeOfTheLamer-Virus-File gefunden werden, so können Sie dieses Virus-File löschen lassen. In s/startup-sequence wird dann der Aufruf dieses Files ebenfalls gelöscht, indem der Filename mit Leerzeichen überschrieben wird. 8.22 Autocheck: --------------- Es wird bei jeder eingelegten Diskette das c/dir-File und das erste File der startup-sequence auf IRQ,BGS9,Terrorists-Virus-Infektion untersucht. Ferner wird das Vorhandensein eines $a0a0a0a0a0-Files (RevengeOfTheLamer) überprüft. Durch Anklicken von Autocheck AN/AUS oder durch Aufrufen von VIRUS-CONTROL mit -u wird diese Prüfung unterlassen. Im Normalfall wird durch den AutoCheck ein IRQ,BGS9,Terrorists und RevengeOfTheLamer-Virus-Befall erkannt. Dennoch sollten Sie ab und zu die komplette Diskette (oder Festplatte) mittels "Viren-Files suchen" durchsuchen lassen, da aufgrund einer veränderten startup-sequence auch andere Files infiziert werden können. Die Autocheck-Funktion überprüft wirklich das erste echte File der startup-sequence und läßt sich nicht wie viele andere Anti-Virus-Programme durch z.B. Kommentarzeilen irritieren. 8.23 Puffergrößen-Gadget: ------------------------ Beim 'LINK-VIRUS-SCHUTZ' oder 'Viren-Files suchen' werden jeweils ganze Verzeichnisse einschließlich aller Unterverzeichnisse bearbeitet. Hierbei wird ein Puffer zur Zwischenspeicherung der Filenamen benötigt. Standardmäßig ist eine Puffergröße von 70000 Bytes eingestellt. Beim kompletten Durcharbeiten von Festplatten mit über 30 MB kann unter Umständen dieser Puffer nicht ausreichen. Dies wird durch einen Requester angezeigt. In diesem Fall kann mittels des Puffergrößen-Gadgets ein größerer Puffer eingestellt werden. VIRUS-CONTROL kann mindestens 25 verschachtelte Verzeichnisstufen auswerten und mit eventuell größer eingestelltem Puffer auch problemlos zum Beispiel eine optische Platte mit 600 MB komplett überprüfen. Viele andere Anti-Virus-Programme stürzen bei einer größeren Fileanzahl einfach ab. Bei VIRUS-CONTROL sind derartige Befürchtungen unbegründet. Auf eventuelle Speicherplatzprobleme weist VIRUS-CONTROL mittels Requester hin. 8.23 Vektoren-Anzeige: --------------------- Durch Anklicken dieses Gadgets kann man sich jederzeit einen umfassenden Überblick über alle wichtigen veränderten System-Vektoren verschaffen. Sollte man durch -k oder -v das automatische Anzeigen gewisser Vektor- Veränderungen unterbunden haben, so wird man durch "Vektor-Anzeige" sinnvollerweise dennoch über eventuelle Veränderungen an diesen Vektoren informiert. 9. BOOTBLOCK-ARCHIVIRUNGS-SYSTEM: ================================ VIRUS-CONTROL V2.0 bietet Ihnen die Möglichkeit an, BootBlöcke zu archivieren. Dieses kann nun auf zweierlei Arten geschehen. 9.1 nach S:NoWarning: -------------------- Ungefährliche Nicht-Standard-BootBlöcke können durch Anklicken von 'nach S:NoWarning' in dem Verzeichnis S:NoWarning unter dem im Stringgadget angegebenen Namen abgespeichert werden. Geben Sie als BootBlock-Filename nur den echten Namen ohne Pfad an, da automatisch S:NoWarning vorangesetzt wird. Bei Nichtbeachtung erhalten Sie einen OpenError. Sollte der abzuspeichernde Bootblock bereits im S:NoWarning- Verzeichnis vorhanden sein, so kann man diesen Bootblock nun löschen oder umbennen. Wird nun in Zukunft eine Diskette eingelegt, deren BootBlock im S:NoWarning-Verzeichnis abspeichert ist, so wird anstatt des Warn-Window lediglich ein kurzes rotes Farb-Signal ausgegeben. Diese Option empfiehlt sich für Disketten, welche zwar einen Nicht-Standard-BootBlock besitzen, aber dennoch harmlos sind. (z.B Intros,Spiele) Die können jedoch das Erscheinen des Warn-Windows mit Anzeige des Filenamens erzwingen, indem Sie beim Einlegen der Diskette L-ALT gedrückt halten. Dies ist manchmal sinnvoll, wenn Sie erfahren möchten, wieso diese Diskette als ungefährlich gewertet wird. Wenn Sie also den Archivierungs bzw. Filenamen des BootBlocks erfahren möchten, unter dem er in S:NoWarning abgespeichert ist. Aus Sicherheitsgründen wird auf 100%-Gleichheit mit den Files in S:NoWarning geprüft, da harmlose Nicht-Standard-BootBlöcke in der Regel immer gleich sind. Dennoch kann man VIRUS-CONTROL veranlassen, nur einen bestimmten Bereich des BootBlocks zu vergleichen. Dies geschieht mit Hilfe von "Auto-Archiv". Siehe hierzu unter Punkt 9.3 Auto-Archiv. Dies ist zum Beispiel bei manchen Boot-Intro-Generator-Programmen sinnvoll, da sich hier die erstellten BootBlöcke aufgrund frei zu wählender Texte und Farben geringfügig unterscheiden. Wenn also der mittels Auto-Archiv ermittelte Bereich gleich ist, so wird der BootBlock als gefunden betrachtet und es wird kein Warn-Window ausgegeben. 9.2 nach S:VirusName: -------------------- Durch Anklicken von 'nach S:VirusName' wird der BootBlock in dem Verzeichnis S:VirusName unter dem im Stringgadget angegebenen Namen abgespeichert. Geben Sie als BootBlock-Filename nur den echten Namen ohen Pfad an, da automatisch S:VirusName vorangesetzt wird. Bei Nichtbeachtung erhalten Sie einen OpenError. Sollte der abzuspeichernde Bootblock bereits im S:VirusName- Verzeichnis vorhanden sein, so kann man diesen Bootblock nun löschen oder umbennen. Wird nun in Zukunft eine Diskette eingelegt, deren BootBlock im S:VirusName-Verzeichnis abspeichert ist, so wird im Warn-Window zusätzlich der Name angezeigt, unter dem der BootBlock archiviert wurde. Mit dieser Möglichkeit kann man also auch zukünftige BootBlock-Viren, (oder Nicht-Standard-BootBlöcke) VIRUS-CONTROL bekannt machen. VIRUS-CONTROL kann dadurch also nicht veraltern !! VIRUS-CONTROL V2.0 speichert die BootBlöcke als 1024 Byte lange Einzelfiles in dem S:VirusName- oder S:NoWarning-Verzeichnis ab. Unter VIRUS-CONTROL V1.3 und VIRUS-CONTROL V1.4 wurden die BootBlöcke jeweils in nur ein Archiv-File gespeichert, welches somit mit der Anzahl abgespeicherter BootBlöcke immer länger wurde. Es existierte also ein S:VirusName-File und ein S:NoWarning-File. Unter VIRUS-CONTROLV2.0 wird nun anstatt des Einzel-Files ein Verzeichnis benutzt. Die alte Archivierungsmethode hatte den Vorteil, daß sich ein Einzelfile schneller durchsuchen läßt. Ein Einzelfile hat aber den Nachteil der mangelnden Transparenz. Man sieht nicht welche BootBlöcke in dem File abgespeichert sind. Am einfachsten und flexibelsten ist die neue Archivierungs-Methode. Man kann nun die erhaltenen BootBlock-Files beliebig weiterverarbeiten und auch anderen Anti-Virus-Programmen zuführen. Auch kann man die Files z.B. zum Speichern oder Wiederherstellen von BootBlöcken benutzen. Wenn man einen BootBlock archivieren will, so wird automatisch erkannt, ob noch die alten VIRUS-CONTROLV1.3/V1.4-Archiv-Einzel-Files vorhanden sind. Ist dies der Fall, so wird automatsich eine Konvertierung in das neue Archivformat vorgenommen. In dem früheren S:NoWarning-File wurden lediglich die reinen BootBlöcke abgespeichert. Auf ein Abspeichern von Namen wurde verzichtet, da der Sinn des S:NoWarning-Files ja eben das Verhindern einer Anzeige war. Ich benutze daher bei der Konvertierung des alten S:NoWarning-Files als neue Filenamen willkürlich "001" usw. Wenn eine verdächtige Disk eingelegt wird, so wird zuerst das S:NoWarning-Verzeichis durchsucht. Wird ein 100%-gleicher BootBlock oder ein 100%-gleicher Auto-Archiv-Bereich gefunden, dann wird lediglich ein rotes Farb-Signal ausgegeben und es erscheint kein Warn-Window. Bleibt die Suche in S:NoWarning erfolglos, dann wird in S:VirusName nach einem zumindest 92%-gleichen BootBlock oder 100%-gleichen Auto-Archiv-Bereich gesucht. Es erscheint nun immer das Warn-Window. Sollte die Suche erfolgreich gewesen sein, so wird der entsprechende Archivierungs- bzw. FileName zusätzlich im Warn-Window angezeigt. Hält man beim Disketten-Einlegen L-ALT gedrückt, so wird immer ein Warn-Window ausgegeben. Sollte die Suche in S:NoWarning nach einem 100%-gleichen BootBlock-File oder einem 100%-gleichen Auto-Archiv-Bereich erfolgreich gewesen sein, so wird dieser FileName im Warn-Window angezeigt. Wenn nicht, so wird in S:VirusName weitergesucht und ein eventuell gefundenes BootBlock-File (mindestens 92%-gleiches BootBlock-File oder 100%-gleicher Auto-Archiv-Bereich) im WarnWindow angezeigt. Das Drücken von L-ALT dient also dazu, daß bei erfolgreicher Suche in S:NoWarning anstatt eines roten Farb-Signals das Warn-Window mit dem entsprechenden FileName ausgegeben wird. Ein Durchsuchen der Archiv-Files unterbleibt, wenn VIRUS-CONTROL mit -f gestartet wird. (auch mittels ArchivFiles An/Aus einstellbar). Noch eine Anmerkung zum Durchsuchen der Archiv-Files. Beim Vergleichen des BootBlocks der eingelegten Diskette mit den BootBlock-Files im S:NoWarning-Verzeichnis wird ein BootBlock nur dann als gefunden betrachtet, wenn er wirklich 100% gleich ist oder wenn ein 100%-gleicher Auto-Archiv-Bereich vorhanden ist. Beim Vergleichen des BootBlocks der eingelegten Diskette mit den BootBlock-Files im S:VirusName-Verzeichnis wird ein BootBlock dann als gefunden betrachtet, wenn er mindestens zu 92% gleich ist oder wenn ein 100%-gleicher Auto-Archiv-Bereich vorhanden ist. Da die meisten Bootblock-Viren Infektionszähler und auch andere veränderliche Daten beinhalten kann man nicht auf 100%-Gleichheit prüfen. Dennoch sollte man sich aber auch nicht mit z.B. lediglich 80%-Gleichheit zufrieden geben, da man dann viele Viren-Klones nicht mehr unterscheiden kann. 9.3 Auto-Archiv: --------------- Neuerdings gibts es auch selbstmodifizierende BootBlock-Viren. Bei diesen Viren übereinstimmen verschiedene BootBlöcke meist nur bis zu 2%. Eine Erkennung des Virus, indem auf 92%-Gleichheit geprüft wird, schlägt also fehl. Ich habe daher folgende Möglichkeit eingebaut: Sie können bestimmen, ob nur ein bestimmter Teil des BootBlocks vergleicht werden soll, denn zumindest die Dekodierroutine ist auch bei einem selbstmodifizierenden Virus immer gleich. Normalerweise vergleicht VIRUS-CONTROL immer den gesamten BootBlock. Wenn Sie den BootBlock-Namen aber mit z.B. {18-49}beginnen, so wird nur der Bereich ab einschließlich Byte 18 bis einschließlich Byte 49 verglichen, wobei man ab 0 zählt (das erste Byte ist also das Byte 0). Wenn dieser Bereich 100% gleich ist, wird das BootBlock-File als gefunden betrachtet. Durch diese Möglichkeit kann VIRUS-CONTROL nicht veraltern, da es sich sogar an selbstmodifizierende Viren anpassen läßt. Es ist sinnvoll immer erst ab Byte 12 suchen zu lassen, da dadurch die Checksumme übersprungen wird, denn diese ist in der Regel meist verschieden. Wenn Sie also einen selbstmodifizierenden BootBlock-Virus haben, so können Sie absichtlich eine weitere Diskette infizieren, und dann diese zwei verschiedenen BootBlöcke auf gleiche Datenbereiche untersuchen. Den größten gleichen Bereich können Sie dann in {} am Anfang des Filenamens angeben. VIRUS-CONTROL bietet Ihnen mit 'Auto-Archiv' die Automatisierung dieses Vorgehens an. Hierzu gehen sie folgendermaßen vor. Sie klicken 'Auto-Archiv' an. Ein Requester zeigt Ihnen nun an, unter welchem Namen der BootBlock-Virus archiviert wird (Inhalt des unteren String-Gadgets). Dann erscheint ein Requester, mit dessen Hilfe Sie das BootBlock-File entweder nach S:NoWarning oder S:VirusName speichern können. Danach erscheint ein Requester, welcher Sie auffordert, eine Diskette einzulegen. Nachdem Sie dies getan haben, klicken Sie 'JA' an. Danach erscheint wieder der Requester und Sie legen die zweite Diskette ein. Sie klicken wieder 'JA' an. VIRUS-CONTROL ermittelt nun den größten gleichen Daten-Bereich und modifiziert den eingegebenen Filenamen entsprechend. Die eben besprochene Möglichkeit, auch selbstmodifizierende BootBlock-Viren zu archivieren ist leider doch recht gefährlich und aufwendig. Anfänger sollten daher diese Möglichkeit nicht benutzen !! 10. programminterne Identifizierung von über 25 BootBlock-Viren: =============================================================== Man kann also BootBlock-Viren mittels des Archivierungssystems erkennen. Der Vorteil dieser Methode ist der, daß auch zukünftige BootBlock-Viren erkannt werden können, indem diese neue Viren einfach archiviert werden. Der Nachteil des Archivierungsystems ist der, daß selbstmodifizierende BootBlock-Viren etwas schwieriger in der Handhabung sind. Aus diesem Grund erkennt VIRUS-CONTROLV2.0 programmintern alle mir im Moment bekannten (auch selbstmodifizierenden) Viren. Man ist also nicht auf die Archivierung-Files angewiesen. Es werden programmintern erkannt: ASS, BamigaSectorONE, ByteBandit, 16BitCrew, DASA(ByteWarrior), DiskDoctors, Gadaffi, Graffiti, HCS, 5 verschiedene Lamer!-BB-Viren, LSD, MicroMaster, Obelisk, PentagonCircleVirusSlayer, Phantasmumble, Revenge, SCA, Starfire(NorthStar), OldNorthStar, SystemZV3.0,V4.0,V5.0, TimeBomb, UltraFox. 11. SYSTEMVEKTOREN-KONTROLL-TASK: ================================ VIRUS-CONTROL kann also mit Sicherheit das Eindringen von BOOTBLOCK-VIREN verhindern, da es verdächtige Disketten anzeigt, und eine gefahrlose Bootsimulation anbietet. Ferner zeigt VIRUS-CONTROL mittels des leistungsfähigen File-Schutz-Systems sehr zuverlässig LINK-VIREN an. Denkbar sind allerdings auch sogenannte FILE-VIREN, welche sich z.B. als normaler CLI-Befehl tarnen. z.B. ein neu programmierter dir-Befehl, welcher beim Aufruf den Virus installiert. Aber auch solche Viren werden von VIRUS-CONTROL erkannt, da VIRUS-CONTROL extra einen SEPARATEN TASK ZUR VEKTORENKONTROLLE installiert. Dieser Task überprüft sekündlich den Cool-Vektor, den Cold-Vektor, die KICK-Vektoren, alle Exec-Library-Funktions- Vektoren, die Auto-Interrupt-Vektoren, die ExecLibrary-Interrupt- Vektoren, den BeginIO-Vektor der trackdisk.device-Struktur und den Supervisor-Stack auf Veränderungen. Wird eine Veränderung festgestellt, so wird mittels Requester exakt die jeweilige Veränderung angezeigt. 12. KILL-SYSTEM-VIRUS-REQUESTER: ================================ Nach Anklicken von 'ENDE' wird normal weitergearbeitet. Ein Anklicken von 'VIRUS-ENTFERN-VERSUCH' bewirkt das Erscheinen eines weiteren Requesters. Man kann anwählen, ob auch zusätzlich ein Reset ausgelöst werden soll. Wählt man Virus-Entfern-Versuch ohne Reset an, so kann man in der Regel normal weiterarbeiten. Sicherer ist jedoch der Virus-Entfern-Versuch mit Reset, da hierbei auch z.B. Viren-Tasks entfernt werden, welche z.B permanent die Vektoren verbiegen. Der 'VIRUS-ENTFERN-VERSUCH' bewirkt, daß der DOIO- und COOL-Vektor neu auf VIRUS-CONTROL gesetzt werden. Die Interrupt-Vektoren und der BeginIO-Vektor werden auf eventuelle ROM-Werte gesetzt. Ferner werden der COLD-Vektor, die KICK-Vektoren, sowie die unteren 5120 Bytes des Supervisorstacks gelöscht, da sich hier oft Viren einnisten. Der 'VIRUS-ENTFERN-VERSUCH' kann jedoch in einem Absturz enden, da VIRUS-CONTROL mit dem Virus kollidiert. Allerdings ist die KILL-SYSTEM-VIRUS-Routine sehr wirksam und führt nur selten zum Absturz. Es werden alle mir bekannten Viren sauber entfernt. Dennoch empfehle ich, den Virus durch Ausschalten des Amigas zu entfernen, denn nur diese Methode kann wirklich sicher sein. Sollte man es einem Virus erlaubt haben, sich im System zu installieren, indem man im 'KILL SYSTEM VIRUS'-Requester 'Ende' anklickt, so kann man dennoch später jederzeit versuchen, den Virus zu entfernen, bzw. VIRUS-CONTROL wieder voll zu installieren. Dieses wird durch den separat laufenden VIRUS-CONTROL-Task möglich. Durch gleichzeitiges Drücken von L-ALT + R-ALT wird der 'KILL SYSTEM VIRUS'-Requester aufgerufen. Das Erscheinen des KILL-SYSTEM-VIRUS-Requesters kann also 3 Ursachen haben: - Benutzer drückt L-ALT + R-ALT - Im WARNWINDOW wird KILL-SYSTEM-VIRUS angeklickt - der Systemvektoren-Kontroll-Task meldet eine Veränderung Über alle obengenannten Vektoren können sich Viren in das System einbinden. Die Änderungen an den Vektoren können aber auch von seriösen Programmen herrühren. So verbiegt das Disketten-Cache-Programm FACC ebenfalls den BeginIO-Vektor der trackdisk.device-Struktur. (Eine Anmerkung zu FACC: FACC nach VIRUS-CONTROL starten und vor VIRUS-CONTROL beenden). Verschiedene resetfeste Festplatten- und Druckertreiber verbiegen die Kick-Vektoren. Die resetfeste RAM-Disk RAD: benutzt ebenfalls die KICK-Vektoren. Als Name wird ramdrive.device usw. ausgegeben. Aber Vorsicht, ein Virus könnte sich ebenfalls unter diesem Namen resetfest machen. Der setpatch-Befehl verbiegt den Alert-Vektor und den AllocEntry-Vektor. Der nofastmem-Befehl verbiegt den AllocMem-Vektor und den AvailMem-Vektor. Manche Sound-player verbiegen den Interrupt 3. Xoper verbiegt den Switch-Vektor. VIRUS-CONTROL bindet sich somit mit Absicht über den COOL-Vektor und den DOIO-Vektor in das System ein, denn diese werden in der Regel nicht von seriösen Programmen benutzt. Insbesondere bei Veränderungen an COLD, COOL, DOIO, SENDIO, KICK und BEGINIO-Vektor muß an einen Virus gedacht werden !! Man kann Viren nicht streng in BOOTBLOCK-Viren, LINK-VIREN und FILE-VIREN unterteilen. Durch Kombination wird die Gefährlichkeit des Virus erhöht. 13. BOOTBLOCK-SCHREIBZUGRIFFKONTROLLE: ===================================== VIRUS-CONTROL zeigt vor jedem Schreibzugriff auf den BootBlock die zu schreibenden Daten an. Dies kann sehr aufschlußreich sein. Durch Eingabe von 'j' wie JA wird der BootBlock beschrieben. Durch Eingabe von 'n' wie NEIN wird ein Beschreiben des BootBlocks verhindert. Wenn Sie eine Diskette formatieren oder kopieren, müssen Sie natürlich das Beschreiben des BootBlocks erlauben. Sollte auf Ihrem System bereits ein Virus aktiv sein, der den DOIO-Vektor verbogen hat, so kann es nach Verschwinden des Windows zum Absturz kommen. Aber auch in diesen seltenen Fällen ist dieses Feature sehr sinnvoll, da man erstens den Virus-Schreibzugriff erkennt und zweitens auch sieht, was geschrieben werden soll. 14. Wie erkenne ich einen BootBlock-Virus ? ========================================== Um herauszufinden, ob es sich bei einem verdächtigen Bootblock wirklich um einen Virus handelt, kann man folgendermaßen vorgehen: Man bootet mit installiertem VIRUS-CONTROL von der verdächtigen Disk, aktiviert also bewußt einen eventuellen Virus. Alle eingelegten Disketten sollten schreibgeschützt sein, damit sich der eventuelle Virus nicht verbreiten kann. Auch müssen Sie vorher von Ihrer Festplatte ein Backup fertigen, da manche Viren die Festplattendaten unbrauchbar machen (z.B. DASA,Gadaffi) Handelte es sich um einen Virus, so wird dieser manche System-Vektoren verändern und diese Veränderungen werden Ihnen nun mittels Requester angezeigt. Anschließend muß der Amiga ausgeschaltet werden, da dies die einzig wirklich sichere Methode ist, um einen aktiven Virus zu entfernen. Die zweite und zugleich einzige 100% sichere Methode, um einen Bootblock- Virus zu identifiziern ist jedoch auch die gefährlichste Methode. Man bootet OHNE VIRUS-CONTROL von der verdächtigen Disk, und legt eine nicht schreibgeschützte, nicht infizierte Diskette ein. Nun schaltet man den Amiga aus, wartet circa 20 Sekunden, schaltet den Amiga wieder ein, bootet von einer sauberen Disk, startet VIRUS-CONTROL und legt die nicht schreibgeschützte Diskette ein. Wenn die Diskette nun verdächtig geworden ist, so handelte es sich um einen Virus. Die Diskette sollte sofort 'überschrieben' werden, damit man später nicht versehentlich von dieser Diskette bootet, und somit den Virus aktiviert und dadurch weiterverbreitet. 15. ZUSÄTZLICHE PARAMETERANGABE: =============================== Es können zusätzliche Parameter sowohl beim CLI-Start, als auch beim WorkBench-Start(ToolTypes) angegeben werden. Die Parameter bestehen aus einem Minuszeichen mit einem direkt folgenden Buchstaben. Die Reihenfolge der Parameter ist egal. Es werden Groß- und Kleinbuchstaben akzeptiert. 15.1 -t (kein [-t]est): ----------------------- Beim Aufrufen des VIRUS-CONTROL-Pogrammes wird immer ein DF0:-Warn-Window ausgegeben. Anschließend werden alle weiteren eingelegten Disketten überprüft und nur bei Virus-Verdacht ebenfalls ein Warn-Window ausgegeben. Durch Angabe von -t werden beim Aufrufen des VIRUS-CONTROL-Programmes die eingelegten Disketten nicht überprüft und es erscheint somit auch kein Warn-Window. 15.2 -k ([-k]ickChecksum): -------------------------- Wenn Sie z.B. mit einer Auto-Boot-Festplatte arbeiten oder wenn Sie regelmäßig mit einem resetfesten Programm arbeiten, so kann es lästig werden, nach jedem Reset die entsprechenden Kick-Vektoren-Requester wegzuklicken. Sie können daher VIRUS-CONTROL eine KickChecksum angeben, bei deren Auftreten keine Meldung mehr erfolgen soll. Die entsprechende KickChecksum können Sie in dem Requester ablesen. Die Eingabe sollte ohne das $-Zeichen erfolgen, da manche Shells dieses Zeichen nicht durchlassen. 15.3 -c (keine [-c]olor): ------------------------- Ein weiß-blaues Farb-Signal signalisiert bei jeder neu eingelegten Diskette das korrekte Arbeiten von VIRUS-CONTROL. Dieses optische Zeichen kann man durch Aufrufen von VIRUS-CONTROL mit -c (minus color) abschalten. Um die Warn-Window-Grafik besser zur Geltung zu bringen, werden vorübergehend neue Workbenchfarben gesetzt. Dieses wird ebenfalls durch -c verhindert. 15.4 -o (Check[-O]pen:All): Alle Open-Zugriffe melden ------------------------------------------------------ Ein Aufruf von VIRUS-CONTROL mit -o bewirkt ein Verbiegen des OpenFile-Vektors. Es erscheint nun vor jedem Filezugriff ein Requester, mittels welchem der Filezugriff erlaubt oder verboten werden kann. Leider kann man nicht vorhersagen, ob der Zugriff schreibend oder lesend sein wird, denn alle 3 Zugriffsmodi (MODE_NEWFILE,MODE_OLDFILE,MODE_READWRITE) erlauben gleichzeitig Lesen und Schreiben !!!!. Leider sind Bezeichnungen wie read-only völlig irreführend. MODE_OLDFILE öffnet ein bestehendes File zum Lesen oder Schreiben, auch andere Programme können weiterhin mit MODE_OLDFILE sowohl lesend als auch schreibend auf dieses File zugreifen. (Gefahr von Datenvermischung bzw. verlust, wenn geschrieben wird, wenn jeder nur lesend auf File zugreift, keine Gefahr). MODE_READWRITE öffnet ein bestehendes File zum Lesen oder Schreiben, andere Programme können nicht gleichzeitig auf dieses File zugreifen. (also nie Gefahr) MODE_NEWFILE öffnet ein File zum Lesen oder Schreiben, ein eventuell bestehendes File wird gelöscht. andere Programme können nicht gleichzeitig auf dieses File zugreifen. (also nie Gefahr) Diese Filezugriffskontrolle kann sehr nützlich für das Erkennen von Link-Viren sein. Link-Viren breiten sich nicht über den Bootblock aus, sondern sie hängen sich an bestehende Files. Sie verlängern also diese Files und werden durch das Aufrufen dieser Programme aktiviert. Wenn sich nun ein Link-Virus an ein Programm hängen will, so kann der Filezugriff mittels des Requesters erkannt und verhindert werden. Meist wird man diese Option gezielt zum Aufspüren eines Virus verwenden. Diese Option ist auch nützlich, um zu erkennen, auf welche weiteren Files ein Programm zugreift. Im Normalfall wird man jedoch ohne -o arbeiten, da das häufige Erscheinen der Requester doch sehr lästig ist. Sie können jedoch das Erscheinen der Requester durch das Drücken der CTRL-Taste verhindern. Es wird in diesem Fall sofort zur Original- Open-Routine gesprungen. 15.5 -n (CheckOpen:[N]ew): Alle Open-Zugriffe melden ----------------------------------------------------- Abhilfe schafft auch die -n -Option. Hierbei werden nur die MODE_NEWFILE-Open-Zugriffe kontrolliert. Solche Zugriffe erfolgen in der Regel nur beim Erstellen eines neuen Files, wobei ein eventuelles altes File überschrieben wird. Diese MODE_NEWFILE- Zugriffe sind also immer gefährlich, wohingegen MODE_OLDFILE- Zugriffe meist nur in Lese-Absicht erfolgen und somit meist ungefährlich sind. Wie aber bereits oben erwähnt kann sehr wohl auch ein Schreibzugriff folgen. VIRUS-CONTROL kontrolliert daher auch den Write-Vektor und meldet sowohl bei -o wie -n einen eventuellen Schreibzugriff. Hierbei werden die ersten 1024 Bytes der zu schreibenden Daten angezeigt. Durch Drücken von 'j' wird der Schreibzugriff erlaubt. Durch Drücken von 'n' wird der Schreibzugriff nicht ausgeführt. Hält man CTRL gedrückt, wird der Schreibzugriff sofort vorgenommen. (Bei dem "OpenFile-Vektor" handelt es sich um die dos.library- Funktion mit dem Offset -30. Man kann also den Zugriff auf Files kontrollieren. Man darf dieses nicht mit dem Starten von Programmen verwechseln. Das Starten von Programmen wird also nicht kontrolliert. Dieses wäre auch unsinnig, da andauernd irgendwelche Programme gestartet werden. Wenn allerdings ein Link-Virus sich an ein File hängen will, so wird er hierzu die OpenFile-Funktion benutzen, und dieses wird erkannt.) 15.6 -i (auch Zugriff auf [i]nfo-Files melden): ----------------------------------------------- Normalerweise meldet VIRUS-CONTROL nicht den Zugriff auf .info-Files, denn andernfalls müßte man beim Anklicken eines Icons mehrmals die Zugriffe auf die .info-Files erlauben. Wenn Sie aber VIRUS-CONTROL zusätzlich mit -i starten, so werden auch die .info-Files kontrolliert. 15.7 -w ([-w]rite-control): --------------------------- Der schreibende Zugriff auf eine Diskette wird durch ein orangenes Farb-Signal angezeigt. Diese Option wird man meist auch nur gezielt bei der Suche nach (Link-)Viren einsetzen. Ursprünglich wollte ich folgendes erreichen: 1. Das Programm, welches schreibend zugreift sollte angezeigt werden Leider werden alle Schreibzugriffe dem file-system-process übergeben. Es greift also immer nur der file-system-process schreibend zu. 2. Es sollte angezeigt werden, welches File beschrieben wird. Es ist sehr aufwendig, die Blöcke einem File zuzuordnen. Der umgekehrte Weg wäre bedeutend einfacher. Erschwerend kommt hinzu, daß man zwei völlig verschiedene Verfahren auswerten muß. Das Amiga-DOS-Standard-Format und das FastFileSystem. 3. Es sollte der Schreibzugriff auf jedes Speichermedium angezeigt werden, also auch Festplatten usw. Es gibt jedoch keinen verbindlichen Festplatten-Standard. Das heißt es existieren viele verschiedene Festplatten-devices mit eben unterschiedlichen Device-Namen. Man kann softwaremäßig sowieso nicht jeden Schreibzugriff anzeigen, da direkte Einsprünge ins ROM denkbar sind oder aber auch die direkte Programmierung der Hardware. Aufgrund dieser vielfältigen Probleme und Bedenken habe ich mich anderen Programmierideen zugewandt. Ich möchte an dieser Stelle auf einen weiteren Sachverhalt hinweisen. Ursprünglich wollte ich das Anzeigen,Abspeichern und Beschreiben nicht nur von Disketten-Bootblöcken ermöglichen. (also auch z.B. Festplatten-Bootblöcke bearbeiten). Ich habe diese Idee aufgrund folgender Überlegungen verworfen. Nur bei Disketten wird der Bootblock als solcher benutzt. Bei anderen Speichermedien wird der Bootblock (das sind die ersten 2 Blöcke einer Partition) meist ignoriert. Manche Festplattentreiber legen Partitionsdaten, Fehlertabelle usw. auf z.B Zylinder 0 ab. Dieses hat allerdings nichts mit dem Bootblock einer Partition zu tun. Da ein verbindlicher Festplattenstandard nicht existiert, kann jeder Festplattentreiber die Festplatte unterschiedlich verwalten. Man kann daher leider keine universellen Hilfsmittel für Festplatten programmieren. Es ist also Aufgabe der Festplatten- treiberanbieter, entsprechende Hilfsmittel mitanzubieten. Die einzig wirklich sichere Methode vor Datenverlust ist aber nach wie vor das Anfertigen von Backups bzw. Sicherheitskopien. Sollte Ihre Festplatte nun aus welchen Gründen auch immer Schwierigkeiten machen, so formatieren Sie die Platte neu und kopieren die Sicherheitskopien auf die Platte. Diese Methode ist zwar langwierig, dafür aber einfach und sicher. 15.8 -f ([-f]iles nicht durchsuchen): -------------------------------------- Beim Einlegen einer Diskette wird S:NoWarning, S:VirusName nicht durchsucht. Näheres siehe unter Punkt 9. 15.9 -m (Chip[-m]emfirst AN): ------------------------------ ChipMem bevorzugt vor FastMem belegen. Näheres siehe unter Punkt 8.18 15.10 -a (F[-a]stmem AUS): -------------------------- FastMem AUS. Näheres siehe unter Punkt 8.19 15.11 -e (geschütztes File wieder [-e]ntschützbar): --------------------------------------------------- Näheres siehe unter Punkt 8.20 15.12 -s (Load-File erst nach Rückfrage, also nicht auto[-s]chützen): -------------------------------------------------------------------- Näheres siehe unter Punkt 8.20 15.13 -l (Nicht-[L]oad-Files schützbar): --------------------------------------- Näheres siehe unter Punkt 8.20 15.14 -u (A[u]to-Check): ------------------------ kein Auto-Check. Näheres siehe unter Punkt 8.22 15.15 -v (Exec-[V]ektoränderung nicht melden): --------------------------------------------- Wie bereits unter Punkt 11. erwähnt, überprüft VIRUS-CONTROL sekündlich alle wichtigen System-Vektoren. Sollte eine Veränderung festgestellt werden, so wird dieses mittels Requester angezeigt. Dieses kann jedoch unter Umständen auch lästig sein, denn manchmal verändern auch Nicht-Virus-Programme System-Vektoren. So verbiegt z.B. der setpatch-Befehl den Alert- und AllocEntry-Vektor. Der nofastmem-Befehl verbiegt den AllocMem- und AvailMem-Vektor. Xoper verbiegt den Switch-Vektor. Wenn Sie also sicher sind, daß die Veränderung an dem exec.library-Vektor durch ein harmloses Programm verursacht ist und Sie sich durch den Requester belästigt fühlen, dann können Sie die Anzeige durch folgende Parameterangabe verhindern: z.B.: -v108 -v222 Hiermit weisen Sie VIRUS-CONTROL an, Veränderungen an dem Alert- und AllocEntry-Vektor nicht mehr zu melden. Man gibt also die entsprechenden exec.library-Vektoren anhand ihres Offsets an. Sie können sich aber nach wie vor jederzeit mittels "Vektor-Anzeige" ein genaues Bild vom Zustand aller System-Vektoren machen ! 15.16 -p (VIRUS-CONTROL-Start-Kontrolle ausschalten): --------------------------------------------------- siehe unter Punkt 3. Installierung Die meisten Parameter können auch mittels der entsprechenden Gadgets neu gesetzt werden: Standard-Einstellung: mittels Gadget oder Parameter Auto-Check AN -u -> Auto-Check AUS WindowFarbe AN -c -> WindowFarbe AUS CheckOpen:All AUS -o -> CheckOpen:All AN CheckOpen:New AUS -n -> CheckOpen:New AN ArchivFiles AN -f -> ArchivFiles AUS ChipMemFirst AUS -m -> ChipMemFirst AN FastMem AN -a -> FastMem AUS Entschützen AUS -e -> Entschützen AN Auto-Schützen AN -s -> Auto-Schützen AUS NichtLoadFiles AUS -l -> NichtLoadFiles AN DiskWriteFarbe AUS -w -> DiskWriteFarbe AN Werden beim Start von VIRUS-CONTROL keine Parameter angegeben, so werden die angegebenen Standard-Einstellungen gesetzt. Beim erneutes Aufruf von VIRUS-CONTROL können auch die Parameter (-u -c -o -n -f -m -a -e -s -l -w -i -v -k) neu gesetzt werden. Wenn Sie den Parameter nicht angeben wird wieder die Standard-Einstellung gesetzt. Alle tiefergehenden Funktionen, wie Bootblock beschreiben oder VIRUS-CONTROL entfernen oder System-Virus entfernen sind zusätzlich durch weitere Requester gegen unabsichtliche Ausführung abgesichert. Weiterhin wird ein eventueller OpenFile-Error unter Angabe des Filenamens + Errorcode als Requester angezeigt. 16. ZUSAMMENFASSUNG der TASTEN-FUNKTIONEN und FARBSIGNALE: ========================================================= 16.1 TASTEN: ----------- linke Maustaste +Reset -> VIRUS-CONTROL (oder Boot-Selektor) entfernen CTRL -> keine Open-File-Kontrolle (trotz -o oder -n) -> keine Schreibzugriff-Kontrolle (trotz -o oder -n) L-ALT + R-ALT -> Kill-Virus-Requester L-ALT + 0(Zehnerblock) -> df0: Warn-Window aufrufen L-ALT + 1(Zehnerblock) -> df1: Warn-Window aufrufen L-ALT + 2(Zehnerblock) -> df2: Warn-Window aufrufen L-ALT + 3(Zehnerblock) -> df3: Warn-Window aufrufen L-ALT + Disk einlegen -> WarnWindow (also auch wenn Disk nicht verdächtig) L-ALT + Reset -> BootMenü (also auch wenn Disk nicht verdächtig) R-ALT + Disk einlegen -> kein WarnWindow (egal ob Disk verdächtig) R-ALT + Reset -> kein Reset/BootMenü (egal ob Disk verdächtig) 16.2 FARB-SIGNALE: ----------------- dunkelblau-hellblau-weiß: zeigt an, daß VIRUS-CONTROL aktiv ist, tritt z.B. bei Reset + Disk-Einlegen auf rot: 'verdächtiger' BootBlock in S:NoWarning enthalten schwarz: kann WarnWindow wegen Speichermangel nicht öffnen gelb: während Reset, Laufwerk-Vertauscher(+Ausschalter) aktiv orange: Schreibzugriff auf Diskette (nur wenn -w) 17. ANMERKUNG: ============= Jedes leistungsfähige und flexible Computer-System eröffnet zwangsläufig auch Möglichkeiten für destruktive Viren-Programmierung. Es besteht dennoch absolut kein Grund zur Resignation, denn mit VIRUS-CONTROLV2.0 kann man sich sehr wirksam gegen alle Arten von Viren schützen. Sollten Sie auf eventuelle Fehler stoßen oder Verbesserungsvorschläge haben, so wäre ich Ihnen sehr dankbar, wenn Sie mich informieren würden. Auch bin ich sehr an jeder Art von Viren interessiert. Über eine Zusendung würde ich mich sehr freuen !! Ich danke für Ihre Mithilfe, denn nur mit Ihrer Hilfe kann ich VIRUS-CONTROL möglichst leistungsfähig gestalten.