Wie funktioniert ein Computervirus?

Buchstaben und Zeichen auf einem Monitor

Antiviren-Software gehört auf jeden Computer
Kopfball-Zuschauer Axel Rainer Delker will gerne wissen, wie die schädlichen Virus-Programme genau vorgehen. Kopfball-Reporterin Isabel hat den Computer-Experten Tobias Weiß zu Rate gezogen, der das Prinzip der stark verbreiteten Trojaner erklärt. Ziel dieser Art von Computerviren ist es meistens, über das Internet den Zugang zu einem fremden Computer herzustellen. Sobald sich der Trojaner erfolgreich eingenistet hat, kann er andere wichtige Informationen übermitteln oder anonym Spam-E-Mails über den kontrollierten Computer versenden.

Viren kommen oft als Bilddatei per Email
Trojaner tarnen sich als harmlose oder nützliche Dateien; zum Beispiel Bilddateien, die man per E-Mail erhält. Wenn man das Bild dann anschaut, wird beim Öffnen der Datei im Arbeitsspeicher des Computers Speicherplatz für die Bilddaten reserviert, die anschließend in diesen Speicherbereich hineingeschrieben werden. Solange der schädliche Code des Trojaners nur in den für Bildinformationen vorgesehenen Speicherplatz gelangt, passiert allerdings nichts. Damit die schädlichen Befehle auf dem Computer ausgeführt werden, müssen sie in andere Speicherbereiche vordringen.

Trojaner mogelt sich zu den Programmbefehlen
Und dafür nutzen Sie eine Besonderheit des Arbeitsspeichers aus: Denn in den Arbeitsspeicher werden nicht nur rein informative Daten abgelegt, sondern es gibt auch Bereiche, in denen sich Programmbefehle befinden, die vom Betriebssystem blind nacheinander abgearbeitet werden. Um in solche Bereiche des Arbeitsspeichers zu gelangen, provoziert der Trojaner einen sogenannten Puffer- oder Speicherüberlauf: Die Größe des Dateiabschnitts, in dem sich der schädliche Programmcode befindet, wird dabei kleiner angegeben als er eigentlich ist. Dadurch wird im Arbeitsspeicher zu wenig Speicherplatz reserviert. Der schädliche Code liegt ganz am Ende dieses Abschnitts und wird nicht mehr in dem vorgesehenen Bereich abgelegt, sondern einfach über das Ende dieses reservierten Speicherplatzes hinaus geschrieben. Dabei kann der schädliche Code in einen Speicherbereich gelangen, in dem sich Programmbefehle befinden. Von dort aus wird er wie der überschriebene, ursprüngliche Programmbefehl verarbeitet und blind ausgeführt.

Erster Schritt löst Kettenreaktion aus
Weil der eingeschmuggelte Code nicht allzu groß sein darf, enthält er meistens nur den Befehl, ein wesentlich größeres und komplexeres Programm über das Internet auf den Computer zu laden und auszuführen. Erst dieses Programm verändert die Einstellungen im Betriebssystem so, dass der Absender auf den Computer zugreifen kann.

Im Film seht ihr, wie schnell unser Kopfball-Computer-Experte Tobias Weiß mit einem Trojaner das Notebook von Isabel unter Kontrolle bringt und erklärt noch einmal ganz genau, wie solche schädlichen Programme funktionieren.