DE19610976A1 - Verfahren zum Erkennen von Computerviren - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Erkennen des Vor­ handenseins von sich selbst vervielfachenden, andere Pro­ gramme verändernden Programmteilen, die sabotierende Funk­ tionen in durch Betriebssysteme verwalteten Hauptspeicherbe­ reichen eines Rechnersystems aus führen können, insbesondere zum Erkennen von sogenannten Computerviren.

In der Vergangenheit ist bereits immenser Schaden durch soge­ nannte Computerviren entstanden, welche den korrekten Betrieb von Rechnersystemen sabotieren und häufig zu beträchtlichen Datenverlust führen. Solche Computerviren sind in der Regel selbständige Programmteile, welche sich selbst vervielfachen und somit auch bisher nicht betroffene Rechnersysteme "infi­ zieren" können. Diese verändern standardgemäß vorgesehene Programmteile und führen sabotierende Funktionen in durch Be­ triebssysteme verwalteten Hauptspeicherbereichen eines Rech­ nersystemes aus. In der Regel sind Computerviren so ausgebil­ det, daß der Benutzer eines infizierten Rechnersystemes das Vorhandensein solcher Computerviren nicht oder häufig erst dann erkennt, wenn der Schaden bereits entstanden ist.

Aus diesem Grunde werden Verfahren für sogenannte Viren­ scanner angeboten, welche, bevor es zu einem Schaden kommt, das Vorhandensein von solchen Computerviren erkennen, um dann bereits im Vorfeld Maßnahmen einleiten zu können, solche Computerviren auf den infizierten Systemen zu beseitigen. Solche Verfahren zum Erkennen von Computerviren werden insbe­ sondere für sogenannte kompatible Personal-Computer angebo­ ten. Diese werden in aller Regel mit dem Betriebssystem MS- DOS betrieben. Die zum Erkennen solcher Computerviren einge­ setzten Verfahren lassen sich, wie das dieser Erfindung zu­ grundeliegende Verfahren zum Erkennen von Computerviren auch, jedoch auch auf andere Rechnersysteme mit anderen Betriebs­ systemen übertragen.

Die bekannten Verfahren zum Erkennen von Computerviren, ins­ besondere für die genannten kompatiblen Personal-Computer sind nicht in der Lage, solche Viren zu erkennen, die völlig neu sind und eine gänzlich anders geartete Struktur als bisher bekannte Viren aufweisen. Das gilt auch für solche Computerviren, die sich selbst in bisher nicht bekannter Weise modifizieren oder die extern auf anderen Wegen modifi­ ziert wurden.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zum Erkennen von Computerviren zu schaffen, welches auch solche Computerviren erkennt, die völlig neu sind, welche sich selbst in bisher nicht erkannter Weise modifizieren oder die auf anderen Wegen extern modifiziert wurden. Dies gilt neben Computerviren auch für andere sich selbst vervielfachende, wiederum andere verändernde Programm­ teile, die sabotierende Funktionen in durch Betriebssysteme verwaltete Hauptspeicherbereichen eines Rechnersystems aus­ führen können.

Diese Aufgabe wird durch folgende Verfahrensschritte gelöst:

• 1.1 als Prüfkriterium wird die im virenfreien Zustand vorhan­ dene Speicherbelegung verwendet,
• 1.2 in verschiedenen virenfreien standardmäßig wiederkehren­ den Betriebszuständen des Rechnersystemes vorkommende Speicherbelegungen werden als gültige Sollwerte erlernt,
• 1.3 nach Abschluß der Lernphase führen Abweichungen im jewei­ ligen Betriebszustand vom Sollwert zum Erkennen eines möglichen Computervirus.

In einer ersten vorteilhaften Ausgestaltung des Verfahrens gemäß der vorliegenden Erfindung wird eine breite Einsatzmög­ lichkeit für das erfindungsgemäße Verfahren geschaffen. Dies wird durch folgenden weiteren Verfahrensschritt ermöglicht:

• 2.1 zum Erlernen der gültigen Sollwerte wird eine Matrix von Betriebszuständen gebildet, welche alle durch die ent­ sprechende Konfiguration des zugrundeliegenden Rechner­ systemes bedingten Varianten der Speicherbelegung abdeckt und in die die gültigen Sollwerte eingespeichert werden.

In einer weiteren vorteilhaften Ausgestaltung des erfindungs­ gemäßen Verfahrens wird die Flexibilität dieses Verfahrens erweitert. Dies geschieht durch folgendes weiteres Merkmal:

• 3.1 es müssen nicht alle Felder der Matrix belegt sein.

In einer weiteren vorteilhaften Ausgestaltung des Verfahrens gemäß der vorliegenden Erfindung wird ermöglicht, daß unter­ schiedliche Konfigurationszustände unterschiedlicher Rechner­ systeme mit unterschiedlichen Betriebssystemen gleichermaßen für den Einsatz des Verfahrens gemäß der vorliegenden Erfin­ dung in Frage kommen. Dies geschieht durch die folgenden wei­ teren Verfahrensschritte:

• 4.1 in die Spalten der Matrix werden unterschiedliche Konfi­ gurationszustände des Rechnersystems eingetragen, wobei die Anzahl der Spalten mit neu auftretenden Konfigura­ tionszuständen automatisch erweitert wird,
• 4.2 in die Zeilen der Matrix werden unterschiedliche Be­ triebszustände des Rechnersystems eingetragen, in denen das Verfahren durchgeführt wird, wobei die Anzahl der Zeilen mit neu auftretenden Betriebszuständen automatisch erweitert wird,
• 4.3 die Zuordnung der Betriebszustände zu den Zeilen und der Konfigurationszustände zu den Spalten der Matrix kann ebenso umgekehrt erfolgen.

In einer weiteren vorteilhaften Ausgestaltung des Verfahrens gemäß der vorliegenden Erfindung wird die Einsatzfähigkeit des Verfahrens weiter ausgebaut und somit erreicht, daß letzteres auch bei der bei Rechnersystemen anzutreffenden Vielfalt unterschiedlicher Konfigurationszustände sicher betrieben werden kann. Dies wird durch folgenden weiteren Verfahrens schritt ermöglicht:

• 5.1 treten während der Lernphase eines neuen Betriebs- oder Konfigurationszustandes, die beispielsweise zwanzig Durchläufe betragen kann, Veränderungen in dem für dieses Feld der Matrix aktuell ermittelten Sollwert auf, so wird dieses Feld der Matrix gesperrt und nicht zur Erkennung verwendet.

Weitere erfinderische Einzelheiten und Vorteile finden sich in der nachfolgenden Beschreibung eines Ausführungsbeispieles anhand eines kompatiblen Personal-Computers, welcher bei­ spielhafterweise mit einem MS-DOS-Betriebssystem betrieben wird. Dies geschieht aufgrund der weiten Verbreitung eines solchen Systemes. Die dabei gemachten Ausführungen lassen sich jedoch beliebig auch auf andere Rechnersysteme mit beliebigen Betriebssystemen übertragen. Es zeigt:

Fig. 1 beispielhafte Zustandsmatrix zum Einspeichern gültiger Sollwerte für unbedenkliche Konfigurationszustände.

In der Darstellung gemäß Fig. 1 ist eine Zustandsmatrix für ein dem Ausführungsbeispiel zugrundeliegendes beispielhaftes Rechnersystem gezeigt, in welche gültige Sollwerte bedenkli­ cher Konfigurationszustände dieses Rechnersystemes eingespei­ chert werden. Der Ausdruck Computervirus soll im folgenden für alle mit selbst vervielfachenden, andere Programme ver­ ändernde Programmteile stehen, die sabotierende Funktion in durch Betriebssysteme verwalteten Hauptspeicherbereiche eines Rechnersystems ausführen können.

Die meisten speicherresidenten Computerviren verändern den Eintrag der Speicherverwaltung für den gesamt verfügbaren Speicher, wie er von MS-DOS und anderen Betriebssystemen zur Verfügung gestellt wird. Dies geschieht, damit solche Compu­ terviren nicht durch andere Programme überschrieben werden können. Herkömmliche Verfahren zum Erkennen von Computerviren basieren darauf, daß bereits bekannte Computerviren unter­ sucht und Merkmale zu deren Erkennung in einer Datenbank ab­ gelegt werden. Anhand dieser Datenbank wird später eine Analyse der auf einem eventuell betroffenen Rechnersystem vorliegenden Daten vorgenommen, und bei Übereinstimmung mit solchen Merkmalen bekannter Computerviren eine entsprechende Warnung veranlaßt. Dies hat jedoch den Nachteil, daß neue Computerviren oder modifizierte, in der Regel sich selbst modifizierende Computerviren nicht sicher erkannt werden. Hinzu kommt, daß aufgrund des rapiden Auftretens ständig neuer Computerviren auch die Datenbank, welche die Merkmale zu deren Erkennung erhält, aktualisiert werden muß. Wie die Vergangenheit gezeigt hat, treten auch bei dieser hohen Ände­ rungsfrequenz häufig Verfälschungen der Merkmale in der Datenbank bereits bekannter Computerviren auf, was zur Folge hat, daß diese nun auch nicht mehr sicher erkannt werden können. Bei dem vorgestellten Verfahren gemäß der vorlie­ genden Erfindung ergibt sich nun der Vorteil, daß keine solche ständige Anpassung einer Datenbank vorgenommen werden muß, sondern daß auch neue bzw. modifizierte Computerviren mit dem vorgestellten Verfahren ohne ständige Umstellung dieses Verfahrens sicher erkannt werden können.

Der Sollwert für den gesamten verfügbaren Speicher ist keine Konstante, deren Wert ohne weiteres nachprüfbar ist, sondern er hängt von unterschiedlichen Faktoren ab. Dies ist zum einen die verwendete BIOS-Variante (BIOS steht für Basic- Input-Output-System). Desweiteren spielt die beim Systemstart bzw. Bootvorgang geladene Komponenten-Treiber-Konfiguration eine Rolle. Dies geschieht bei MS-DOS kompatiblen Personal- Computern durch die Dateien "Config.Sys." (Definition der Grundkonfiguration und Anordnung der zum Betrieb von System­ komponenten erforderlichen Programmteile im Hauptspeicher) und der Datei "Autoexec.bat", in welcher die darin enthal­ tenen weiteren Konfigurationsvorgänge bei jedem Startvorgang automatisch ausgeführt werden. Darüber hinaus hängt der Sollwert für den gesamten verfügbaren Speicher auch davon ab, in welchem Betriebs stand eine Prüfung auf Computerviren erfolgt. Dies kann im Falle des Ausführungsbeispiels am Be­ ginn der Ausführung der Datei "Autoexec.bat", nach deren Ausführung oder im Betrieb der auf MS-DOS aufbauenden gra­ phischen Benutzeroberfläche MS-Windows der Fall sein. Auch wird der genannte Parameter häufig bei solchen Rechner­ systemen geändert, die zur Softwareentwicklung eingesetzt werden.

An dieser komplexen Situation sind bekannte Verfahren zum Er­ kennen von Computerviren bisher gescheitert. Das Verfahren gemäß der vorliegenden Erfindung löst das Problem der variab­ len Sollwerte für den gesamten verfügbaren Speicher durch Er­ lernen der gültigen Sollwerte im virenfreien Zustand des Per­ sonal-Computers. Dabei wird eine Matrix von Betriebszuständen berücksichtigt, mit der alle durch die oben aufgeführten Maß­ nahmen bedingten Varianten der Speicherbelegung abgedeckt werden. Abweichungen vom Sollwert, die nach Abschluß einer Lernphase für den jeweiligen Zustand auftreten, lösen die Meldung aus, daß höchstwahrscheinlich ein Virus vorliegt.

Die in der Darstellung gemäß Fig. 1 gezeigte Zustandsmatrix Z ist vertikal und horizontal nach Zeilen und Spalten unter­ gliedert. Die einzelnen Zeilen beinhalten die Sollwerte im virenfreien Zustand für verschiedene Zustandsvariationen durch Benutzung unterschiedlicher Varianten V₁, V₂, V₃, V₄ und V_n der Datei "Config.sys". Diese kann durch unterschiedlichen Speicherbedarf der auszuführenden Applikationen oder durch unterschiedliche Konfiguration in bezug auf zum Einsatz kommende Systemkomponenten bedingt sein. So kann beispiels­ weise in einer Basiskonfiguration V₁ ein Minimalsystem defi­ niert werden, während in einer weiteren Variante V₄ der Zu­ griff auf ein Datennetzwerk durch Einbeziehung eines ent­ sprechenden Netzwerktreibers ermöglicht wird. Die einzelnen Spalten der Zustandsmatrix Z beschreiben Zustandsvariationen durch unterschiedliche Anwenderbetriebszustände A₁, A₂, A₃ bis A_m, in denen das Verfahren zum Erkennen von Computerviren ausgeführt werden kann. In der Regel sind bei MS-DOS kompa­ tiblen Personal-Computern drei Betriebszustände zu berück­ sichtigen, in denen ein Ausführen des Verfahrens zum Erkennen von Computerviren auf unterschiedliche Speicherbelegungen treffen kann, ohne daß in solchen Fällen ein aktiver Compu­ tervirus vorliegt. Dies ist ein Anwenderzustand A₁, welcher für ein Durchführen des Verfahrens zum Erkennen von Computer­ viren gemäß der vorliegenden Erfindung zu Beginn der Ausfüh­ rung der Datei "Autoexec.bat" erfolgt. Ein anderer Anwender­ zustand A₂ liegt dann vor, wenn ein reiner MS-DOS-Betrieb vorgesehen ist. Dabei erfolgt eine Durchführung des Verfah­ rens zum Erkennen von Computerviren gemäß der vorliegenden Erfindung nach Ausführung der Datei "Autoexec.bat". Der dritte Anwenderzustand A₃ schließlich liegt dann vor, wenn ein Betrieb mit der graphischen Benutzeroberfläche "MS- Windows" vorgesehen ist.

Die ersten beiden genannten Betriebszustände werden bei der Inbetriebnahme des Verfahrens zum Erkennen von Computerviren als Aufruf-Parameter mitgegeben. Weitere Aufruf-Parameter können jedoch jederzeit zugeführt werden. Der Anwenderbe­ triebszustand A₃, nämlich der Betrieb unter der graphischen Benutzeroberfläche MS-Windows wird automatisch erkannt. Die Matrix Z wird grundsätzlich so bemessen, daß alle durch die entsprechende Konfiguration des zugrundeliegenden Rechner­ systems bedingten Varianten der Speicherbelegung abgedeckt werden und die gültigen Sollwerte eingespeichert werden. Dabei können einzelne Felder der Zustandsmatrix Z auch unbe­ legt bleiben. Mit Auftreten neuer Konfigurationszustände in einem Rechnersystem kann die Anzahl der Spalten, welche die Anwenderbetriebszustände A₁ bis A_m beschreibt, automatisch erweitert werden. Das gleiche gilt für die Zeilen der Zu­ standsmatrix Z, welche die einzelnen Variationen unterschied­ licher Varianten der Datei "Config.sys" beschreiben. Selbst­ verständlich kann die Anordnung nach Zeilen und Spalten jederzeit gegeneinander vertauscht werden. In einer Lern­ phase, welche beispielsweise zwanzig Durchläufe betragen kann, werden für die unterschiedlichen Felder der Zustands­ matrix Z die jeweiligen Speicherbelegungen im virenfreien Zustand als Prüfkriterium eingespeichert. In verschiedenen virenfreien wiederkehrenden Betriebszuständen des Rechner­ systems vorkommende Speicherbelegungen werden als gültige Sollwerte erkannt und erlernt. Treten während der Lernphasen eines neuen Betriebs- oder Konfigurationszustandes Verände­ rungen in dem für dieses Feld der Matrix aktuell ermittelten Sollwert auf, so wird dieses Feld der Matrix gesperrt und nicht zur Erkennung von Computerviren verwendet. Nach Ab­ schluß der Lernphase führen Abweichungen im jeweiligen Betriebszustand vom Sollwert, nämlich dem in der Zustands­ matrix Z im entsprechenden Feld eingespeicherten Wert für die Speicherbelegung, zum Erkennen eines möglichen Computervirus und dem Auslösen einer entsprechenden Meldung im Rechner­ system.

Treten während der Lernphase eines neuen Betriebs- oder Kon­ figurationszustandes mehrere Veränderungen auf, welche zu einer Sperrung des dafür vorgesehenen Feldes der Zustandsma­ trix Z führen, so kann ein Schwellwert vorgegeben werden, ab dem die Lernphase neu begonnen und eine Warnung mit entspre­ chenden Hinweisen ausgegeben wird.

Das Verfahren zum Erkennen von Computerviren gemäß der vor­ liegenden Erfindung stellt zwar keine absolute sichere Lösung dar, jedoch ist gesichert, daß auch neue oder modifizierte Viren erkannt werden. Hinzu kommt, daß kein Administrations­ aufwand, z. B. durch Pflege einer Datenbank mit Merkmalen zur Erkennung von Computerviren, benötigt wird. Somit ist auch kein zyklisches Update einer solchen Datenbank notwendig, wie es bei den bisher bekannten herkömmlichen Verfahren der Fall ist.

Claims (5)

1. Verfahren zum Erkennen des Vorhandenseins von sich selbst vervielfachenden, andere Programme verändernden Programm­ teilen, die sabotierende Funktionen in durch Betriebssysteme verwalteten Hauptspeicherbereichen eines Rechnersystemes ausführen können, insbesondere zum Erkennen von sogenannten Computerviren, mit folgenden Merkmalen:

• 1.1 als Prüfkriterium wird die im virenfreien Zustand vorhan­ dene Speicherbelegung verwendet,
• 1.2 in verschiedenen virenfreien standardmäßig wiederkehren­ den Betriebszuständen des Rechnersystemes vorkommende Speicherbelegungen werden als gültige Sollwerte erlernt,
• 1.3 nach Abschluß der Lernphase führen Abweichungen im jewei­ ligen Betriebszustand vom Sollwert zum Erkennen eines möglichen Computervirus.

2. Verfahren nach Anspruch 1, mit folgendem Merkmal:

• 2.1 zum Erlernen der gültigen Sollwerte wird eine Matrix von Betriebszuständen gebildet, welche alle durch die ent­ sprechende Konfiguration des zugrundeliegenden Rechner­ systemes bedingten Varianten der Speicherbelegung abdeckt und in die die gültigen Sollwerte eingespeichert werden.

3. Verfahren nach Anspruch 2, mit folgendem Merkmal:

• 3.1 es müssen nicht alle Felder der Matrix belegt sein.

4. Verfahren nach Anspruch 2 oder 3, mit folgenden Merkmalen:

• 4.1 in die Spalten der Matrix werden unterschiedliche Konfi­ gurationszustände des Rechnersystems eingetragen, wobei die Anzahl der Spalten mit neu auftretenden Konfigura­ tionszuständen automatisch erweitert wird,
• 4.2 in die Zeilen der Matrix werden unterschiedliche Be­ triebszustände des Rechnersystems eingetragen, in denen das Verfahren durchgeführt wird, wobei die Anzahl der Zeilen mit neu auftretenden Betriebszuständen automatisch erweitert wird,
• 4.3 die Zuordnung der Betriebszustände zu den Zeilen und der Konfigurationszustände zu den Spalten der Matrix kann ebenso umgekehrt erfolgen.

5. Verfahren nach einem der vorstehenden Ansprüche, mit fol­ gendem Merkmal:

• 5.1 treten während der Lernphase eines neuen Betriebs- oder Konfigurationszustandes, die beispielsweise zwanzig Durchläufe betragen kann, Veränderungen in dem für dieses Feld der Matrix aktuell ermittelten Sollwert auf, so wird dieses Feld der Matrix gesperrt und nicht zur Erkennung verwendet.