DE4225345A1

DE4225345A1 - Computer virus and sabotage program detecting method - using sequence of tests to identify if request for operation is valid and provides blocking and warning indication if not

Info

Publication number: DE4225345A1
Application number: DE19924225345
Authority: DE
Inventors: Igor Dipl Ing Drozd
Original assignee: Individual
Current assignee: Individual
Priority date: 1992-07-31
Filing date: 1992-07-31
Publication date: 1994-02-03

Abstract

The protection and detection method involves checking on attempted accesses to computer memory to ensure that the information does not contain a 'virus' or sabotage programme. This protects the MS-DOS operating system against damage. The process involves a sequence of operations beginning with a request for sector oriented functions that are checked for a response from the operating system. A positive result of the check allows the operation to proceed. If the result is negative a check is made to determine if the operation is from an authorised service programme. If the request is valid the operation is allowed to proceed. If not the operation is blocked and a warning generated. USE/ADVANTAGE - Allows unknown viruses and sabotage programs to be detected.

Description

Im Hinblick auf die massive Verbreitung von Virus- und Sabotageprogrammen aller Art gewinnt die Tatsache an Bedeutung, daß die Systembereiche von Datenträgern, insbesondere Festplatten und Disketten, beim Betriebssystem MS-DOS gegen eine mutwillige Zerstörung nicht geschützt sind. Die bekannten Anti-Virus-Verfahren beschränken sich auf die Erkennung sogenannter Virus-Signaturen in Form bestimmter Zeichenketten in den Dateien und im Speicher. Der große Nachteil solcher Verfahren besteht darin, daß sie sich naturgemäß auf die schon bekannten Viren beschränken müssen. Insbesondere können sie das Anrichten von Schäden nicht verhindern, falls ein unbekannter Virus aktiv wird. Das Erkennen der Virus-Signaturen ist auch noch dadurch schwieriger geworden, daß inzwischen polymorphe Viren auftreten, also solche Viren, die ihre Signatur selbst ändern können.In view of the massive spread of virus and Sabotage programs of all kinds are gaining the fact Meaning that the system areas of data carriers, especially hard disks and floppy disks, in the operating system MS-DOS are not protected against deliberate destruction. The known anti-virus methods are limited to Detection of so-called virus signatures in the form of certain Strings in files and in memory. The great The disadvantage of such methods is that they are naturally have to be limited to the already known viruses. In particular, they cannot do damage prevent if an unknown virus becomes active. The Recognizing the virus signatures is another way of doing this become more difficult that now polymorphic viruses viruses that change their signature themselves can.

Zur Verdeutlichung der Gefahren, die das ungeschützte MS-DOS- System bedrohen, sei erläutert, daß bereits kurze Programmfragmente mit einer Gesamtlänge von beispielsweise 8 Bytes und einer Ausführungszeit von nur wenigen Millisekunden jeden Zugriff zur Festplatte eines Rechners und sogar das Hochziehen (Booten) des Betriebssystems verhindern können. Eine Restaurierung der auf diese Weise zerstörten Festplatte ist, wenn überhaupt, nur von Experten in mühevoller und zeitraubender Handarbeit möglich. To clarify the dangers that the unprotected MS-DOS System threat, it should be explained that already short Program fragments with a total length of, for example 8 bytes and an execution time of just a few Milliseconds each access to a computer hard drive and even prevent the operating system from pulling up (booting) can. A restoration of the destroyed in this way Hard drive, if any, is only made by experts in laborious and time-consuming manual work possible.

Der Erfindung liegt demgemäß die Aufgabe zugrunde, ein Verfahren anzugeben, das Betriebssystem MS-DOS so zu schützen, daß Sabotageversuche auch mit unbekannten Virussignaturen zwar nicht verhindert werden, aber bei der Aktivierung keinen Schaden anrichten, insbesondere keine vitalen Systembereiche der Datenträger überschreiben und dadurch zerstören können. Die Lösung der Aufgabe ist im Patentanspruch 1 angegeben.The invention is accordingly based on the object Procedures to specify the MS-DOS operating system protect that attempts at sabotage even with unknown Virus signatures can not be prevented, but at Do no harm to activation, especially none overwrite vital system areas of the data carrier and can destroy it. The solution to the problem is in Claim 1 specified.

Der Erfindung liegt das Prinzip zugrunde, vor der Ausführung von potentiell gefährlichen Zugriffen auf Systembereiche von Datenträgern, die bisher vom Betriebssystem MS-DOS ohne jede Sicherheitsprüfung durchgeführt wurden, den Anwender zu warnen, falls keine offensichtlich systembedingte Notwendigkeit für einen solchen Zugriff besteht. Zur näheren Erläuterung des erfindungsgemäßen Verfahrens soll zunächst das MS-DOS-Betriebssystem im hier interessierenden Zusammenhang kurz erläutert werden.The invention is based on the principle, before execution of potentially dangerous access to system areas of Disks previously used by the MS-DOS operating system without any Security check have been carried out to the user warn if not obviously system-related There is a need for such access. To the closer Explanation of the method according to the invention should first the MS-DOS operating system in the one of interest here Context will be briefly explained.

MS-DOS bietet grundsätzlich zwei Gruppen von Programmierfunktionen, die der Manipulation von Datenträgern, also Festplatten oder Disketten, dienen können, nämlich dateiorientierte und sektororientierte Funktionen. Da ein Anwendungsprogramm im Normalfall ausschließlich dateiorientierte Operationen ausführen darf und ein Datenträger nur aus einzelnen Sektoren, Zylindern und Köpfen besteht, sorgt der MS-DOS-Kern bei jeder dateiorientierten Operation für die transparente Umsetzung des logischen Begriffs "Datei" in die physikalischen Werte "Sektor", "Zylinder" usw. Darüber hinaus muß der Kern bei jeder dateiorientierten Operation ebenfalls transparent auch den Systembereich verwalten. MS-DOS basically offers two groups of Programming functions that manipulate data carriers, so hard drives or floppy disks can serve, namely file-oriented and sector-oriented functions. There a Application program normally only may perform file-oriented operations and a Disks only from individual sectors, cylinders and heads exists, the MS-DOS core takes care of every file-oriented Operation for the transparent implementation of the logical Term "file" in the physical values "sector", "Cylinder" etc. In addition, the core must be in everyone file-oriented operation is also transparent Manage system area.

Ein Datenträger besteht, vereinfacht dargestellt, aus dem Systembereich und dem Datenbereich. Der Systembereich einer typischen Festplatte enthält, wiederum schematisch, einen Partition-Sektor, einen Boot-Sektor und zwei Kopien einer Dateizuordnungstabelle FAT (von File Allocation Table). Zum Systembereich lassen sich auch noch das Wurzel-(Root)- Verzeichnis sowie die drei zum Booten notwendigen Dateien IO.SYS, MSDOS.SYS und COMMAND.COM hinzurechnen. Unter dem Aspekt der Sicherheit ist folgendes zum Systembereich wichtig: Der Systembereich ist unabdingbar für die richtige Funktion des Systems, er ist relativ klein im Vergleich zum Datenbereich, und er sollte nur vom MS-DOS-Kern verwaltet und modifiziert werden. Die letzte Bedingung wird von MS-DOS selbst verletzt, da einige Systemfunktionen, z. B. das Formatieren von Datenträgern, das-Anlegen einer Partition usw. , vom Kern in externe Dienstprogramme verlegt wurden. Diese Dienstprogramme sind zwar formal Bestandteil von MS- DOS, nicht aber vom Kern, der also deren Aktivitäten nicht überwachen und kontrollieren kann. Der MS-DOS-Kern bietet deshalb einige sektororientierte Funktionen, um diesen Dienstprogrammen den Zugriff zum Systembereich zu ermöglichen. Im wesentlichen handelt es sich dabei um die Funktionen "Absolute Disk Read" und "Absolute Disk Write", d. h. die Interrupts 25 und 26 (in hexadezimaler Schreibweise).To put it simply, a data carrier consists of System area and the data area. The system area of a typical hard disk contains, again schematically, one Partition sector, a boot sector and two copies of one File allocation table FAT (from File Allocation Table). To the System area can also be the root Directory and the three files necessary for booting Add IO.SYS, MSDOS.SYS and COMMAND.COM. Under the The security aspect is the following about the system area important: The system area is essential for the right one Function of the system, it is relatively small compared to Data area, and it should only be managed and managed by the MS-DOS core be modified. The last condition is from MS-DOS hurt themselves because some system functions, e.g. B. that Formatting disks, creating a partition etc. have been moved from the core to external utilities. These utilities are formally part of MS DOS, but not from the core, so its activities are not can monitor and control. The MS-DOS core offers therefore some sectoral functions to this Utilities access to the system area too enable. Essentially, this is the "Absolute Disk Read" and "Absolute Disk Write" functions, d. H. Interrupts 25 and 26 (in hexadecimal Spelling).

Bei alleiniger Verwendung von dateiorientierten Funktionen lassen sich Schäden kaum anrichten. Ein Sabotageprogramm hat auf diese Weise keinen Zugriff zum Systembereich und könnte höchstens Dateien überschreiben oder löschen. Da dem Sabotageprogramm die Namen von Dateien und Verzeichnissen in der Regel unbekannt sind, müßte sich das Sabotageprogramm blind durch die Dateien hindurcharbeiten. Das wäre zeitaufwendig und auffällig. Außerdem könnte der geschädigte Anwender gelöschte Dateien sofort wiederherstellen, z. B. durch das Dienstprogramm "UNDELETE".If only file-oriented functions are used damage can hardly be caused. Has a sabotage program in this way no access to the system area and could at most overwrite or delete files. Because of that Sabotage program the names of files and directories in are generally unknown, the sabotage program would have to work blindly through the files. That would time consuming and eye-catching. In addition, the victim could User to restore deleted files immediately, e.g. B. through the "UNDELETE" utility.

Einen echten und nicht wiederherstellbaren Schaden kann ein Sabotageprogramm allein durch die sektororientierten Funktionen anrichten. Daher findet die Prüfung gemäß Merkmal a) im Anspruch 1 für diese Funktionen statt.Real and irreparable damage can be a Sabotage program solely through the sector-oriented Arrange functions. Therefore, the test takes place according to characteristic a) held in claim 1 for these functions.

Jeder Versuch, eine sektororientierte Funktion aufzurufen, ist sabotageverdächtig, sofern der Aufruf nicht von MS-DOS selbst, also vom Kern oder von bestimmten, zugelassenen Dienstprogrammen stammt, sondern von einem Applikationsprogramm. Daher die Prüfungen gemäß Verfahrensschritt a) und c) im Anspruch 1.Any attempt to call a sectoral function is suspected of sabotage, unless the call is from MS-DOS itself, i.e. from the core or from certain, approved Utilities comes from one Application program. Hence the tests according to Process steps a) and c) in claim 1.

Insgesamt gibt es bei den sektororientierten Funktionen nur sechs mögliche Angriffspunkte für Sabotageprogramme, nämlichOverall, there is only one sector-oriented function six possible targets for sabotage programs, namely

a) by calling the "ABSOLUTE DISK WRITE" function (Interrupt 26),
b) by calling up hard disk or floppy disk Device drivers,
c) by calling the function "EXECUTE DEVICE DRIVER REQUEST" (Interrupt 2f, function 0802),
d) by calling the "GENERIC BLOCK DEVICE REQUEST" function (Interrupt 21, function 440d),
e) by calling the "ROM-BIOS Fixed Disk" function (Interrupt 13)
f) by jumping directly to the original ROM address of the "ROM-BIOS Fixed Disk" function, which can be determined by the "SET DISK INTERRUPT HANDLER" function (interrupt 2f, Function 13).

Diese möglichen Angriffspunkte, die eine vollständige Aufstellung darstellen, sind auch Gegenstand von Weiterbildungen der Erfindung.These possible points of attack that a complete Representation are also the subject of Developments of the invention.

Zur Durchführung des Verfahrensschrittes c) wird zunächst der Name des aufrufenden Programms festgestellt, beispielsweise bei zugelassenen Programmen "FORMAT" oder "FDISK". Da aber ein Sabotageprogramm ziemlich leicht auch den Programmnamen in der Programmumgebung modifizieren könnte, um ein erlaubtes Programm vorzutäuschen, wird mit Vorteil bei Aufrufen der Funktion "LOAD AND EXECUTE A PROGRAM", auch EXEC-Funktion genannt, der Name des auszuführenden Programms abgespeichert und mit dem Namen des aufrufenden Programms verglichen. Die beiden Namen müssen übereinstimmen, sonst wird die Warnung ausgegeben.To carry out process step c), the Name of the calling program determined, for example for approved programs "FORMAT" or "FDISK". Here but a sabotage program fairly easily also the program name in the program environment could modify to an allowed Pretending the program is advantageous when calling the "LOAD AND EXECUTE A PROGRAM" function, also EXEC function called, the name of the program to be executed saved and compared with the name of the calling program. The both names must match, otherwise the warning spent.

Bei Aufruf der Funktionen "ABSOLUTE DISK WRITE", "GENERIC BLOCK DEVICE REQUEST" und "ROM-BIOS FIXED-DISK" wird jeweils der zugehörige Interrupt, beispielsweise Interrupt 26 für "ABSOLUTE DISK WRITE" während der Initialisierungsphase umgeleitet, der Name des aufrufenden Programms geprüft und dann zum ursprünglichen Interrupt zurückgekehrt.When calling the functions "ABSOLUTE DISK WRITE", "GENERIC BLOCK DEVICE REQUEST "and" ROM-BIOS FIXED-DISK "will each the associated interrupt, for example interrupt 26 for "ABSOLUTE DISK WRITE" during the initialization phase redirected, the name of the calling program checked and then returned to the original interrupt.

Beim Aufruf eines Plattentreibers wird zunächst festgestellt, ob es sich um einen Schreibzugriff auf den Systembereich handelt. Um dann zu prüfen, ob der Zugriff vom Kern kommt, wird festgestellt, ob zur Zeit eine MS-DOS-Funktion ausgeführt wird und ob sich die Transferadresse, also die Adresse, aus der die Daten auf die Platte geschrieben werden sollen, auf einen Kern-Datenpuffer bezieht. Zur Durchführung wird dazu der Plattentreiberaufruf dadurch umgeleitet, daß bei der Initialisierung ein neuer Plattentreiber angelegt wird, der die Prüfungen ausführt und bei positivem Ausgang den bisherigen Plattentreiber zur Ausführung des Zugriffs aufruft.When calling up a disk driver, it is first determined whether it is write access to the system area acts. Then to check if the access comes from the core, it is determined whether there is currently an MS-DOS function is executed and whether the transfer address, i.e. the Address from which the data is written to the disk should refer to a core data buffer. To carry out the disk driver call is redirected to that by a new disk driver was created during initialization who carries out the tests and if the outcome is positive the previous disk driver for access calls.

Die Ausgabe einer Warnung umfaßt zweckmäßig die Ausgabe eines optisch auffallenden Warnfensters auf dem Bildschirm des Rechners. Dabei gibt das Warnfenster jeweils die Ursache für die Warnung und gegebenenfalls weitere Einzelheiten für Diagnosezwecke, beispielsweise den vollen Pfadnamen des Verursachers, die physikalische Adresse des beanstandeten Aufrufs, die Registerinhalte, den System- und den Anwender- Stack, usw. Außerdem kann das Warnfenster ein Menü enthalten, das dem Benutzer mehrere Möglichkeiten für die Reaktion auf die Warnung einschließlich einer Sperrung der jeweils ausgeführten Funktion gibt. Die Sperrung kann dabei einmalig für die gerade ausgeführte Funktion oder auch für die Dauer des gerade laufenden Programms erfolgen. Andererseits kann der Benutzer trotz der Warnung die jeweils ausgeführte Funktion einmalig oder auf Dauer zulassen.The output of a warning expediently includes the output of a optically striking warning window on the screen of the Calculator. The warning window gives the cause for the warning and, if necessary, further details for Diagnostic purposes, for example the full path name of the Causer, the physical address of the complaint Call, the register contents, the system and the user Stack, etc. In addition, the warning window can be a menu included, which gives the user several options for the Response to the warning including a blockage of the function performed there. The block can be once for the function currently being carried out or for the duration of the currently running program. On the other hand, the user can despite the warning Allow the function to be executed once or permanently.

Die für die Ausführung der Prüfung gemäß Verfahrensschritt c) zugelassenen Dienstprogramme stehen zweckmäßig in einer Liste zugelassener Programme wie folgt:The for the execution of the test according to procedural step c) approved utilities are conveniently on a list approved programs as follows:

CHKDSK, DEBUG, DISKCOPY, FDISK, FORMAT, MIRROR, RECOVER, REPLACE, SYS, UNDELETE, UNFORMAT.CHKDSK, DEBUG, DISKCOPY, FDISK, FORMAT, MIRROR, RECOVER, REPLACE, SYS, UNDELETE, UNFORMAT.

Zusätzlich hat der Benutzer die Möglichkeit, weitere Programme, die er für zuverlässig hält, in die Liste einzugeben, und zwar solche Programme, die ebenfalls einen sektororientierten Zugriff auf Systembereiche benötigen, beispielsweise das bekannte Programm "PC TOOLS".In addition, the user has the option of more Programs that he believes to be reliable are included in the list to enter, namely programs that also have a need sector-oriented access to system areas, for example the well-known program "PC TOOLS".

Claims

1. Process for protecting MS-DOS computers against sabotage programs or "viruses", characterized by the process steps:

a) when calling sector-oriented functions, it is checked whether the call originates from the core of the operating system,
b) if the result of the test in step a) is positive, the call is permitted,
c) if the result of the test according to step a) is negative, it is checked whether the call comes from an approved utility,
d) if the result of the test in step c) is positive, the call is permitted,
e) if the result of the test in step c) is negative, execution is blocked and a warning is issued to the computer user.

2. The method according to claim 1, characterized, that the name of the calling program determined and with a list approved programs is compared.

3. The method according to claim 2, characterized, that when the EXEC function is called, the name of the program to be executed and saved with the name of the calling program is compared.

4. The method according to claim 2 or 3, characterized, that when one of the functions "ABSOLUT DISK WRITE" is called or "GENERIC BLOCK DEVICE REQUEST" or "ROM-BIOS FIXED- DISK "the associated INTERRUPT during the Initialization phase redirected to the name of the calling program checked and then to the original INTERRUPT is returned.

5. The method according to claim 1, characterized, that when calling the disk driver or the function "EXECUTE DEVICE DRIVER REQUEST" determines whether a There is write access to the system area, and that then to check whether the access comes from the core, it is determined whether there is currently an MS-DOS function is executed and whether the transfer address is on a Core data buffer relates.

6. The method according to claim 5, characterized, that to carry out the tests of Disk driver call is redirected in that the Initialization a new disk driver is created who carries out the tests and, if the result is positive, the previous disk driver for executing the access calls.

7. The method according to any one of claims 1 to 6, characterized, that the warning is the output of a visually striking Warning window on the computer screen includes and that the warning window indicates the cause of the warning.

8. The method according to claim 7, characterized, that the warning window contains a menu that the user several ways to respond to the warning including blocking the listed Function indicates and provides a fault diagnosis.

9. The method according to any one of claims 1 to 8, characterized, that for the execution of step c) the approved utilities in a list be the user through additional programs can supplement.