Stealthing

I

Stealthing

 

[dt. »Verbergen«], Recht: das Verfälschen der Header-Information (Header) einer E-Mail mit der Absicht, die tatsächliche Herkunft zu verschleiern (im Unterschied zum Spoofing, bei dem der Anschein erweckt werden soll, die Nachricht käme von einer bestimmten dritten Partei). Juristisch gesehen, treffen hier das Recht auf freie Meinungsäußerung (auch anonym oder unter falschem Namen) und die Nutzungsbedingungen bzw. -beschränkungen von Internet Providern aufeinander. Es gab besonders in den USA verschiedene Prozesse, in denen Mails mit verfälschten oder anonymisierten Header-Informationen als Straftatbestand aufgefasst wurden. Von den meisten Dienstleistern werden Probleme dieser Art vermieden, indem sie den Benutzern einen anonymen Benutzernamen ermöglichen, wobei der Benutzer seinen tatsächlichen Namen allerdings beim Anbieter hinterlegen muss.

II

Stealthing,

 Viren: eine Methode, mit der sich Computerviren im Rechner verbergen lassen, um ihre Entdeckung durch Antivirenprogramme zu verhindern. Stealth-Viren wie der Stealth_C setzen sich meist speicherresident im Rechner fest (TSR-Programm); sie sind oft so programmiert, dass sie bei jedem Neustart des Rechners neu geladen und gestartet werden. Einige Viren können sich zudem in leere Bereiche innerhalb eines Programms abspeichern, sodass die Dateigröße, meist ein wichtiges Indiz für Virensuchprogramme, unverändert bleibt - im Gegensatz zu normalen Viren, die ihren Code einfach an eine Datei anfügen, deren Größe dadurch entsprechend anwächst.

 

Virenschutzprogramme - in ihrer einfachsten Form - überprüfen ständig die Größe von Dateien und melden Änderungen bzw. Schreibversuche auf Dateien oder Speicherbereiche, die als schreibgeschützt definiert sind (z. B. den Master Boot Record). Normale Viren können dadurch vergleichsweise einfach abgefangen werden.

 

Stealth-Viren gehen meist anders vor und benutzen i. d. R. eine oder mehrere der drei folgenden Tarnmethoden.

 

- Beim einfachen Stealthing lädt sich der Virus in den Arbeitspeicher und überwacht alle Systemaufrufe. Prüft z. B. ein Antivirenprogramm die Größe der Virusdatei, so wird diese so verändert zurückgegeben, dass die Existenz des Virus verborgen bleibt.

 

- Beim Read Stealthing (dt. »Verschleierung während des Lesens«) überwacht der Virus nicht nur Systemaufrufe, sondern alle Versuche, eine Datei oder einen Bereich des Speichers bzw. Datenträgers zu lesen. Er verändert die zurückgegebenen Werte, indem er entweder die Daten einer versteckten Dateikopie zurückgibt, oder eine Kopie des Sektors meldet. Da ein Virus keine Kopie einer kompletten Festplatte machen kann, ohne dass der Speicherplatzverlust auffällt, werden meist nur das Inhaltsverzeichnis des Datenträgers und sein Boot-Sektor kopiert. Überprüft ein Anwender Dateien oder Sektoren, erhält er die kopierten und daher unverfälschten Informationen über diese Bereiche zurück. Ihre Existenz bietet allerdings auch eine Möglichkeit, nach einem erfolgreichen Entfernen des Virus die korrekten Datenträgerinformationen zu restaurieren.

 

- Beim Size Stealthing (dt. »Verschleiern von Größenänderungen«) verändert ein Virus die Einträge im Dateiverzeichnis und in eventuellen Header-Bereichen (Header) einer Datei, indem er dort die Dateigröße vor der Infektion abspeichert bzw. seine eigene Größe in Bytes von dem Wert im Verzeichnis abzieht. Dasselbe Resultat - eine ungeänderte Dateigröße - erreichen manche Stealth-Viren, indem sie ihren Programmcode in freie Bereiche innerhalb von Anwendungsprogrammen speichern.

 

Üblicherweise sind Stealth-Viren durch ein reines Überwachen der Computeraktivität nicht zu entdecken. Virenscanner müssen daher die Dateien selbst auf den Programmcode des Virus untersuchen. Da Stealth-Viren gerade dies zu unterbinden wissen, gehen manche Virenprogramme mit einer eigenen »Stealth«-Technik vor. Sie erzeugen im Hauptspeicher einen virtuellen Computer, mit dem sie überprüfen, ob ein Virus aktiv wird.