Anleitung zum Virenbau

Liebe Leserinnen und Leser,

eine der wichtigsten Informationsquellen für Linux-Anwender ist die Seite http://www.freshmeat.net/, unter der täglich eine Menge neuer Anwendungen für Linux und andere Unix-Systeme vorgestellt werden. Auch neue Versionen von HOWTO-Dokumenten werden dort angekündigt, und in der letzten Oktoberwoche fand sich dort das ELF-Virus Writing HOWTO (http://www.lwfug.org/~abartoli/virus-writing-HOWTO/_html/).

Ein HOWTO zum Viren-Schreiben? Ist die ungestörte Zeit am Linux-Rechner jetzt etwa vorbei? Das HOWTO enthält detaillierte Beschreibungen, wie Viren im allgemeinen funktionieren, und wie speziell ausführbare Linux-Dateien im ELF-Format infiziert werden können.

Doch keine Sorge. Der Autor will nicht zum Schreiben von Virenprogrammen anregen, sondern über die theoretischen Grundlagen aufklären, um potentiellen (zukünftigen) Viren-Bedrohungen angemessen begegnen zu können. In der Frage, ob es hilfreich ist, solche Informationen zu veröffentlichen, spiegelt sich die alte Frage wider, ob Sicherheitslücken publik gemacht oder besser geheim gehalten werden sollten, um die Entwicklung so genannter "Exploits", die diese Lücken ausnutzen, zu erschweren.

Die Anhänger kommerzieller, proprietärer Software schwören auf das Konzept der Geheimhaltung: Was man nicht kennt, kann man auch nicht ausnutzen. Unter diesem Aspekt wollen sie sogar die Verbreitung von Informationen über Sicherheitslücken ihrer Produkte gerichtlich untersagen lassen – dabei beruft sich z. B. HP in den USA auf den DMCA (Digital Millennium Copyright Act).

In der Open-Source-Welt nennt man diese Methode, durch Geheimhaltung für Sicherheit sorgen zu wollen, "Security through obscurity" (http://www.tuxedo.org/~esr/jargon/html/entry/security-through-obscurity.html), und sie wird als ungeeigneter Versuch angesehen: Wird eine Sicherheitslücke nämlich trotz der Geheimhaltung entdeckt, kann ein Angriffsprogramm sehr lange erfolgreich sein und bleiben, bis es schließlich zu genug Aufsehen und eventuell zu einem Schließen der Sicherheitslücke durch den Hersteller kommt. Dagegen setzen die Open-Source'ler auf die systematische Untersuchung von Software auf Sicherheitsprobleme und das Offenlegen aller gefundenen Risiken: Dadurch wird der Hersteller (im Falle proprietärer Software) gezwungen, sich des Problems anzunehmen und für Abhilfe zu sorgen; bei freier Software kann sogar direkt derjenige die Lücke stopfen, der sie entdeckt hat.

Das Viren-HOWTO geht genau diesen Weg: Es beschreibt systematisch (und nur für Programmierer verständlich), wie man Linux-Viren erstellen könnte. (Im Detail geht es um die Infektion eines ausführbaren Linux-Programmes, also um den technischen Hintergrund, wie Virus-Code in ein vorhandenes Programm eingefügt werden kann.) Durch die genaue Analyse können die Risiken besser eingeschätzt werden, und den Systementwicklern wird damit ein Werkzeug an die Hand gegeben, mit dem sie sich auf eventuelle künftige Virenbedrohungen einstellen können.

Linux-Viren sind mit großer Wahrscheinlichkeit nicht im Umlauf. Eine anders lautende Presseerklärung eines Antiviren-Software-Herstellers wurde von Konkurrenten als Irreführung bezeichnet. Selbst wenn Sie mit einem Virus in Kontakt kommen, kann er keinen wirklichen Schaden anrichten: Zum Einen müssten Sie ein solches Programm explizit aufrufen; aus Linux-Mail-Programmen heraus lassen sich Binaries nicht per Mausklick starten. Wenn ein solches Programm dennoch gestartet wird, wird es wenig Freude an seiner Umgebung haben: Alle Systemprogramme sind dank fehlender Schreibrechte für Nicht-Root-Anwender geschützt; lediglich Binaries im Home-Verzeichnis des Anwenders könnten infiziert werden. Eine Schadensroutine könnte natürlich gestartet werden, aber das würde auch für ein als Attachment empfangenenes Shell-Skript mit dem Befehl "rm -rf $HOME" gelten: Programme oder Skripte, die Ihnen per Mail zugeschickt werden, sollten Sie halt direkt in den Trash-Ordner befördern.

Hans-Georg Eßer Chefredakteur