|
Viele der Viren verwenden bestimmte Tarnmechanismen, um in aller Ruhe "arbeiten" zu können.
Der Virus kann den Rückgabewert von Interrupt 12hex manipulieren, um den tatsächlich freien Speicher zu verfälschen.
Manche Viren ermitteln die absolute Adresse eines Interruptvektors. Damit können sie diese benutzen ohne einen Interrupt aufrufen zu müssen. Sie springen die ermittelte Adresse an und unterlaufen so Programme, die Interruptroutinen überwachen (=Tunneling).
Viren können auch diverse Diskettenzugriffe überprüfen. So kann der Virus einen lesenden Zugriff auf eine Datei erkennen und die Infizierung rückgängig machen, bis zum Beispiel ein Scan-Programm die Datei überprüft, aber keine Virensignatur erkannt hat. Danach wird die Datei wieder infiziert.
Durch überprüfen des Interrupts 13hex können Bootsektorviren einen ganz normalen Zugriff auf den Masterbootrecord, die Partitionstabelle und den Partitionsbootrecord gewähren, indem sie den Aufruf in die ausgelagerten Sektoren umleiten.
Auch können Viren mit falschen Dateilängeneinträgen in der FAT die Ausgabe des DIR-Befehls fälschen.
Viren verstecken natürlich die von ihnen erzeugten Dateien mit Attributen wie HIDDEN oder SYSTEM. Diese können auch Bitmuster darstellen, mit denen DOS nichts anfangen kann. Sie stellen dann für DOS unbekannte Daten dar.
Viren verschlüsseln auch ihren Code in den Dateien. Hier wird vor dem eigentlichen Virus eine Ent- und Verschlüsselungsroutine ausgeführt, die den Code wiederherstellt. Auch das zerwürfeln des Codes ist eine wirksame Technik, um nicht gefunden zu werden. Auch ein solcher Code wird natürlich wieder zusammengesetzt.
Einige Viren enthalten Signaturen von anderen Viren. Wird ein solch infiziertes Programm gefunden, entfernt der Virenscanner den vermeintlichen Virus und zerstört so die Datei.
Andere überprüfen, ob ein Interrupt von einem Virenprogramm "verbogen" ist, um Viren aufzuspüren. Ist dies der Fall, wird keine Infektion nicht durchgeführt.
Wie sich ein Virus tarnt bleibt einzig und allein der Phantasie des Programmierers überlassen (je besser, desto geringer ist die Möglichkeit, gefunden zu werden).
|
