VIRUSSEN MTSO-INFO 20 EN ANTI-VIRUSPROGRAMMA S NATHALIE DE REYT 2001

VIRUSSEN EN ANTI-VIRUSPROGRAMMA’S

MTSO-INFO 20

NATHALIE DE REYT 2001

Faculteit PSW – Universiteit Antwerpen Contact: prof. dr. Dimitri Mortelmans ([email protected]) Tel : +32 (03) 820.28.53 - Fax : +32 (03) 820.28.82

MTSO-INFO Documenten in de reeks MTSO-INFO werden geschreven door leden van de vakgroep MTSO (Methoden en Technieken van het Sociaal-Wetenschappelijk Onderzoek) met als doel op een heldere en eenvoudige manier bepaalde thema's van onderzoeksmethoden en computergebruik uit te leggen. De thema’s sluiten aan bij analysetechnieken of softwareprogramma’s die gebruikt worden aan de Faculteit PSW van de Universiteit Antwerpen. Vermits sommige documenten door andere leden van de Universiteit Antwerpen of daarbuiten nuttig kunnen zijn, worden deze gratis online aangeboden op http://www.ua.ac.be/mtso. Het downloaden en verspreiden van deze documenten is toegestaan mits correcte bronvermelding.

WAARSCHUWING: De documenten worden slechts sporadisch bijgewerkt. Dit heeft repercussies voor die documenten die slaan op software. De auteurs hebben niet de bedoeling om bij het uitkomen van nieuwe versies van programma’s steeds het hele document te herschrijven. Daarom dient de lezer er rekening mee te houden dat het document steeds slaat op de softwareversie zoals deze bij het uitkomen van het MTSO-INFO document gangbaar was.

VIRUSSEN EN ANTI-VIRUSPROGRAMMA’S Inhoud

1 INLEIDING .................................................................................................................................................. 2 2 WAT IS EEN COMPUTERVIRUS? .......................................................................................................... 2 3 GESCHIEDENIS.......................................................................................................................................... 3 4 TECHNISCHE EVOLUTIE ....................................................................................................................... 3 4.1 VORM ...................................................................................................................................................... 3 4.2 VAKMANSCHAP ....................................................................................................................................... 4 4.3 WIJZE VAN BESMETTING .......................................................................................................................... 4 4.4 LADING.................................................................................................................................................... 4 5 SOORTEN .................................................................................................................................................... 4 5.1 LOGISCH VIRUS ........................................................................................................................................ 5 5.2 WORM ..................................................................................................................................................... 5 5.3 GRAP ....................................................................................................................................................... 5 5.4 DROPPER ................................................................................................................................................. 6 5.5 TROJAANS PAARD .................................................................................................................................... 6 5.6 BOOT- OF GEHEUGENVIRUS ..................................................................................................................... 6 5.7 HOAX ...................................................................................................................................................... 7 6 SPYWARE.................................................................................................................................................... 8 7 MCAFEE VIRUSSCAN GEBRUIKEN ..................................................................................................... 9 7.1 OVERZICHT VAN VIRUSSCAN .................................................................................................................. 9 7.1.1 VirusScan................................................................................................................................... 9 7.1.2 VShield..................................................................................................................................... 10 7.2 SCHIJVEN SCANNEN OP VIRUSSEN .......................................................................................................... 11 7.3 VIRUSSCAN UPDATEN ............................................................................................................................ 12 7.3.1 Belang...................................................................................................................................... 12 7.3.2 Handmatig updaten ................................................................................................................. 12 7.3.3 Automatisch updaten ............................................................................................................... 17 7.4 VIRUSINFORMATIEBIBLIOTHEEK............................................................................................................ 19 8 TOT SLOT: ENKELE TIPS ..................................................................................................................... 20 9 BIBLIOGRAFIE ........................................................................................................................................ 21

© MTSO – INFO / UA - FPSW

2

1 Inleiding Nog niet zo lang geleden konden individuele computergebruikers virusinfecties eenvoudig voorkomen omdat ze slechts zelden in aanraking kwamen met mogelijke virusbronnen. Tegenwoordig sturen de meeste computergebruikers elkaar regelmatig berichten, delen gegevens en brengen bestanden over, of dit nu via een modem, diskettes, via een netwerk of via het internet is. Bovendien is het aantal virussen enorm opgelopen en verspreidden zij zich sneller en gemakkelijker dan ooit. Neem bijvoorbeeld de worm “Melissa”. Dit virus richtte in 1999 voor miljoenen dollars schade aan. Melissa verspreidde zich via Outlook. Eenmaal geactiveerd, stuurde Melissa zich automatisch door naar de eerste 50 adressen in het adresboek. Deze truc stond garant voor een snelle verspreiding. Bovendien werd Word op de computer besmet. Elke keer dat na de infectie een nieuw Wordbestand opgeslagen werd, stuurde Melissa dit besmette bestand opnieuw naar de eerste 50 adressen in het adresboek. Melissa begon haar tocht over de wereld op vrijdag. De maandag daarop waren al meer dan 250.000 computers over de hele wereld besmet. Dit voorbeeld toont aan dat het nemen van voorzorgsmaatregelen tegen computervirussen noodzakelijk is. 2 Wat is een computervirus? Een virus is een programma dat in staat is zichzelf zonder hulp van buitenaf te vermenigvuldigen op alle media die het kan bereiken en al dan niet onmiddellijk een bepaalde taak uitvoert. Meestal is die taak destructief: je harde schijf wordt gewist of er worden essentiële bestanden vernield. Hierbij maken we een belangrijk onderscheid tussen virussen die binnen één pc actief blijven en virussen die ongemerkt worden doorgegeven aan andere pc’s op een netwerk. De meest voorkomende oorzaken van computervirusbesmetting zijn: ♦ Contact met een geïnfecteerde computer via directe fysieke weg of via telecommunicatie. ♦ Het kopiëren van een onbekende schijf die een virusdragend programma bevat. ♦ Het downloaden van een bestand van het internet. ♦ Het starten van een besmet programma via een netwerk, een schijf of een diskette. ♦ Besmette software van een verkoper. ♦ Onvoorziene daden van werknemers, collega's, vrienden, kennissen of nog andere mensen.

© MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

3 3 Geschiedenis De eerste virussen doken al in de jaren zestig op. Het ging hierbij om “gecontroleerde virussen”, die ontwikkeld waren in laboratoria om hun mogelijkheden te testen. Ze vonden hun weg meestal niet naar buiten. In de jaren tachtig werd een handvol virussen verspreid door computergebruikers. Ze infecteerden voornamelijk universiteiten en onderzoekscentra. In het begin van de jaren negentig zorgden twee ontwikkelingen voor de snelle verspreiding van virussen. Allereerst was daar de opkomst van internet. Net zoals vliegtuigen en intercontinentale vluchten verantwoordelijk zijn voor de snelle verspreiding van biologische virussen, droegen internet en e-mail hun steentje bij aan de snelle verspreiding van computervirussen. In 81 procent van de gevallen wordt een virus nu via e-mail verspreid. Daarnaast heeft Microsoft een stevige vinger in de pap. Zij introduceerden Visual Basic Script (VBS), een macroprogrammeertaal. Deze maakt het mogelijk om op een snelle en eenvoudige manier applicaties voor Microsoft Windows te schrijven. “Visual” verwijst naar de grafische interface van het programma. “Basic” op zijn beurt verwijst naar de BASIC-taal (Beginners All-Purpose Symbolic Instruction Code), de programmeertaal zelf. 4 Technische evolutie In technisch opzicht hebben computervirussen een aantal evolutionaire stappen gemaakt. 4.1 Vorm Een virus kan verschillende vormen aannemen. Algemeen kan men een opdeling maken tussen programmavirussen en macrovirussen. Een programmavirus besmet programma's. Wordt een besmet programma gestart, dan komt een kopie van het virus in het werkgeheugen van de computer terecht en zal elk programma dat daarna wordt geopend ook besmet worden. Kopieën van deze besmette programma's die vervolgens de wereld worden ingestuurd, op schijven of via het internet, kunnen dan weer andere PC's en hun programmabestanden infecteren. Macrovirussen maken deel uit van documenten. Macro's zijn minuscule programmaatjes die in een tekstverwerker, een spreadsheet of iets dergelijks bepaalde reeksen handelingen automatisch uitvoeren. Macrovirussen bestaan niet uit een binaire code maar uit opdrachten in de scripttaal van Office-toepassingen. Deze scripttaal is relatief eenvoudig en is door iedereen toepasbaar. Macrovirussen hoeven niet aan een programma (software) gekoppeld te worden, maar kunnen ook in een gewoon bestand dat macro’s bevat (bijvoorbeeld een document) zitten. Voor een virusmaker is het vrij simpel om een macro met een virus te maken. Als deze macro aan een bestand wordt gekoppeld, is slechts het openen van zo'n bestand voldoende om het virus te activeren. Besmetting met een macrovirus kan


4 dus bijvoorbeeld via e-mail plaatsvinden doordat een besmet bestand als attachment is meegestuurd. Tegenwoordig komen macrovirussen minder voor. 4.2 Vakmanschap Deskundigheid en originaliteit zijn niet langer een vereiste voor het maken van een computervirus. Sinds jaren bestaan er complete toolkits voor het genereren van computervirussen. Deze toolkits zorgen ervoor dat zelf gebruikers met een minimum aan kennis op een eenvoudige manier virussen kunnen maken. Daardoor heeft er een explosie plaatsgevonden van varianten: van amateuristische tot professionele virussen. Het zijn vaak de eerste die de meeste schade kunnen aanrichten, aangezien amateurs vaak moeilijk de gevolgen van hun creaties kunnen inschatten. 4.3 Wijze van besmetting Vond besmetting tien jaar geleden vrijwel uitsluitend via diskettes plaats, de moderne computervirussen prefereren netwerken als transportmedium. Het World Wide Web en e-mail bieden natuurlijk nieuwe kansen door het massale gebruik ervan en vanwege het feit dat beide gemaakt zijn om direct informatie met anderen te delen. 4.4 Lading Niemand lacht meer om een computervirus. Daarvoor zijn ze te hinderlijk of schadelijk. Computervirussen zijn daarom ook niet ludiek meer, maar richten in het gunstigste geval geen extra schade aan. Dat is bijvoorbeeld het geval bij zogenaamde “proof of concept” computervirussen; een soort haalbaarheidsstudies. Maar dan wel studies die ten koste van anderen worden uitgevoerd… Kwaadaardige computervirussen die bijvoorbeeld heel snel uw harde schijf onbruikbaar maken komen echter regelmatig voor. En de grootste schrik blijft toch een computervirus dat ongemerkt gegevens manipuleert. 5 Soorten Computervirussen verspreiden zich door zichzelf vast te maken aan andere programma's of de opstartsector van een diskette. Wanneer een geïnfecteerd bestand wordt uitgevoerd of de computer wordt opgestart vanaf een geïnfecteerde schijf, wordt het virus zelf uitgevoerd. Vaak verbergt het zich in het geheugen en wacht het tot het volgende programma dat wordt uitgevoerd, kan besmetten of tot het de volgende schijf die wordt benaderd, kan besmetten. Bovendien zijn er veel virussen die een gebeurtenis starten, zoals het weergeven van een bericht op een bepaalde datum of het verwijderen van bestanden, wanneer het geïnfecteerde programma een bepaald aantal keren is gestart. Alhoewel sommige van deze gebeurtenissen geen kwaad kunnen (zoals het weergeven van een bericht), kunnen andere schadelijk zijn. Het grootste deel van de virussen is onschadelijk. Zij geven alleen berichten of afbeeldingen weer of doen helemaal niets. Andere virussen zijn vervelend, omdat zij het systeem vertragen of kleine veranderingen toebrengen aan het scherm. Andere virussen © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

5 zijn echter echt bedreigend, omdat zij het systeem laten vastlopen, bestanden beschadigen en ervoor zorgen dat u gegevens verliest Er zijn op dit moment ongeveer 12 000 virussen in omloop. In volgende paragraaf geven we een korte opsomming van de belangrijkste soorten: logisch virus, worm, grap, dropper, Trojaans paard, bootvirus en hoax. 5.1 Logisch virus Een logisch virus is een programma dat niet zozeer een ander programma besmet, maar het eenvoudigweg vervangt door een kopie van zichzelf met behoud van de oorspronkelijke programmanaam.

Het is vrij gemakkelijk op te sporen omdat het eigenlijke programma niet meer kan werken en omdat doorgaans wel opvalt, dat de lengte van het programma nogal drastisch ingekrompen werd. Een logisch virus heeft bijna altijd een destructieve taak: zoveel mogelijk gegevens op de harde schijf vernietigen.

5.2 Worm Een worm lijkt op een virus omdat het net als een virus zichzelf kopieert zonder hulp van buitenaf. Een worm verschilt van een virus doordat het geen andere programma's aantast, maar alleen tot doel heeft zoveel mogelijk opslagruimte in beslag te nemen. Sommige wormen nestelen zich in het werkgeheugen van de computer en vertragen het systeem. Vooral in de UNIX-wereld komen wormen regelmatig voor: hele netwerken werden hiermee platgegooid.

Voorbeeld: VBS.LoveLetter.A of het “I Love you virus” virus Dit virus ging grondig te werk. Nadat het e-mail attachment werd geopend, was het leed nauwelijks nog te overzien. Ten eerste vermenigvuldigde het virus zich door een kopie van zichzelf naar alle contactpersonen in het adresboek te versturen. Deze dachten een leuk mailtje van een bekende te krijgen en openden massaal het bericht. Windows verbergt in de standaardinstelling de extensie VBS. De virusmaker heeft deze dubieuze functionaliteit in Windows uitgebuit door in de bestandsnaam TXT op te nemen. Wie het virus ontving, dacht hierdoor dat het een onschuldig tekstbestand betreft. In werkelijkheid ging het om een zeer schadelijke programmaroutine in Visual Basic Script dat onmiddellijk aan het werk ging. Het virus veranderde van alles op de computer (bv. de startpagina). Er werden ongevraagd programma's gedownload. Verder werden er allerlei bestanden (MP3, CSS, JPG, etc.) aangepast, hernoemd tot een VBS-bestand en onbruikbaar gemaakt.

5.3 Grap Een grap kán maar hóeft geen virus te zijn. Zoals de naam al aangeeft, worden grappen vervaardigd met de bedoeling op de lachspieren te werken. Ze zijn dan ook niet destructief. Het is trouwens mogelijk dat de grap wel lollig is voor de auteur, maar dat je er zelf niet zo mee kunt lachen. We denken hierbij bijvoorbeeld aan grappen die de letters over het scherm heen en weer doen dansen. Een paar keer is dat wel leuk, maar dan wordt het toch al snel erg vervelend.


6 5.4 Dropper Een dropper is een speciaal geval. Dat is een programma dat zelf geen acties onderneemt om je systeem te ondermijnen, maar dat alleen tot taak heeft een virus achter te laten op je systeem. De dropper is speciaal ontworpen om detectie bij standaard anti-virusprogramma’s te voorkomen. De bedoeling hiervan is om het opsporen van het eigenlijke virus moeilijker te maken omdat het destructieve gedeelte van het kopieergedeelte gescheiden werd. 5.5 Trojaans paard In tegenstelling tot een virus, dat zich willekeurig vermenigvuldigt, kopieert een Trojaans paard zichzelf alleen als die actie past binnen zijn opdracht. Op die manier neemt het stap voor stap je computer of zelfs een heel netwerk over, totdat het arriveert op de plaats waar het zijn (meestal vernietigende) taak moet uitvoeren. Dit virus verleent zichzelf toegang tot een computer via een internetverbinding. Eenmaal gearriveerd wacht een Trojaans paard op een speciale gebeurtenis, een `trigger', om in actie te treden. Een Trojaans paard is zelfs in staat om zijn eigen sporen uit te wissen zodat het ongezien zijn vernietigende invloed uitoefent. Een virus zal vroeg of laat opvallen, een Trojaans paard kan lange tijd onopgemerkt blijven. In netwerken is een infectie met een Trojaans paard meestal fataal.

Voorbeeld: Back Orifice 2000 (afgekort BO2K) BO2K werd ontworpen als een back door-programma. Het nestelde zich op de harde schijf en liet een achterdeurtje open voor cyberinsluipers. Hierdoor bestond het risico dat men het per ongeluk installeerde. Het kon zich verstoppen in onschuldig ogende attachments zoals een digitale postkaart of een Word-document. Bijgevolg werden onbevoegden in staat gesteld om volledige controle te krijgen over netwerken met de besturingssystemen Windows 95, 98 en NT van Microsoft. De PC werd open gezet voor de buitenwereld. Het stuurde zelf een waarschuwing naar het IRC-kanaal #bo_owned, zodat de hele wereld kan zien dat er een besmette PC openstond. Gegevens wissen, bedrijfsgeheimen stelen of bijvoorbeeld kinderporno of virussen op de harde schijf zetten, werden op deze manier mogelijk. De makers van BO2K schreven dit het programma om de computerwereld bewust te maken van beveiligingsproblemen in Microsoftproducten.

5.6 Boot- of geheugenvirus Een bootvirus is een programma dat de inhoud van de bootsector vervangt. Wanneer een virus zich in de bootsector plaatst, zal het automatisch als eerste opgestart worden. Als het virus is opgestart, zorgt het er automatisch voor dat het originele bootprogramma (dat zich nu op een andere locatie bevindt) opgestart wordt, zodat het virus niet opvalt. Het virus heeft zich echter wel in het geheugen geplaatst. Als er nu toegang tot een diskette vastgesteld wordt, zal het virus zich automatisch in het opstartbereik van de diskette plaatsen. Door de opkomst van de CD-ROM komen de bootsvirussen minder voor. Bootvirussen zijn geheugenresident. Dit betekent dat ze zich bij de start van de computer in het geheugen nestelen en van daaruit op een gelegenheid wachten om zich te verspreiden. Dit verspreiden gebeurt wanneer het bootvirus ziet dat er toegang is tot een diskette. ♦ Als de bootsector geïnfecteerd is, wordt het virus automatisch geladen vanaf de start van de computer. © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

7 ♦ Het virus installeert zich in het werkgeheugen van de computer. ♦ In dit geheugen blijft het wachten en controleert het alle activiteiten. ♦ Wanneer de toegang tot een diskette wordt vastgesteld, kopieert het bootvirus zich in het opstartbereik van deze diskette. ♦ Zo wordt de diskette geïnfecteerd en kan het virus zich verplaatsen naar een andere computer. Het is aangeraden om het opstarten via een opstartdiskette zoveel mogelijk te vermijden. Zorg er steeds voor dat u uw diskette uit uw computer haalt op het moment dat u het niet meer nodig heeft. Maak een opstartdiskette van uw computer op het moment dat u zeker weet dat er geen virus op uw systeem staat. Beveilig deze diskette tegen schrijven door het vierkante lipje onderaan de diskette open te schuiven (zodat je er door kan kijken). Wanneer uw computer dan toch eens geïnfecteerd geraakt, kan u vanaf deze bootdiskette opstarten zodat het virus niet actief wordt. 5.7 Hoax Op het Internet is een vrijwel constante stroom aanwezig van berichten waarin wordt gewaarschuwd voor virussen. Niet zelden wordt in zulke waarschuwingen ook expliciet gevraagd deze aan zoveel mogelijk anderen door te geven. Men kan het misschien het best vergelijken met een kettingbrief. Tussen de waarschuwingen voor echte virussen bevinden zich echter ook tal van zogenaamde hoaxes, ofwel valse meldingen over niet bestaande, door grappenmakers verzonnen virussen. Deze nepvirussen zullen dus geen bestanden verminken of wissen en ook het computersysteem blijft onaangetast. Maar ondanks hun onschuldige karakter zorgen valse meldingen over virussen wel degelijk voor overlast. Zo overbelasten ze het netwerk. Bovendien bestaat het gevaar dat de gebruiker echte virusmeldingen zal gaan negeren. Er zijn verschillende methoden om hoaxes van echte virusalerts te onderscheiden. Voor een goed begrip daarvan is het noodzakelijk te kijken naar de twee kenmerken die het succes van een hoax bepalen. Dit zijn technisch klinkend taalgebruik en geassocieerde geloofwaardigheid. Als in een melding over een vermeend virus het juiste technisch jargon wordt gehanteerd, zullen veel gebruikers, ook als zij technisch onderlegd zijn, geneigd zijn te geloven dat het bericht waar is. De geloofwaardigheid van een virusmelding wordt voor een deel bepaald door het gehanteerde jargon. De geloofwaardigheid die door een valse virusmelding wordt gewekt, hangt daarnaast ook samen met de status van de persoon of instantie die het bericht doorgaf. Ga dus eerst na of de melding bovengenoemde kenmerken vertoont. Daarnaast zijn er nog andere tekenen die kenmerkend zijn voor een valse virusmelding. Bij gebruikers die een waarschuwing over een virus ontvangen moet al een lampje gaan branden als hen in de melding geadviseerd worden dit bericht aan al hun vrienden door te geven. Zo'n advies moet NOOIT worden opgevolgd. Bij twijfel raadpleegt men best de site van McAfee (http://vil.mcafee.com/hoax.asp). Eventueel kan men een medewerker van de werkgroep MTSO aanspreken. © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

8

Voorbeeld AOL4FREE Dit is een goed voorbeeld waar mensen een "HOAX" hebben gebruikt om een echt virus te creëren. Oorspronkelijk ging het om een bericht met betrekking tot een gevaarlijke virus dat eigenlijk niet bestond. Maar zodra deze "Hoax" op grote schaal verspreid werd en het bekend was dat het om een grap ging, is iemand een vernietigend virus beginnen te verspreiden als attachment bij het originele waarschuwingsbericht. Voorbeeld Big Brother Dit is een voorbeeld van een hoax die in 2000 een tijdje in Nederland heeft rond gecirculeerd. SUBJECT: FW: NIEUW VIRUS PAS OP VOOR BIG BROTHER VIRUS!!!! WANNEER JE EEN MAILTJE KRIJGT MET ALS TITEL: “BIG BROTHER 2, DE EERSTE NAAKTFOTO’S, OPEN DIT DAN NIET, WANT HET BEVAT EEN VIRUS. IN DIT BERICHT STAAT DAT DE BIJLAGE FOTO’S BEVAT VAN TWEE BB-BEWONERS SAMEN NAAKT ONDER DE DOUCHE. ALS JE DE BIJLAGE OPENT KRIJG JE INDERDAAD EEN FOTO TE ZIEN, MAAR DIT IS DUIDELIJK EEN TRUCAGE FOTO. MERK JE OP DAT MOMENT HELEMAAL NIETS. SLUIT JE ECHTER JE COMPUTER AF EN START JE LATER WEER OPNIEUW OP, DAN NESTELT HET VIRUS ZICH IN JE SYSTEEM. IN HET REGISTER WORDEN DINGEN GEWIJZIGD EN IN MSCONFIG WORDEN EEN AANTAL ZAKEN OVERSCHREVEN. OP HET MOMENT DAT JE WEER ONLINE GAAT WORDEN PER E-MAIL ALLE OP JE PC IN GEBRUIK ZIJNDE LOGIN-NAMEN EN BIJHORENDE WACHTWOORDEN VAN JE INTERNETVERBINDING NAAR EEN ONBEKEND E-MAIL ADRES GESTUURD. DIRECT HIERNA BEGINT HET VIRUS JE HARDE SCHIJF TE WISSEN.

VERDER

DIVERSE ANTI-VIRUS SOFTWARE LEVERANCIERS, WAARONDER MCAFEE, ZIJN INMIDDELS OP DE HOOGTE VAN DIT NIEUWE VIRUS EN ZIJN DRUK DOENDE OM HUN SOFTWARE AAN TE PASSEN. MOMENTEEL WORDT HET VIRUS NIET DOOR HUN SOFTWARE HERKEND. WEES DUS EXTRA ALERT DE KOMENDE TIJD EN WAARSCHUW VRIENDEN/BEKENDEN, ZODAT ZO MIN MOGELIJK MENSEN DE DUPE WORDEN VAN DIT HARDNEKKIGE VIRUS.

6 Spyware Het aanbod van gratis software lijkt soms overweldigend. Achter veel van deze programma's gaan zogenaamde spyware-applicaties schuil, kleine programma's die ongevraagd en achter je rug informatie doorsturen over het surfgedrag of je lastig vallen met reclamebanners. Programma’s als Audio Galaxy en iMesh ontworpen om MP3’s te downloaden, installeren applicaties die een loopje nemen met het recht op privacy. Daarbij worden gegevens over het surfgedrag doorgegeven, en advertenties en data gedownload. Zelden wordt er bij de installatie van spyware toestemming gevraagd aan de gebruiker. Los van mogelijke privacyschendingen, zijn er nog de factoren bandbreedte en systeemstabiliteit. Sommige spyware stuurt zoveel data door dat het je surfsnelheid aantast. Ze nemen kostbaar systeemgeheugen in beslag en draaien vaak zonder dat de gebruiker het weet. Heel de tijd wordt het surfgedrag bijgehouden en gecatalogeerd.

Spyware kan trouwens niet enkel via het internet op je pc terechtkomen. Er zijn gevallen bekend waarbij spyware, ingebakken zit in de software en meegeleverd wordt bij bepaalde stukken hardware. Spyware kan men opsporen met Ad-Aware van Lavasoft. Dit programma scant niet enkel niet enkel de harde schijf, maar tevens het geheugen van de pc. Meer © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

9 informatie omtrent Ad-Aware en het scannen op spyware, kan u lezen in MTSOINFO EXTRA 8. 7 McAfee VirusScan gebruiken Een veilige computeromgeving onderhouden, betekent regelmatig scannen op virussen. Afhankelijk van de mate waarin men diskettes met anderen uitwisselt, bestanden via een lokaal netwerk gebruikt of met andere computers via internet communiceert, kan dit variëren van één keer per maand tot zelfs enkele malen per dag. Een andere goede gewoonte is altijd te scannen voordat u een reservekopie van uw gegevens maakt, voordat u nieuwe programma's installeert of bestaande programma's bijwerkt. McAfee VirusScan is een programma dat in staat is om permanent naar virussen te scannen. Programma's, e-mails, gedownloade bestanden en actieve componenten van webpagina's worden voortdurend in het oog gehouden. 7.1 Overzicht van VirusScan De anti-virusproducten van McAfee beschikken over twee algemene methoden voor de beveiliging van het systeem. De eerste methode is scannen op de achtergrond. Hierbij wordt de computer voortdurend gecontroleerd op de aanwezigheid van virussen, terwijl u de computer gewoon kunt gebruiken. Bij VirusScan wordt deze taak uitgevoerd door de VShield-scanner. De tweede methode houdt in dat u uw eigen scanbewerkingen kunt starten. Deze bewerkingen worden in principe door de toepassing VirusScan uitgevoerd. 7.1.1 VirusScan U kunt VShield (cfr. 5.1.2) gebruiken om het geheugen van de computer te scannen en om het systeem te bewaken tussen de opeenvolgende scanbewerkingen. Onder normale omstandigheden is dit voldoende om de integriteit van het systeem te garanderen. Maar een goede bescherming en beveiliging tegen virussen vereist regelmatig een complete scan van het systeem, want: ♦ Bij scannen op de achtergrond worden bestanden gecontroleerd wanneer ze worden uitgevoerd. Met VShield zoekt u naar viruscodes zodra er uitvoerbare bestanden worden gestart of van een diskette worden gelezen, maar met VirusScan zoekt u ook naar viruscodes in bestanden die op de vaste schijf zijn opgeslagen. Als u een geïnfecteerd bestand maar zelden start, bestaat de kans dat u met VShield de virusinfectie pas ontdekt nadat het virus zijn werk al heeft gedaan. Met VirusScan kunt u echter ook virussen opsporen die nog niet zijn geactiveerd. ♦ Virussen zijn slim ontworpen. Als men een diskette in het diskettestation achterlaat terwijl de computer opstart, kan er een virus in het geheugen worden geladen voordat VShield wordt gestart, met name als VShield niet is ingesteld om diskettes te scannen. Een virus dat in het geheugen aanwezig is, kan vrijwel elk programma infecteren, zelfs VShield. © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

10 ♦ Als het op de achtergrond scannen tijdelijk is uitgeschakeld door een softwareconflict of als het scannen niet is ingeschakeld voor een bepaalde, kwetsbare ingang tot het systeem, kan de computer worden geïnfecteerd door een virus. Door regelmatig te scannen, kunt u virussen onderscheppen voordat deze schade veroorzaken. 7.1.2 VShield De VShield-scanner beschikt over een aantal mogelijkheden, waardoor het programma naadloos wordt geïntegreerd in het uitgebreide antivirusprogramma van VirusScan: ♦ Bij toegang scannen: Bij deze optie worden de bestanden die u opent, kopieert, opslaat of op andere wijze wijzigt en de bestanden die u vanaf diskette of het netwerk leest of ernaar schrijft, gescand. De VShield-scanner kan zo ingesteld worden dat deze niet alleen fungeert als primaire antivirusbeveiliging, maar ook tussentijdse bescherming biedt tussen elke uitgevoerde scanbewerking. Virussen in het geheugen worden ontdekt zodra een poging wordt gedaan deze vanuit geïnfecteerde bestanden uit te voeren. ♦ Detecteren en blokkeren van schadelijke objecten: Schadelijke ActiveX- en Java-objecten worden geblokkeerd voordat zij het systeem bereiken en een bedreiging kunnen vormen. ♦ Filteren van internetsites: De VShield-scanner bevat een lijst met onbetrouwbare websites en internetsites die een bedreiging voor het systeem kunnen vormen, meestal in de vorm van schadelijke software. ♦ Automatische uitvoering: De VShield-scanner is geïntegreerd met verschillende browser-software en e-mailtoepassingen. Op die manier kan de scanner worden aangemeld en de e-mailbijlagen scannen op virussen voordat deze de kans krijgen het systeem binnen te dringen.

De VShield-scanner bestaat uit vijf aan elkaar verwante modules die elk een specifieke functie hebben:

♦ Systeemscan: Deze module wordt gebruikt voor het zoeken naar virussen op de vaste schijf. Daarnaast scant deze module ook diskettes en netwerkstations die met het systeem verbonden zijn. ♦ E-Mailscan: Deze module wordt gebruikt voor het scannen van emailberichten en attachments. ♦ Downloadscan: Deze module wordt gebruikt voor het scannen van gedownloade bestanden. ♦ Internetfilter: Deze module wordt gebruikt voor het zoeken naar, en blokkeren van, schadelijke Java-klassen en ActiveX-besturingselementen. Bovendien kan met deze module de browser worden geblokkeerd zodat er geen verbinding wordt gemaakt met onbetrouwbare internetsites die schadelijke software bevatten. ♦ HAWK: HAWK (Hostile Activity Watch Kernel) houdt in de gaten of er op de computer geen verdachte activiteiten plaatsvinden die erop kunnen wijzen © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

11 dat het systeem is geïnfecteerd. In tegenstelling tot VirusScan, dat virussen onschadelijk maakt, zorgt HAWK ervoor dat virussen, wormen en Trojaanse paarden zich niet verder kunnen verspreiden. ♦

Beveiliging: Deze module wordt gebruikt voor het instellen van wachtwoordbeveiliging voor de overige modules van VShield.

7.2 Schijven scannen op virussen Klik in het Snelstart menu op Nu Scannen. Vervolgens moet men bepalen welke schijf men wil scannen op virussen, neem bijvoorbeeld een diskette. Selecteer de A:-schijf en klik onderaan het scherm op de knop Scannen.

VirusScan geeft de voortgang van het scanproces aan. Wanneer er geïnfecteerde bestanden gevonden werden, geeft men dit aan in de kader Geïnfecteerde bestanden beheren. Daar kan men kiezen wat men met de bestanden kan doen: ♦ Opschonen: Als u deze optie selecteert, wordt de viruscode uit een geïnfecteerd bestand verwijderd zodra deze is gevonden. Als het virus niet kan worden verwijderd, wordt de toegang tot het bestand geweigerd en wordt de gebeurtenis in het logboekbestand vermeld. ♦ Verwijderen: Kies deze optie als u geïnfecteerde bestanden wil laten verwijderen zodra deze worden gevonden. Zorg ervoor dat u de rapportoptie hebt geselecteerd, zodat u beschikt over een overzicht van de bestanden die zijn verwijderd. U zult de verwijderde bestanden met behulp van een eerder gemaakte reservekopie moeten herstellen. Als het geïnfecteerde bestand niet kan worden verwijderd, wordt dit in het logboekbestand vermeld. ♦ Info ♦ Quarantaine: u kan geïnfecteerde bestanden verplaatsen naar een quarantainemap. Hierdoor worden geïnfecteerde bestanden afgeschermd van


12 gebieden waar ze kunnen worden geopend en kunt u de bestanden opschonen of verwijderen op een moment dat u dat gelegen komt.

7.3 VirusScan updaten 7.3.1 Belang Elke maand komen er meer dan 200 nieuwe virussen bij. Deze nieuwe virussen kunnen vaak niet worden gedetecteerd door oudere gegevensbestanden. Eenmaal je McAfee VirusScan geïnstalleerd hebt (lees MTSO-Info Extra 8), komt het er dus op aan dit programma ook REGELMATIG te updaten. Dat kan handmatig of automatisch gebeuren. 7.3.2 Handmatig updaten Open Internet Explorer en ga naar het volgend adres: www.mcafee.com1.

1

De screenshots zijn gebaseerd op de website van McAfee in december 2001. Ondertussen kan deze er al anders uitzien. Het principe blijft natuurlijk hetzelfde. © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

13

Klik in het scherm Downloads aan.

Blader in dit scherm naar beneden en kies in het menu Anti-virus updates voor VirusScan 4.03 or higher. Als deze keuze in het venstertje geselecteerd is, kies dan voor GO.


14

Volgend scherm verschijnt dan:

Klik op de knop Download om het downloaden van de nieuwe versie te starten. Als het downloadvenster verschijnt, klik dan op OK:


15

Kies in het venster om het bestand op te slaan in C:\Temp. Dan is het later snel en eenvoudig terug te vinden:

Klik op Opslaan om het downloaden te starten.

Als het downloaden voltooid is, zal Windows het downloadvenster sluiten (soms moet je dat handmatig doen).


16 Start nu Verkenner op en ga naar de map Temp.

Dubbelklik op het bestand dat je net hebt gedownload om de update te starten.

Klik op Volgende om verder te gaan met de installatie.

Als de installatie voltooid (en gelukt) is, krijg je volgend scherm:


17

Klik om Voltooien om het programma af te sluiten. Soms zal gevraagd worden om de computer te herstarten. De update is nu volledig uitgevoerd. 7.3.3 Automatisch updaten Ga in de systeembalk naar het symbool van McAfee. Dubbelklik en je krijgt het volgende scherm. In dit scherm klik je op Zoeken naar een update van VirusScan.

McAfee gaat dan op zoek naar de laatste update. Indien deze beschikbaar is, vink deze update aan en klik op Bijwerken.


18

McAfee start dan met downloaden.

Mcafee geeft aan wanneer het downloaden is geslaagd. Druk op OK. We raden wel aan je computer opnieuw op te starten zodat de nieuwe VirusScan optimaal kan werken.


19

Opmerking: McAfee geeft zelf aan wanneer er een nieuwe versie van VirusScan kan gedownload worden. Je ziet dan in je takenbalk een icoontje van McAfee verschijnen.

Wanneer dit icoontje verschijnt is je virusscanner DRINGEND aan updating toe. Pas in dat geval bovenstaande update procedure toe. 7.4 Virusinformatiebibliotheek Wanneer men in het startmenu de optie Virusinformatiebibliotheek aanklikt, wordt er automatisch een link gelegd met de website McAfee AVERT (Anti-Virus Emergency Response Team).

Op deze website vindt men actuele informatie over bekende virussen en hun symptomen en kunt u tevens bijgewerkte DAT-bestanden (bestanden met antivirushandtekeningen) downloaden.


20

8 Tot slot: enkele tips ♦ Wees altijd op je hoede, ook al lijkt de afzender of bron te vertrouwen. ♦ Update regelmatig je antivirus-programma. ♦ Verhoog de veiligheidsgraad van de software die u gebruikt om te surfen (Internet Explorer, NetScape, etc) via de opties van deze programma's. ♦ Voer regelmatig een back-up uit van de informatie die op de computer staat (zie MTSO-INFO 19). ♦ Open geen verdachte attachment files of attachments die door een onbekende afzender werden verstuurd. Het is belangrijk dat de bestandsextensies (.exe, .com, .doc, enz.) leesbaar zijn2. Men kan dit zelf instellen. Open Windows Verkenner. Klik in de menubalk Extra op Mapopties. Kies het tabblad Weergave en klik de instelling Bestandsextensies verbergen voor bekende bestandstypes af. Druk op OK.

2

Volgende truc wordt regelmatig door virusmakers gehanteerd: Een virus heeft soms de extensie .vbs. Dat is een Visual Basic Script dat automatisch uitgevoerd kan worden en de pc kan besmetten. Virusmakers geven hun virusbestand dan de naam xxx.jpg.vbs Als de optie “Extensies verbergen” opstaat dan krijgt de gebruiker enkel xxx.jpg te zien en dan denkt hij dat het een tekening of foto is in het JPG-formaat (wat een heel gangbaar en onschuldig grafisch formaat is). Enkel door de opties “extensies verbergen” uit te schakelen krijgt de gebruiker de volledige bestandsnaam te zien en merkt hij dat het niet een jpg-bestand maar een vbsbestand is dat waarschijnlijk een virus bevat. © MTSO–INFO / UA–FPSW - http://www.ua.ac.be/mtso/

21

9 Bibliografie Site Site Site Site Site Site Site Site Site Site

Anti Virus Power Controls : http://www.antiviruspowercontrols.com Anti Viral Toolkit Pro: http://www.avp.ch/avpve/entry/entry2.htm#1-2 BIPT: http://www.bipt.be/bipt.htm Computer Knowledge: http://www.cknow.com/vtutor/vtintro.htm Decursor: http://www.decursor.be/On-line/Virussen/ Diskidee: http://www.diskidee.nl/cursus/cursus45.html Hoax Info: http://hoaxinfo.com/vprotect.htm McAfee: http://www.mcafee.com Microsoft: http://www.microsoft.com Webwereld: http://www.webwereld.nl/bijlage/01_19_d/3.phtml


VIRUSSEN MTSO-INFO 20 EN ANTI-VIRUSPROGRAMMA S NATHALIE DE REYT 2001

Recommend Documents