Vienna-Virus

Der Computervirus Vienna wurde 1988 von einem Schüler in Wien als Experiment geschrieben.

Charakteristiken

Vienna infiziert ausführbare Dateien (*.com) unter DOS, darunter auch die command.com. Bei Ausführung der infizierten Datei wird eine weitere, bisher noch nicht infizierte, Datei im gleichen Verzeichnis infiziert. Die eigentliche "Schadfunktion" umfasst lediglich eine Modifikation des Zeitstempels der betroffenen Datei. Die Sekundenangabe im Zeitstempel der Datei wird auf theoretisch "unmöglichen" Wert „62“ geändert. An Ende der infizierten Datei hängt sich der Virus selbst an, was die Datei um 648 Byte erweitert.

In einem von sechs Fällen wird jedoch nicht die Datei infiziert, d.h. der Virus hängt sich nicht an die ausführbare Datei an. Stattdessen werden die ersten fünf Bytes mit diesem Hexadezimalstring „EAF0FF00F0“ überschrieben. Werden diese Dateien später ausgeführt, kann es zu schweren Computerfehlern kommen, die einen Neustart zur Folge haben können. Da diese Dateien nicht infiziert wurden, ist es schwer diese später mit einem Virenscanner zu finden.

Da jedoch viele verschiedene Varianten von dem Virus existieren, können sich die Merkmale einer Infektion unterscheiden.

Geschichte

Der Virus wurde erstmals am 1. April 1988 in Moskau in einem "UNESCO Kinder Computer Camp" entdeckt.

Die große Nummer der Varianten und die weite Verbreitung, lässt sich damit erklären, dass der Quellcode des Virus in verschiedenen Büchern veröffentlicht wurde. Daher hatte der Virus auch großen Einfluss auf die Entwicklung von anderen Viren.

Varianten

• Lisbon

Diese Variante wurde zuerst in Portugal entdeckt. Sie wurde in großen Teilen modifiziert um Antivirenprogramme zu täuschen. Auch wird der Anfang von ausführbaren Dateien mit „@AIDS“ überschrieben

• New Vienna

Diese Gruppe von Varianten stammt aus Bulgarien, die Varianten sind von der Größe etwas kleiner als der Originalvirus. Die Schadfunktion wurde geändert - nun wird die Festplatte formatiert. Auch wurde ein "Error Handler" für kritische Fehler hinzugefügt

• Arf, Christmas Violator, Violator, Baby

Diese Gruppe von Varianten haben große Übereinstimmungen im Quellcode, daher wird angenommen, dass sie von demselben Autor stammen.

• Iraqui Warrior

Diese Variante beinhaltet einen Programmfehler, der verhindert, dass der Virus sich nach der ersten Infektion weiter ausbreiten kann. Auch ist dieser Text im Quellcode hinterlegt:

I come to you from The Ayatollah! (c)1990, VirusMasters

An Iraqui Warrior is in your computer

• NTKC

Diese Variante ist der bisher längste Datei infizierende Virus. Außer dieser Tatsache, gibt es jedoch keine weiteren Merkmale

• Vienna.Reboot

Diese Variante überschreibt ausführbare Dateien mit einem kleinem Programm, das den Computer neustartet.

Andere Varianten

• Vienna.Ambalama
• Vienna.Angel
• Vienna.BboDong
• Vienna.Bloodspill
• Vienna.BNB
• Vienna.Born
• Vienna.Bua
• Vienna.BY
• Vienna.ByteWarrior
• Vienna.DDrUS
• Vienna.DearUser
• Vienna.Dr. Q
• Vienna.Ender
• Vienna.Feliz
• Vienna.FatherChristmas
• Vienna.Grither
• Vienna.Gustav
• Vienna.Gympel
• Vienna.Hybryd
• Vienna.IRA
• Vienna.Kuzmitch
• Vienna.Monxla/Interceptor
• Vienna.Norilsk
• Vienna.Oscar
• Vienna.Parasite
• Vienna.Pivi
• Vienna.Saigon
• Vienna.SDI
• Vienna.Sector
• Vienna.Skate
• Vienna.SPb
• Vienna.Sunday
• Vienna.TheseDays
• Vienna.Viperize
• Vienna.Westmont

Weblinks

• Informationen von McAfee (eng.)
• Informationen von F-Secure (eng.)