DE60303753T2

DE60303753T2 - Selektives Erkennen von böswilligem Rechnercode

Info

Publication number: DE60303753T2
Application number: DE60303753T
Authority: DE
Inventors: Carey Northridge Nachenberg; Peter Szor
Original assignee: Symantec Corp
Current assignee: Gen Digital Inc
Priority date: 2002-10-07
Filing date: 2003-09-30
Publication date: 2006-12-28
Anticipated expiration: 2023-10-01
Also published as: ATE319128T1; EP1408393A2; US7337471B2; ES2257643T3; US7458099B1; EP1408393B1; US20040068664A1; DE60303753D1; EP1408393A3

Description

Die vorliegende Erfindung bezieht sich allgemein auf das Erkennen der Anwesenheit von böswilligem Code (Schadenscode) in Computerdateien, und insbesondere auf die Verbesserung der Leistungsfähigkeit von Schadenscode-Erkennungsverfahren.
Im Verlaufe der kurzen Geschichte des Computers wurden und werden Systemadministratoren und Anwender von Mitteln zum Angriff auf die Datensicherheit (Angriffsmitteln) geplagt, zum Beispiel von Viren, Würmern und Trojanischen Pferden, die unter Umständen entwickelt wurden, um Hostcomputersysteme lahm zulegen und sich selbst auf verbundene Systeme auszubreiten.
In den letzten Jahren haben zwei Entwicklungsrichtungen die Bedrohung durch diese Angriffsmittel erhöht. Erstens hat die erhöhte Abhängigkeit von Computern für die Durchführung auftragsentscheidender Unternehmensaufgaben die wirtschaftlichen Kosten erhöht, die mit einer Ausfallzeit des Systems verbunden sind. Zweitens hat es die stärkere Vernetzung zwischen den Computern den Angriffsmitteln ermöglicht, sich innerhalb von Stunden auf eine große Anzahl von Systemen auszubreiten.
Angriffsmittel können ein System infizieren, indem sie den ausführbaren Code austauschen, der in vorhandenen Dateien gespeichert ist. Wenn das System versucht, den in diesen Dateien gespeicherten Code auszuführen, führt es statt dessen den vom Angriffsmittel eingefügten Schadenscode aus, wodurch es dem Angriffsmittel ermöglicht wird, die Kontrolle über das System zu erlangen. Virenscannerprogramme, zum Beispiel Norton Antivirus, hergestellt von Symantec Corporation in Cupertino, Kalifornien, erlauben es einem Anwender, festzustellen, ob eine Datei, die ausführbaren Code enthält, mit Schadenscode infiziert wurde.
Diese Dienstprogramme waren schon immer in der Lage, Viren zu erkennen, indem sie nach verdächtigen Codeabschnitten an bestimmten Stellen oder nach anderen, leicht erkennbaren Merkmalen suchen. Diese Verfahren können schnell abgearbeitet werden, ohne die Systemressourcen stark zu belasten.
Weil die Angriffsmittel jedoch immer ausgefeilter wurden, mussten die Virenscannerprogramme sogar noch kompliziertere Prüfungen durchführen, um die Anwesenheit von Schadenscode zu erkennen. So muss zum Beispiel ein Spezialcode große Teile einer Datei untersuchen oder komplizierte Emulationstechniken ausführen, um das Vorhandensein von Viren zu erkennen.
Diese Techniken müssen häufig fortlaufend ausgeführt werden und sind extrem zeit- und ressourcenintensiv. Die ausreichende Optimierung dieser Routinen – um zu verhindern, dass sie unerschwinglich zeitaufwendig werden, wenn sie auf eine große Anzahl von Dateien angewendet werden -wird extrem schwierig, da die Angriffsmittel immer zahlreicher und komplizierter werden. Erforderlich ist ein Verfahren zur Steigerung der Geschwindigkeit und zur Erhöhung der Zuverlässigkeit von Nachweismethoden.
WO 00/28420 beschreibt das Scannen einer Datei mit einem Antivirusmodul und das Abspeichern eines Hash-Wertes eines jeden gescannten Sektors in einer Datei mit kritischen Sektoren, des Datums einer neuesten Version eines Erkennungsmoduls und einer Versionsnummer des Moduls. Die Datei mit kritischen Sektoren wird zusammen mit der Datei auf einen Empfangscompu ter übertragen, wo der Hash-Wert erneut berechnet und mit dem gespeicherten Wert verglichen wird.
Ausführungsbeispiele der vorliegenden Erfindung sind in den angefügten Nebenansprüchen ausführlich dargelegt.
Ausführungsbeispiele der vorliegenden Erfindung umfassen Verfahren, Systeme und computerlesbare Medien zum Erkennen der Infizierung einer Computerdatei (340) mit einem Angriffsmittel. Eine Scan-Engine (205) erzeugt einen neuen Hash-Wert eines kritischen Virus-Zielbereichs der Datei (340) und vergleicht ihn mit einem gespeicherten Hash-Wert des kritischen Virus-Zielbereichs. Für jedes Angriffsmittel bestimmt die Scan-Engine (205), ob die Datei (340) mit einer neuesten Version eines, dem Angriffsmittel zugeordneten Erkennungsmoduls (425) gescannt wurde. Wenn die Hash-Werte identisch sind und die Datei (340) mit der neuesten Version des Erkennungsmoduls (425) gescannt wurde, stellt die Scan-Engine (205) fest, dass die Datei (340) nicht mit dem Angriffsmittel infiziert ist.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Diese und andere, mehr ins Detail gehende, spezielle Ziele und Merkmale der vorliegenden Erfindung werden in der folgenden Beschreibung anhand der Zeichnungen besser ersichtlich, auf denen folgendes dargestellt ist:
1 ist ein Blockschaltbild auf höchster Ebene, das ein Computersystem 100 anschaulich darstellt, auf dem möglicherweise Schadenscode erkannt wurde.
2 ist eine Blockschaltbild, das einen genaueren Blick auf den Arbeitsspeicher 106 und den Massenspeicher 108 des Computersystems 100 nach 1 zeigt.
3 ist eine Blockschaltbild, das einen Eintrag 300 in eine Datenbank 215 zur Speicherung der Scan-Vorgeschichte darstellt.
4 ist ein Blockschaltbild, das einen genaueren Blick auf eine Scan-Engine 205 darstellt.
5 ist ein Flußdiagramm, das ein bevorzugtes Ausführungsbeispiel der vorliegenden Erfindung zeigt.
AUSFÜHRLICHE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE
Ein Ausführungsbeispiel dient dazu, zu bestimmen, ob eine Datei 390 Schadenscode enthält, indem ein Hash-Wert eines kritischen Virus-Zielbereichs (CVTR) überprüft wird.
Gemäß seiner Verwendung in diesem Dokument bezieht sich der Ausdruck CVTR auf einen Bereich einer Datei 340, der üblicherweise verändert wird, wenn die Datei 340 mit Schadenscode infiziert ist. Kritische Virus-Zielbereiche (CVTRs) können für eine Datei 340 spezifisch sein und können den Anfangskennsatz einer ausführbaren Datei, den Bereich um eine Haupteinsprungstelle des Programms, den Auslagerungsbereich der Datei 340 oder einen beliebigen Abschnitt der Datei 340 umfassen, der durch ein Angriffsmittel wahrscheinlich verändert wird. Eine Datei kann eine Vielzahl von CVTRs enthalten, von denen jeder mit bestimmten Angriffsmitteln assoziiert ist.
Gemäß seiner Verwendung in diesem Dokument bezieht sich der Ausdruck „böswilliger Code" (Schadenscode) auf ein beliebiges Programm, Modul oder Codefragment, das in einen Computer ohne Wissen eines autorisierten Nutzers und/oder gegen den Willen eines autorisierten Nutzers eindringt. Der Ausdruck „Angriffsmittel" schließt Trojanische Pferde, Würmer, Viren und andere heimtückische Software dieser Art ein, die Schadenscode in eine Datei 340 einfügt. Ein Angriffsmittel kann die Fähigkeit besitzen, sich selbst zu replizieren und andere Computersysteme zu gefährden. Gemäß ihrer Verwendung in diesem Dokument beziehen sich die Ausdrücke „infiziert" und „Infizierung" auf den Prozeß der Einfügung von Schadenscode in eine Datei.
Gemäß seiner Verwendung in diesem Dokument ist der Ausdruck „Hash-Wert" oder „Hash-Funktion" eine nicht umkehrbare Funktion (one-way-Funktion), von einer variablen Eingangsgröße hin zu einer festen Ausgangsgröße, wobei die Funktion im wesentlichen kollisionsfrei ist. Normalerweise ist die Ausgangsgröße kleiner als die Eingangsgröße. „One-way" heißt, dass es einfach ist, den Ausgangswert aus dem Eingangswert zu berechnen, aber rechnerisch undurchführbar, die Eingangsgröße aus der Ausgangsgröße zu berechnen. „Im wesentlichen kollisionsfrei" bedeutet, dass es sehr schwierig ist, zwei oder mehrere Eingangsgrößen zu finden, die nach Anwendung der Hash-Funktion die selbe Ausgangsgröße ergeben. Beispiele geeigneter Hash-Funktionen, die in diesem Ausführungsbeispiel eingesetzt werden können, sind die MDS-Funktion und die CRC-Funktion (zyklische Redundanzprüfung).
1 ist ein Blockschaltbild auf höchster Ebene, das ein Computersystem 100 anschaulich darstellt, auf dem möglicherweise Schadenscode erkannt wurde. Dargestellt ist ein Prozessor 102, der an einen Bus 104 angeschlossen ist. Es können auch mehrere Prozessoren 102 vorhanden sein. Weiterhin sind an den Bus 104 ein Arbeitsspeicher 106, ein Massenspeicher 108, eine Tastatur 110, eine Graphikkarte 112, ein Zeigegerät 114 und ein Netzwerkadapter 116 angeschlossen. Ein Monitor 118 ist an die Graphikkarte 112 angeschlossen.
Prozessor 102 kann ein beliebiger spezifischer oder ein allgemein verwendbarer Prozessor sein, zum Beispiel ein INTEL x86 oder eine POWERPC-kompatible zentrale Verarbeitungseinheit (CPU). Der Massenspeicher 108 kann eine beliebige Einrichtung sein, die in der Lage ist, große Datenmengen zu speichern, zum Beispiel eine Festplatte, eine nur lesbare Kompaktdisk (CD-ROM), DVD oder eine andere Art eines fest installierten oder eines Wechseldatenträgers.
Der Arbeitsspeicher 106 speichert Befehle und Daten, die vom Prozessor 102 verwendet werden. Das Zeigegerät 114 kann eine Maus, ein berührungsempfindlicher Bildschirm oder eine andere Art eines Zeigegerätes sein, und wird gemeinsam mit der Tastatur 110 benutzt, um Daten in das Computersystem 100 einzugeben. Die Arten der Hardware und der Software innerhalb des Computersystems 100 können variieren.
2 ist ein Blockschaltbild, das einen genaueren Blick auf den Arbeitsspeicher 106 und den Massenspeicher 108 des Computersystems 100 gemäß 1 zeigt. Der Arbeitsspeicher 106 enthält eine Scan-Engine 205, welche die Anwesenheit von Schadenscode im Computersystem 100 aufspürt.
Die Scan-Engine 205 enthält eine Gruppe von Modulen, die im Massenspeicher 108 gespeichert sind und in den Arbeitsspeicher 106 geladen werden. Gemäß seiner Verwendung in diesem Dokument bezieht sich der Ausdruck „Modul" auf Computerprogrammlogik und/oder beliebige Hardware oder Schaltungen, die verwendet werden, um die dem Modul zugeordnete Funktionalität bereitzustellen. Ein Modul kann in Form von Hardware, Software, Firmware oder einer beliebigen Kombination daraus implementiert sein.
Die Scan-Engine 205 identifiziert Daten, die auf die Anwesenheit von Angriffsmitteln überprüft werden müssen, sucht nach den Angriffsmitteln, und reagiert, falls dies erforderlich ist, auf ein erkanntes Angriffsmittel. Die zu überprüfenden Daten befinden sich üblicherweise im Massenspeicher 108, im Arbeitsspeicher 106 oder in beiden. Die Scan-Engine 205 identifiziert deshalb spezielle Dateien 210 und/oder Speicherorte, die auf Angriffsmittel überprüft werden müssen. Andere Daten, die von der Scan-Engine 205 identifiziert werden, schließen vom Computersystem 100 empfangene oder gesendete E-Mail, Datenströme, die aus dem Internet empfangen wurden und so weiter, ein. Die Scan-Engine 205 enthält ein Versions-Identifizierungszeichen, das jedesmal aktualisiert wird, wenn eine neue Version der Scan-Engine 205 installiert wird.
Der Massenspeicher 108 enthält ausführbare Dateien 210 und eine CVTR-Datenbank 215. Die ausführbaren Dateien 210 sind Dateien, die ausführbaren Code enthalten, der vom Computersystem 100 ausgeführt wird, um zahlreiche rechnerische Aufgaben abzuarbeiten. Die CVTR-Datenbank 215 enthält Informationen zum Scanvorgang, die sich auf jede einzelne ausführbare Datei 210 beziehen. Die CVTR-Datenbank 215 speichert vorzugsweise einen CVTR-Bereich 310 jeder ausführbaren Datei 210, ein Datei-Identifizierungszeichen (ID) 305 und Identifizierungszeichen 320, welche die neueste Version der auf die Datei 340 angewendeten Scan-Engine 205 anzeigen.
3 ist ein Blockschaltbild, das einen Eintrag 300 in eine CVTR-Datenbank 215 darstellt. Jeder Eintrag 300 spei chert Informationen über eine Datei 340, Der Eintrag 300 enthält ein Datei-Identifizierungszeichen 305, das einzig die Datei 340 für die Scan-Engine 205 identifiziert. Das Datei-Identifizierungszeichen 305 kann der Dateiname oder ein Hash-Wert eines spezifischen Teils der Datei 340 sein. Die Verwendung eines Hash-Wertes als Identifizierungszeichen erlaubt es der Scan-Engine 205, Dateien 210 zu identifizieren, selbst dann, wenn der Name der Datei 340 verändert wurde, böswillig oder auf andere Art und Weise.
Eintrag 300 enthält zusätzlich einen Abschnitt 310, der Hash-Werte eines oder mehrerer CVTR-Bereiche der Datei 340 speichert. Diese Hash-Werte werden erzeugt, wenn die Scan-Engine 205 einen komplexen Virensuchlauf (Scan) der Datei 340 durchführt. Der Abschnitt 310 kann einen Hash-Wert eines einzelnen CVTR enthalten, der beim Erkennen aller Angriffsmittel verwendet wird. Alternativ kann der Abschnitt 310 auch Hash-Werte einer Vielzahl von CVTR speichern, wobei jeder CVTR mit einem oder mehreren Angriffsmitteln assoziiert ist. Erkannte Veränderungen in einem CVTR, zum Beispiel die Zunahme eines Größenfeldes, sind Anzeichen einer möglichen Infizierung mit einem Angriffsmittel, sie sind unter Umständen jedoch nicht von Nutzen als Indikator eines spezifischen Angriffsmittels. Das Nichtvorhandensein einer Veränderung an sämtlichen CVTR ist jedoch ein zuverlässiger Indikator dafür, dass kein Angriffsmittel Schadenscode in die Datei 340 eingefügt hat.
Jeder Eintrag 300 enthält außerdem eine komplexe Version eines Abschnitts mit einem Virenerkennungsalgorithmus (CVDAV-Abschnitt 320). Jeder CVDAV-Abschnitt 320 speichert die Version der Scan-Engine 205, die zuletzt verwendet wurde, um die Datei 340 zu scannen. Wenn eine neuere Version der Scan-Engine 205 einen Scan der Datei 340 auf be liebige Angriffsmittel durchführt, wird der CVDAV-Abschnitt 320 aktualisiert.
4 ist ein Blockschaltbild, das einen genaueren Blick auf eine Scan-Engine 205 darstellt. Die Scan-Engine 205 enthält ein Selektionsmodul 410. Das Selektionsmodul 410 legt fest, welche Prüfungen an den ausführbaren Dateien 210 vorgenommen werden sollen. Das Selektionsmodul 410 ist konfiguriert, um einen Datenbank- Eintrag 300 für die Datei 340 zu bewerten und um festzulegen, welche einfachen Erkennungsmodule 420 und welche komplexen Erkennungsmodule 425 auf die Datei 340 anzuwenden sind.
Ein Hash-Generator 430 ist so konfiguriert, dass er einen Hash-Wert eines CVTR-Bereiches einer Datei 340 erzeugt. Die erzeugten Hash-Werte werden mit den zuvor erzeugten Hash-Werten 310 verglichen, die in der CVTR-Datenbank 215 gespeichert sind, um zu bestimmen, ob die Datei 340 verändert wurde.
Die Scan-Engine 205 enthält eine Gruppe einfacher Erkennungsmodule 420. Diese Erkennungsmodule 420 prüfen typischerweise ausgewählte Bereiche einer Datei 340 auf verschiedenwillige Codesequenzen oder andere Signaturinformationen. Alternativ können die Module 420 die Datei 340 auf verschiedenwillige Merkmale, zum Beispiel auf eine bestimmte Größe überprüfen. Jedes der einfachen Erkennungsmodule 420 ist mit einem bestimmten Angriffsmittel assoziiert. Die Scan-Engine 205 wendet typischerweise eine Vielzahl von einfachen Erkennungsmodulen 420 parallel an.
Die Scan-Engine 205 umfaßt zusätzlich einen Satz komplexer Erkennungsmodule 425. Diese Erkennungsmodule 425 sind konfiguriert, um weiter fortgeschrittene Prüfungen an einer Datei 340 durchzuführen, um zu bestimmen, ob Schadenscode anwesend ist. So ist zum Beispiel ein komplexes Erkennungsmodul 425 hilfreich, um die Anwesenheit eines verschlüsselten polymorphen Virus zu erkennen. Ein verschlüsselter polymorpher Virus („polymorpher Virus") enthält eine Entschlüsselungsroutine und einen verschlüsselten Virenkern. Um Standard-Erkennungsverfahren zu umgehen, verwenden polymorphe Viren Entschlüsselungsroutinen, die von der Funktion her für jede infizierte Datei 340 identisch sind, die jedoch unterschiedliche Befehlssequenzen aufweisen. Somit kann die Scan-Engine 205 einen polymorphen Virus nicht erkennen, wenn sie eines der einfachen Erkennungsmodule 420 anwendet. Statt dessen wendet die Scan-Engine 205 ein komplexes Erkennungsmodul 425 an, das die ausführbare Datei 340 in einen softwarebasierten CPU-Emulator lädt, der als simulierter virtueller Computer agiert. Die Datei 340 darf innerhalb dieses virtuellen Computers ohne Einschränkung ausgeführt werden. Falls die ausführbare Datei 340 einen polymorphen Virus enthält, ist es der Entschlüsselungsroutine erlaubt, den Virenkern zu entschlüsseln. Das Erkennungsmodul 425 erkennt den Virus, indem es den virtuellen Speicher des virtuellen Computers nach einer Signatur des entschlüsselten Virenkerns absucht. Die komplexen Erkennungsmodule 425 können auch so konfiguriert sein, dass sie metamorphe Viren erkennen, die, obzwar sie nicht notwendigerweise verschlüsselt sind, ebenfalls die Befehle verändern, die im Virenkern oder einem beliebigen anderen Typ eines Angriffsmittels gespeichert sind, das mit Hilfe eines einfachen, signaturbasierten Erkennungsverfahrens nicht erkannt werden kann.
Typischerweise ist jedes komplexe Erkennungsmodul 425 mit einem bestimmten Angriffsmittel assoziiert und so ausgelegt, dass es dessen Anwesenheit erkennt, obwohl in alternativen Ausführungsbeispielen eine Vielzahl von Erkennungsmodulen 425 einem einzigen Angriffsmittel zugeordnet sein kann, oder ein einzelnes Erkennungsmodul 425 dafür ausgelegt sein kann, eine Vielzahl von Angriffsmitteln zu erkennen.
Jedes komplexe Erkennungsmodul 425 enthält eine Versionsnummer, welche die letzte Version der Scan-Engine 205 anzeigt, die eine aktualisierte Version des Erkennungsmoduls 425 enthält. Wenn eine neue Version der Scan-Engine 205 installiert ist, enthalten die neueren Versionen derjenigen Erkennungsmodule 425, die aktualisiert sind, das Versions-Identifizierungszeichen der neu installierten Version der Scan-Engine 205. Diese Informationen ermöglichen es der Scan-Engine 205, zu bestimmen, ob eine Datei 340 mit der neuesten Version eines Erkennungsmoduls 425 überprüft wurde. Die Scan-Engine 205 überprüft den CVDAV-Eintrag 320, welcher mit der Datei 340 assoziiert ist, um die letzte Version der auf die Datei 340 angewandten Scan-Engine 205 zu bestimmen.
5 ist ein Flußdiagramm, das ein bevorzugtes Ausführungsbeispiel der vorliegenden Erfindung zeigt. Das Programm beginnt damit, dass die Scan-Engine 205 die einfachen Erkennungsmodule 420 auf die zu scannende Datei 340 anwendet 505. Typischerweise wird dieses Programm abgearbeitet, bis sämtliche einfachen Erkennungsmodule 420 auf die Datei 340 angewandt wurden. Anschließend liest der Hash-Generator 430 die Datei 340 und berechnet 510 einen Hash-Wert des kritischen Virus-Zielbereichs der Datei 340.
Das Erkennungsmodul 410 bestimmt 520 anschließend, ob die CVTR-Datenbank 215 einen Eintrag 300 für die aktuelle Datei 340 enthält. Wenn die Datei 340 nicht in der Datenbank 215 vorhanden ist, wird vom Selektionsmodul 410 ein komplexes Erkennungsmodul 425 auf die Datei 340 angewandt 525.
Falls die Datei 340 in der Datenbank 215 auftaucht, bestimmt 535 das Selektionsmodul 410, ob die Datei 340 mit der neusten Version des Erkennungsmoduls 425 gescannt wurde, durch überprüfen des CVDAV-Abschnitts 320 des Eintrags 300, der mit der Datei 340 in der CVTR-Datenbank 215 korrespondiert, um die Version der Scan-Engine 205 zu bestimmen, die zuletzt auf die Datei 340 angewandt wurde. Das Selektionsmodul 410 prüft anschließend die Versionsnummer des aktuellen komplexen Erkennungsmoduls 425, um die letzte Version der Scan-Engine 205 zu bestimmen, die eine aktualisierte Version des Erkennungsmoduls 425 enthält. Wenn die Versionsnummer der Scan-Engine 205, die zuletzt auf die Datei 340 angewandt wurde, gleich oder höher als die Versionsnummer der neusten Version der Scan-Engine 205 ist, die eine aktualisierte Version des Erkennungsmoduls 425 enthält, bestimmt die Scan-Engine 205, dass die Datei 340 mit der neusten Version des aktuellen Erkennungsmoduls 425 gescannt wurde.
Falls das Selektionsmodul 410 feststellt, dass die Datei 340 nicht mit der neusten Version des Erkennungsmoduls 425 gescannt wurde, wird von der Scan-Engine 205 das neuste komplexe Erkennungsmodul 425 auf die Datei 340 angewandt 525.
Falls der CVDAV-Bereich 320 anzeigt, dass die Datei 340 mit dem aktuellen Erkennungsmodul gescannt wurde, bestimmt 540 das Selektionsmodul 410, ob der CVTR sich verändert hat, indem es den neu generierten Hash-Wert des CVTR mit dem Hash-Wert 310 vergleicht, der in der CVTR-Datenbank 215 gespeichert ist. Wenn das Selektionsmodul 410 festlegt, dass der CVTR verändert wurde, wendet die Scan-Engine 205 das komplexe Erkennungsmodul 425 auf die Datei 340 an. Wenn das Selektionsmodul 410 festlegt, dass der CVTR nicht verändert wurde, bestätigt 592 das Selektionsmodul 410, dass die Datei nicht mit dem aktuellen Angriffsmittel infiziert ist. Das Verfahren wird für jedes komplexe Erkennungsmodul 425 wiederholt 545, bis die Datei 340 auf jedes Angriffsmittel hin überprüft wurde, das der Scan-Engine 205 bekannt ist.
Falls ein komplexer Virensuchlauf (Scan) an der Datei 340 auf etwaige Angriffsmittel ausgeführt 525 ist, aktualisiert 598 das Aktualisierungsmodul 415 die CVTR-Datenbank 215, um etwaige Veränderungen wiederzuspiegeln. Das Aktualisierungsmodul 415 speichert den zuletzt generierten Hash-Wert des CVTR im Hash-Feld 310 und speichert die aktuelle Versionsnummer der Scan-Engine 205 im CVDAV-Feld 320. Falls zuvor kein Eintrag für die Datei 340 existierte, erzeugt das Aktualisierungsmodul 415 einen neuen Eintrag 300, speichert den zuletzt erzeugten CVTR Hash-Wert im Hash-Feld 310 und speichert die Versionsnummer der aktuellen Scan-Engine 205 im CVDAV-Feld 320. Anschließend beendet 550 die Scan-Engine 205 das Scannen der Datei 340.
Die vorliegende Erfindung kann mit Hilfe eines Computerprogramms implementiert werden, das auf einem Standard-Tischcomputer läuft. Ein Ausführungsbeispiel der vorliegenden Erfindung stellt auf diese Art und Weise ein Speichermedium bereit, das prozessorimplementierbare Befehle für die Steuerung eines Prozessors speichert, um das oben beschriebene Verfahren durchzuführen.
Weiterhin kann das Computerprogramm in elektronischer Form bezogen werden, zum Beispiel durch Herunterladen des Codes über ein Netzwerk, zum Beispiel über das Internet. Auf diese Art und Weise wird in Übereinstimmung mit einem anderen Ausführungsbeispiel der vorliegenden Erfindung ein elektrisches Signal bereitgestellt, das prozessorimplementierbare Befehle zur Steuerung eines Prozessors trägt, damit dieser das oben beschriebene Verfahren ausführt.
Die obige Beschreibung wurde mit aufgenommen, um den Betrieb der bevorzugten Ausführungsbeispiele anschaulich darzustellen und stellt keinerlei Einschränkung des Schutzbereichs der Erfindung dar. Der Schutzbereich der Erfindung wird ausschließlich von den nachfolgenden Ansprüchen bestimmt. Zahlreiche Abänderungen der Erfindung, die immer noch in den Schutzbereich der Erfindung fallen, sind für den Fachmann in Lichte der vorgenannten Offenbarung sofort ersichtlich.

Claims

Verfahren zum Betreiben eines Systems (205, 215) zum Erkennen der Infizierung einer Computerdatei (340) mit einem beliebigen, aus einer Vielzahl von Mitteln zum Angriff auf die Datensicherheit (Angriffsmitteln), wobei das Verfahren folgende Schritte umfasst: erzeugen (510) eines neuen Hash-Wertes eines kritischen Virus-Zielbereichs der Datei; und für jedes Angriffsmittel durchführen folgender Schritte: vergleichen (540) des neuen Hash-Wertes des kritischen Virus-Zielbereichs mit einem zuvor erzeugten Hash-Wert des kritischen Virus-Zielbereichs; feststellen (535), ob die Datei auf Infizierung mit dem Angriffsmittel mit einer neuesten Version eines entsprechenden Erkennungsmoduls (425) gescannt wurde, und feststellen (542), dass die Datei nicht mit dem Angriffsmittel infiziert ist, wenn der neue Hash-Wert und der zuvor erzeugte Hash-Wert identisch sind und wenn festgestellt wird, dass die Datei mit der neuesten Version des Erkennungsmoduls gescannt wurde.
Verfahren nach Anspruch 1, weiter umfassend den Schritt, dass für jedes Angriffsmittel das Erkennungsmodul auf die Datei angewandt wird, in Antwort auf eine Feststellung, dass die Datei nicht mit der neuesten Version des Erkennungsmoduls gescannt wurde.
Verfahren nach Anspruch 2, weiter umfassend den Schritt, dass für jedes Angriffsmittel ein Indikator einer neuesten Version einer Scan-Engine aktualisiert wird, die auf die Datei angewandt wird, um eine aktuelle Version der Scan-Engine zu kennzeichnen.
Verfahren nach Anspruch 1, wobei der Schritt des Feststellens, ob die Datei mit einer neuesten Version des Erkennungsmoduls auf Infizierung mit dem Angriffsmittel gescannt wurde, folgende Teilschritte umfasst: feststellen einer neuesten Version einer Scan-Engine, die auf die Datei angewandt wird; feststellen einer neusten Version der Scan-Engine, um eine aktualisierte Version des Erkennungsmoduls einzubeziehen; und feststellen, dass die Datei mit der neuesten Version des Erkennungsmoduls gescannt wurde, wenn die neueste Version der Scan-Engine, die auf die Datei angewandt wurde, nicht früher erzeugt wurde, als die neueste Version der Scan-Engine, um eine aktualisierte Version des Erkennungsmoduls einzubeziehen.
Verfahren nach Anspruch 1, weiter umfassend den Schritt des Anwendens (525) des Erkennungsmoduls auf die Datei, in Antwort auf eine Feststellung, dass der neue Hash-Wert und der zuvor erzeugte Hash-Wert nicht identisch sind.
Verfahren nach Anspruch 5, weiter umfassend den Schritt des Ersetzens (549) des zuvor erzeugten Hash-Wertes des kritischen Virus-Zielbereichs durch den neuen Hash-Wert des kritischen Virus-Zielbereichs.
Verfahren nach Anspruch 1, wobei der kritische Virus-Zielbereich einen Anfangskennsatz einer ausführbaren Datei enthält.
Verfahren nach Anspruch 1, wobei der kritische Virus-Zielbereich den Anfang eines Auslagerungsbereichs enthält.
Verfahren nach Anspruch 1, wobei der kritische Virus-Zielbereich einen Bereich um einen Programmeintrittspunkt enthält.
Verfahren nach Anspruch 1, wobei den besagten Schritten ein weiterer Schritt vorausgeht, in welchem ein Satz von Hochgeschwindigkeitsscans der Datei unter Verwendung eines korrespondierenden Satzes einfacher Erkennungsmodule (420) durchgeführt wird.
System zum Erkennen der Infizierung einer Computerdatei (340) mit einem beliebigen, aus einer Vielzahl von Angriffsmitteln, wobei das System umfasst: eine Vielzahl von Erkennungsmodulen (425), von denen jedes so konfiguriert ist, dass es die Computerdatei auf Infizierung mit einem jeweiligen Angriffsmittel überprüft, wobei das Erkennungsmodul ein Identifizierungszeichen einer neuesten Version einer Scan-Engine (205) enthält, um eine Aktualisierung des Erkennungsmoduls einzubeziehen; eine Datenbank (215), die mit den Erkennungsmodulen kommuniziert und Einträge speichert, wobei jeder Eintrag einer Datei (340) zugeordnet ist und einen zuvor erzeugten Hash-Wert (310) eines kritischen Virus-Zielbereichs und ein Identifizierungszeichen (320) enthält, das eine neueste Version der Scan-Engine anzeigt, um die Datei auf die Anwesenheit von bösartigem Code zu scannen; einen Hash-Generator (430), der mit der Datenbank kommuniziert und der so ausgelegt ist, dass er einen neuen Hash-Wert des kritischen Virus-Zielbereichs erzeugt; ein Selektionsmodul (410), das mit der Datenbank und dem Hash-Generator kommuniziert, und so konfiguriert ist, dass es für jedes Angriffsmittel: den neuen Hash-Wert des kritischen Virus-Zielbereichs mit dem zuvor erzeugten Hash-Wert des kritischen Virus-Zielbereichs vergleicht; das Identifizierungszeichen der neuesten Version der Scan-Engine, mit der die Datei gescannt wird, mit dem Identifizierungszeichen der neuesten Version der Scan-Engine vergleicht, um eine Aktualisierung des Erkennungsmoduls einzubeziehen; und feststellen, dass die Datei nicht mit einem Angriffsmittel infiziert ist, wenn der neue Hash-Wert und der zuvor erzeugte Hash-Wert identisch sind und die neueste Version der zum Scannen der Datei verwendeten Scan-Engine keine ältere Version als die neueste Version der Scan-Engine ist, um eine Aktualisierung des Erkennungsmoduls einzubeziehen.
System nach Anspruch 11, wobei das Selektionsmodul weiterhin so konfiguriert ist, dass es: das Erkennungsmodul auf die Datei anwendet, in Antwort auf eine Feststellung, dass die neueste Version der zum Scannen der Datei verwendeten Scan-Engine eine ältere Version als die neuste Version der Scan-Engine ist, um eine Aktualisierung des Erkennungsmoduls einzubeziehen.
System nach Anspruch 12, weiter umfassend ein Aktualisierungsmodul (415), das mit der Datenbank und mit dem Selektionsmodul kommuniziert und das so konfiguriert ist, dass das Identifizierungszeichen der neuesten Version der zum Scannen der Datei verwendeten Scan-Engine aktualisiert wird, um anzuzeigen, dass die neueste Version der zum Scannen der Datei verwendeten Scan-Engine die aktuelle Version der Scan-Engine ist.
System nach Anspruch 11, wobei das Selektionsmodul weiterhin so ausgelegt ist, dass es das Erkennungsmodul auf die Datei anwendet, in Antwort auf eine Feststellung, dass für das entsprechende Angriffsmittel der neue Hash-Wert und der zuvor erzeugte Hash-Wert nicht identisch sind.
System nach Anspruch 14, wobei ein Aktualisierungsmodul (415) so konfiguriert ist, dass es die Datenbank aktualisiert, damit diese den neuen Hash-Wert des kritischen Virus-Zielbereichs speichert.
System nach Anspruch 11, umfassend einen Satz einfacher Erkennungsmodule (420), deren Funktion darin besteht, Hochgeschwindigkeitsscans auf die Datei anzuwenden.
Computerlesbares Medium, das Befehle in Maschinensprache enthält, um ein System so zu steuern, dass es sämtliche Schritte eines Verfahrens nach einem der Ansprüche 1 bis 10 ausführt.
Elektrisches Signal, das prozessorimplementierbare Befehle trägt, um einen Prozessor zu steuern, damit dieser das Verfahren nach einem der Ansprüche 1 bis 10 ausführt.