Geschichte der Viren

Symantec

1982
Drei Versionen von Apple Computerviren tauchen in freier Wildbahn auf.

Jon Hepps und John Shock von Xerox PARC generieren Würmer für verteilte Rechenoperationen, die für den internen Gebrauch bestimmt sind. Die Würmer geraten außer Kontrolle, viele Systeme müssen heruntergefahren werden.

1983
Fred Cohen definiert den Begriff "Computervirus" formal.

1986
Entdeckung des ersten PC-Virus. Name: 'Brain". Herkunft: Pakistan. Typ: Boot-Virus. Besonderheit: benutzt Tarntechniken.

Dezember: Entdeckung des ersten Datei-Virus. Name: 'Virdem". Herkunft: Deutschland.

1987
Oktober: "Brain" taucht in freier Wildbahn, an der Universität von Delaware, USA, auf.

November: Der "Lehigh"-Virus wird an der Lehigh-Universität in den USA entdeckt. Er ist der erste Virus, der command.com infiziert.

Dezember: Der Wurm 'CHRISTMA EXEC" verbreitet sich auf IBM VM/CMS-Systemen. Er zeigt einen Weihnachtsbaum und versendet sich dann heimlich per Email. Obwohl der Wurm auf menschliche Mithilfe angewiesen ist, erzwingt er das Herunterfahren vieler Systeme.

Dezember: Der Jerusalem-Virus, der erste speicherresistente Virus, der in viele Varianten bekannt wird, taucht an der Hebräischen Universität in Israel auf.

Der berüchtigte "Stoned"-Virus, der erste MBR-Virus (Master Boot Record), stammt von einem Studenten der Universität von Wellington, Neusseland.

1988
März: Entdeckung des ersten Antivirus-Virus: "Den Zuk" von Denny Yanuar Ramdhani aus Bandung, Indonesien, erkennt und entfernt den Brain-Virus.

November: Robert Morris, 22, startet den Internet-Wurm. Er befällt 6000 Computer, das sind 10% aller Computer im Internet. Morris wird zu drei Jahren auf Bewährung, 400 Stunden gemeinnütziger Arbeit und 10.000 US$ Geldstrafe verurteilt.

"Cascade", der erste sich selbstverschlüsselnde Virus, wird in Deutschland entdeckt.

1989
Januar: Der Virus 'Dark Avenger.1800", in Sophia, Bulgarien geschrieben, ist der erste schnell infizierende Virus, der jedoch nur sehr langsam Daten beschädigt.

Oktober: Aus Haifa, Israel, wird die Entdeckung des Virus 'Frodo" berichtet. 'Frodo" ist der erste Tarnkappen-Virus, der Dateien infiziert.

1990
In den USA finden sich polymorphe Viren, darunter 'V2Px", 'Virus-90" und 'Virus-101".

Mit 'Anthrax" und 'V1" werden die ersten mehrteiligen Viren entdeckt. Der Virus Flip ist der erste dieses Typs, der sich erfolgreich verbreitet.

1991
März: Entdeckung des Michelangelo-Virus.

März: Veröffentlichung des Virus-Construction-Sets, das den Zusammenbau eigener, neuer Viren ermöglicht.

Oktober: Entdeckung des ersten Cluster-Virus, 'DirII".

1992
Januar: 'Dark Avenger" veröffentlicht seine 'Mutation Engine" (MtE), die es ermöglicht, aus einfachen Viren polymorphe zu machen.

März: 'Michelangelo" wird am 6. März aktiv, weltweit vorausgesagte Schäden bleiben jedoch aus.

"WinVir 1.4", der erste Windows-Virus, wird entdeckt.

Der erste Virus, der SYS-Dateien infiziert, erscheint auf der Bildfläche und bekommt den Namen "Involuntary".

1993
Juli: Die Antivirus-Industrie veröffentlicht ihre erste Wild-List.

Der Virus 'SatanBug" infiziert PCs in Washington, DC. Die Behörden können den Autor 'Little Loc" nach San Diego zurück verfolgen. Da er noch minderjährig ist, wird von Strafmaßnahmen abgesehen.

1994
Ein Virenprogrammierer benutzt das Internet, um seinen Virus zu verbreiten. Der Virus 'Kaos4" wird in der Newsgroup alt.binaries.pictures.erotica platziert.

Der SMEG.Paragon-Virus verbreitet sich in England. Scotland Yard stellt den Virusautor Christopher Pile (auch als 'Black Baron" bekannt). Er wird wegen Computerkriminalität in elf Fällen angeklagt.

1995
August: 'Concept", der erste Makro-Virus, infiziert Microsoft-Word-Dokumente. Der im Virus enthaltene Text lautet: "That's enough to prove my point."

November: "Black Baron" bekennt sich schuldig und wird zu 18 Monaten Haft verurteilt, gemäß Paragraph 3 des britischen Computermissbrauchsgesetzes von 1990.

1996
Entdeckung des Boza-Virus. Der erste Virus für Windows 95 wurde von Quantum geschrieben, einem Mitglied der Virusprogrammierergruppe VLAD in Australien.

Juli: Der erste Excel-Virus kommt in Alaska und Afrika ans Tageslicht. Er bekommt den Namen 'XM.Laroux" und infiziert Tabellen von Microsoft Excel.

1997
mIRC-Script-Würmer treten in Erscheinung. Die Virusprogrammierer schreiben mIRC-Scripte, die sich automatisch wurmartig unter den Benutzern des Internet Relay Chats verbreiten.

1998
Januar: Der erste Excel-Formel-Virus namens 'XF.Paix.A" taucht auf. Der Virus benutzt nicht die klassischen Makro-Fähigkeiten von Excel, sondern ein spezielles Formelblatt, das bösartigen Code enthalten kann.

März: Carl-Fredrik Neikter veröffentlicht 'Netbus", ein Hintertür-Programm, das Hackern Fernzugang zu infizierten Rechner verschafft.

April: Der erste Virus für Microsoft Access nebst den Varianten 'A2M.Accessiv" für Access 2.0; 'AM.Accessiv.A,B", 'AM.Tox.A,B" für Access 97 wird entdeckt.

Juni: Entdeckung des 'W95.CIH" in Taiwan, ein Virus mit einer der bösartigsten Schadensfunktionen: Er versucht das BIOS eines Computers am 26. April zu überschreiben, was oft einen Austausch der Hardware erfordert.

Juli: AOL-Trojaner tauchen auf. Das erste von vielen Trojanischen Pferden stiehlt Informationen von AOL-Benutzern. AOL-Email-Adressen werden mit infizierten Dateianhängen überflutet.

August: 'JavaApp.StrangeBrew" ist der erste Java-Virus, der *.class-Dateien infizieren könnte. Er wurde jedoch nie in freier Wildbahn gesichtet.

August: Die Gruppe 'Cult of the Dead Cow" veröffentlichen 'Back.Orifice", ein getarntes Fernsteuerungsprogramm, das die Ausführung von Programmen sowie die überwachung eines Computers ermöglicht. Die Medien lenken die Aufmerksamkeit auf das bereits vorher bekannte Netbus, das ähnliche Funktionen aufweist.

Oktober: 'VBS.Rabbit" wird losgelassen. Als erster von vielen Script-Viren, die den Windows Scripting Host nutzen, ist er in in der Sprache Visual Basic Script geschrieben und zielt auf andere *.VBS-Dateien.

November: 'HTML.Prepend" beweist, dass es mit VBScript möglich ist, HTML-Dateien zu infizieren.

Dezember: Entdeckung des ersten Virus für Microsoft PowerPoint 'P97M.Vic.A". Weitere Viren folgen, die sämtliche Office-97-Anwendungen infizieren.

1999
März: 'W97M.Melissa.A" verbreitet sich sehr schnell weltweit. Der Virus infiziert Word-Dokumente und versendet sich per Email an bis zu 50 Adressen im Outlook-Adressbuch, was zum Zusammenbruch vieler Mailserver führt. David L. Smith wird als Verbreiter dieses Virus verhaftet.

April: 'NetBus 2 Pro" wird als kommerzielles Programm veröffentlicht. Der Autor Carl-Fredrik Neikter verlangt für sein Produkt Geld, um Antivirus-Hersteller davon abzuhalten, es als Virus zu melden. Die Hersteller fügen trotzdem eine Erkennungsroutine ein, da es sich um ein bösartiges Programm handelt.

26. April: 'W95.CIH" wird aktiv. Aus Asien werden erhebliche Schäden gemeldet. Aus den USA, Europa, dem Nahen Osten und Afrika kommen nur sporadische Meldungen. Chen Ing-Hau, ein Student, wird als Autor des Virus identifiziert. China (bzw. Taiwan) unternimmt keine rechtlichen Schritte.

Juni: Der Wurm 'ExploreZip" wird zuerst in Israel entdeckt. Mit der Geschwindigkeit von Melissa breitet er sich via Outlook aus und zerstört Dateien mit den Endungen DOC, XLS, PPT, C, CPP und ASM.

Juli: 'Back.Orifice 2000" wird auf der DefCon in Las Vegas von 'Cult of the Dead Cow" veröffentlicht. Die neue Version des Fernsteuerungsprogramms funktioniert jetzt auch unter NT.

August: David l. Smith bekennt sich schuldig, Autor des Melissa-Virus zu sein.

November: "VBS.BubbleBoy" ist der erste Virus, der nur durch Lesen der Email aktiv wird. Der Virus nutzt einen Fehler in einer Microsoft-Programmbibliothek, durch den das Abspeichern und Starten der Email-Anlage unnötig wird. Einfaches Anklicken der Email bei aktivem Vorschau-Modus startet den Virus.

2000
Januar: Die befürchtete Jahr-2000-Katastrophe bleibt aus, existierende Y2K-Viren bleiben weitgehend wirkunglos.

April: 'VBS.BubbleBoy" wird in freier Wildbahn gesichtet.

Juni: Mit einer Geschwindigkeit, die nur mit der von Melissa vergleichbar ist, breitet sich 'VBS.Loveletter" weltweit aus. Der als ILOVEYOU-Virus bekannt gewordenen Variante A folgen ungezählte weitere. Wieder brechen zahlreiche Mailserver zusammen. In den folgenden Wochen entsteht um jeden neu entdeckten Virus ein großer Medienrummel.

Juli: 'VBS.Stages", der erste Virus, der mit SHS-Dateien (Shell Scrap) arbeitet, nutzt die OLE-Fähigkeiten von Windows, um sich in einer scheinbaren Textdatei zu verbergen. Die Endung .SHS wird von Windows nicht angezeigt.

August: 'W32.Pokey.Worm" heisst der jüngste Wurm, der zwar bereits Ende Juni registriert wurde, jedoch erst jetzt für Aufregung sorgt. ähnlich wie ILOVEYOU erscheint er als Email-Anhang. Er nutzt Outlook Express, um sich zu verbreiten.

September: Der erste Trojaner für PDAs (Personal Digital Assistant) taucht auf. 'Palm.Liberty.A" verbreitet sich nicht von selbst, sondern gelangt beim Synchronisationsprozess auf den Kleincomputer und löscht Aktualisierungen. Herkunftsland ist Schweden. Entwickelt wurde er versehentlich von einem Beschäftigten der Universität von Gavle namens Aaron Ardiri.

November: Navidad.EXE ist ein Wurm und pünktlich zur Weihnachtszeit aufgetaucht. Am 3. November zum ersten Mal entdeckt verbreitet sich Navidad zwar nicht sehr schnell, ist aber dennoch gefährlich. Er nutzt Outlook oder Express um sich zu verbreiten und alle Arten von Windows-Rechnern können infiziert werden.

November: Der speicherresidente Internetwurm 'W32.Badtrans.B@mm' ist eine Variante des 'WORM_BADTRANS.A' (Verbreitung April 2001), der ein bekanntes Sicherheitsloch in Email-Applikationen (MS Outlook/MS Outlook Express) nutzt. Nach der Infektion registriert sich der Wurm als Systemservice und beantwortet eingehende Emails, spioniert Passwörter aus und installiert einen Key-Logger.

2001
Februar: Der Computerwurm 'VB.SST@mm' erscheint als Email-Anhang 'AnnaKournikova.jpg.vbs'. Versucht der Anwender den Dateianhang mit einem angeblichen Bild der russischen Tennisspielerin zu öffnen, dann kopiert sich der Wurm in das Windows Directory und verschickt sich anschließend eigenständig via MS Outlook an das gesamte Outlook-Adressverzeichnis.

März: 'W32/Naked' tarnt sich als Flash Animation und verschickt sich nach der Aktivierung als Email-Wurm mit dem Attachment 'NakedWife.exe' an das gesamte MS Outlook-Adressbuch. Indem er verschiedene Windows- und Systemverzeichnisse löscht, macht er das System unbrauchbar und erfordert eine Neuinstallation.

Juli: Der Massenmailer "Code Red" und sein Ableger "Code Red II" (Verbreitung im August) nutzen eine Sicherheitslücke in der Web-Software "Internet Information Server" von Microsoft aus, die unter Windows NT oder 2000 läuft. "Code Red II" attackiert nicht - wie das Original - die Web-Site des Weißen Hauses, sondern installiert eine Hintertür in das System, durch das Hacker den Rechner kontrollieren können.

Juli: Der Wurm 'W32/SirCam' verbreitet sich via MS Outlook Express und tangiert die Plattformen WIN 9x, WIN NT sowie WIN 2000. Wird er ausgeführt, platziert er sich im Systemverzeichnis und wird jedesmal aktiviert, wenn der Anwender ein Programm mit der Dateiendung .EXE starten will. Er kann sich aber auch selbstständig auf freigegebene Laufwerke im Netz kopieren und dort vom betreffenden Anwender aktiviert werden. "SirCam" verschickt nicht nur sich selbst, sondern zusätzlich auch noch persönliche Dateien, die er auf dem infizierten Rechner findet. Außerdem ist er der erste Wurm, der mit einem eigenen Mailserver (SMTP-Engine) ausgestattet ist.

September: Der aggressive Computerwurm 'Nimda' rast durchs World Wide Web. Die Innovation besteht darin, dass für seine Verbreitung keine Benutzerinterventionen mehr erforderlich sind. Stattdessen nutzt er bekannte Software-Schwachstellen und unterschiedliche Formen der Infektion. Er verbreitet sich über Email und kann sich zudem über das Internet auf fremden Rechnern einnisten. Die rasante Verbreitung des Wurms belastet den Internetverkehr, führt zum Zusammenbruch der betroffenen Websites und kompromittiert die Sicherheit des Filesystems indem er die lokalen Laufwerke im Netzwerk freigibt.

November: Der speicherresidente Internetwurm 'W32.Badtrans.B@mm' ist eine Variante des 'WORM_BADTRANS.A' (Verbreitung April 2001), der ein bekanntes Sicherheitsloch in Email-Applikationen (MS Outlook/MS Outlook Express) nutzt. Nach der Infektion registriert sich der Wurm als Systemservice und beantwortet eingehende Emails, spioniert Passwörter aus und installiert einen Key-Logger.

2002
Am 2. September macht sich der erste Wurm auf den Weg ins Orbit, der seine eigene SMTP-Engine, also einen eigenen Mailserver und somit unabhängigen Verbreitungsmechanismus, mitbringt. Der 50.886 Bytes große Schädling trägt den Namen "Bugbear" und verbreitet sich sehr schnell.
Neu an diesem Wurm ist auch, dass er in der Lage ist, Virenschutzprogramme und Firewalls auszuhebeln, wenn sie nicht aktuell sind. Einmal auf den Rechner gelangt, öffnet Bugbear durch eine trojanische Komponente einen bestimmten "Port" des Rechners (also eine Eintrittstür) und erhält so Zugang zum Zielrechner. Ein ägerlicher Nebeneffekt ist zudem, dass Bugbear sich an alle freigegebenen Netzwerkdrucker verschickt und selbstständig Druckaufträge druckt und somit Druckerkapazitäten blockiert.

2003
Am 24. Januar beginnt der "fast perfekte" Wurm sein Unwesen: SQL Slammer. Er nutzt eine schon seit Monaten bekannte Pufferüberlauf-Schwachstelle in Microsoft SQL-Servern aus und verbreitet sich binnen Minuten rund um den Globus. "Der schnellste Wurm der Welt" ist sich die Fachwelt einig. Sämtliche Experten schätzen diesen Hybriden gefährlicher ein als Code Red oder Nimda. Hat der Wurm einmal die Kontrolle über einen Rechner erlangt, so startet er einen bestimmten Prozess, der es ihm ermöglicht, in einer endlosen Schleife beliebig viele weitere Rechner und ganze Netzwerke zu infizieren. SQLSlammer hat weltweit für massive Beeinträchtigungen des Internetverkehrs gesorgt.

August: Innerhalb einer Woche haben drei Computerwürmer die Internetwelt in Atem gehalten: W32.Blaster.Worm (oder auch Lovsan), W32.Welchia.Worm und W32.Sobig.F@mm. Die ersten beiden konnten sich vor allem deshalb so stark verbreiten, weil sie eine Schwachstelle in den weit verbreiteten Betriebssystemen Windows 2000 und Windows XP ausgenutzt haben. Bei Sobig handelt es sich um einen Massenmailer, der sich - wie bereits viele Viren zuvor - per E-Mail-Anhang verbreitet.

2004
Januar: Mydoom tritt am 26. Januar zum ersten Mal auf den Plan. Der Wurm verbreitet sich schnell über E-Mail und richtet auf den infizierten Rechnern eine sogenannte Backdoor, eine Hintertür, ein. Die ermöglicht Hackern den Zugriff auf das System. Am 1. Februar startet er eine Denial-of-Service (DoS)-Attacke auf die Webseite des US-amerikanischen Softwareunternehmens SCO www.sco.com. Bereits am 28. Januar erscheint die zweite Variante, die zusätzlich die von Mydoom.A errichtete Backdoor ausnutzt, um sich Zugang zum Rechner zu verschaffen. Sie überschreibt dort die Host-Datei und verhindert so den Zugriff des Systems auf zahlreiche Webseiten, unter anderem die der führenden Anbieter von Virenschutzprogrammen. Das hindert Anwender mit betroffenen Systemen daran, Entfernungswerkzeuge für den Virus (Removal Tools) herunterzuladen oder die Virenschutzprogramme zu aktualisieren. Die angestrebte DoS-Attacke auf die Webseite von Microsoft bleibt weitgehend ohne Erfolg, da die Verbreitung zu gering ist.

Quelle: Symantec