Das Computervirus BHP aus dem Jahr 1986 ist eines der wenigen Schadprogramme, die für den Heimcomputer Commodore 64 geschrieben wurden.

Das Virus war in mehrfacher Hinsicht ein Novum, denn es handelte sich um das erste C64-Virus überhaupt. Außerdem ist es auch das erste bekannte Clustervirus und auch das erste bekannte dateiinfizierende Stealth-Virus.

BHP wurde als Teil einer Präsentation auf der Hacker-Convention „Chaos Communication Congress 1986“ vorgestellt und nach dem damaligen Szenemagazin Bayrische Hackerpost benannt. Ein Mitglied der Redaktion hat das BHP-Virus geschrieben. Das Schadprogramm war nicht dazu gedacht, sich in freier Wildbahn zu verbreiten, sondern wurde als Beweis für die Machbarkeit eines C64-Virus entwickelt. Speziell dieses System galt im Vorfeld aus verschiedenen Gründen als denkbar ungeeignet für eine effektive Verbreitung von Computerviren.

In der Folge wurden von Privatpersonen und Computerzeitschriften mehrere Programme zur Erkennung und Entfernung von BHP veröffentlicht. Sie gehören zu den ersten Antivirenprogrammen überhaupt.

Herkunft und Motiv

BHP steht für die Zeitschrift Die Bayrische Hackerpost. Dabei handelt es sich um eine von 1984 bis 1988 erschienene Fachzeitschrift mit dem Untertitel Das Informationsblatt für den lebensbejahenden DFÜ-Benutzer.

Den Anlass zur Entwicklung des Virus gab eine Diskussion zwischen dem BHP-Autor und Wau Holland, dem Gründer des Chaos Computer Clubs. Holland vertrat die Meinung, dass sich Computerviren auf Systemen wie dem C64 nicht verbreiten könnten. Ein 8-Bit-Computer ohne Netzwerkverbindungen, der nicht von einer Diskette bootet und dessen Betriebssystem keinen Speicherschutz unterstützt, war Hollands Meinung nach ein denkbar ungeeignetes Wirtssystem. Der Autor des BHP-Virus war anderer Meinung und schloss mit Holland eine Wette ab. Er wollte bis zum „Chaos Communication Congress '86“ ein Demo-Virus für den Commodore C64 implementieren.

Nach Meinung des BHP-Autors sollte die lebhafte Raubkopierer- und Diskettentauscher-Szene des weitverbreiteten Heimcomputers ausreichend sein, um das Virus zu verbreiten. Der fehlende Bootvorgang sollte sich ebenfalls adäquat ersetzen lassen, indem man die Lade- und Speichervorgänge entsprechend ausnutzt. Einen geeigneten Bereich im Speicher des C64, der von Programmierern normalerweise kaum genutzt wurde, fand der Autor ebenfalls.

Das Virus wurde im Jahr 1986 geschrieben. Die Konzeption und die Testphase nahmen mehrere Wochen in Anspruch. Der Code besteht aus verschiedenen Teilen, die sich vom Programmierstil her teilweise stark unterscheiden. Das führte dazu, dass später die Fehlinformation kursierte, die Schadsoftware sei von mehreren Personen geschrieben worden. Die drei Namen, die beim Payload angezeigt werden, bestätigten dies scheinbar. Der Grund lag in Wahrheit darin, dass die finale Version und fehlende Teile des Virus erst einen Tag vor der Hackerkonferenz „Chaos Communication Congress '86“ innerhalb einer 24-stündigen „Non Stop Hacker Session“ codiert wurden. Andere Bestandteile des Schadprogrammes wurden dagegen mit deutlich mehr Zeit und entsprechend gründlicher erstellt. Das Virus wurde einen Tag nach der Session der Öffentlichkeit vorgestellt.

Das BHP-Virus sollte beweisen, dass ein Virus über Disketten verbreitet werden kann, ohne sich per Netzwerk zu übertragen, und dass prinzipiell jedes Computersystem anfällig für Computerviren ist.

In den folgenden Jahren konnte man den dokumentierten Quellcode des Virus bei der Redaktion der Hackerpost auf einer Diskette mit einem Dropper, bzw. Injector, für 10 DM bestellen.

Funktion

Das Virus wurde komplett in 6510-Assembler geschrieben. Einigen Quellen nach sollen relevante Teile des Viruscodes in Commodore BASIC 2.0 programmiert worden sein, das ist aber nicht zutreffend. BHP enthält lediglich eine BASIC-Zeile, die nur einen SYS-Befehl enthält und quasi als Markierung für bereits infizierte Dateien dient.

BHP nutzt die CBM80-Kennung als Reset-Schutz und wird durch einen normalen Hardware-Reset oder durch die Tastenkombination RUN/STOP+RESTORE nicht deaktiviert. Das Virus nutzt den Speicherbereich ab $D000, der im RAM direkt unter dem I/O-Bereich liegt. Dieser Bereich ist verhältnismäßig umständlich zu beschreiben und auszulesen und wurde von Programmierern eher selten genutzt. Daher hat der Viruscode dort gute Chancen, nicht überschrieben zu werden.

BHP verursacht keine gezielten Schäden. Es handelt sich also um ein vergleichsweise harmloses Virus, allerdings werden durch BHP zusätzliche Daten in Programme eingefügt und auf Disketten abgespeichert. In der Folge kann es unbeabsichtigt passieren, dass infizierte Programme nicht mehr (oder nicht mehr richtig) funktionieren, da sich zunächst das BHP-Virus aktiviert und dieses sich im Speicher an eine Stelle ablegt, an der eventuell bereits geladener Programmcode überschrieben wird.

Wenn das BHP-Virus ausgeführt wird, lädt es sich in den Speicherblock, der normalerweise für I/O-Geräte reserviert ist. Durch einen Eintrag in der Speicherzelle $1 wird die RAM-Konfiguration entsprechend eingestellt, um das Virusprogramm auszublenden. Nachdem sich das BHP-Virus in den Speicher kopiert hat, stellt es bei seiner Wirtsdatei die ursprüngliche Größe und den ursprünglichen Speicherort wieder her, so dass sie normal ausgeführt werden kann. BHP hat eine Prüfsumme, wenn diese nicht mit der des Host-Programms übereinstimmt, wird dieses Programm im Speicher überschrieben. BHP überprüft, ob das Virus bereits läuft, indem es den Wert eines Bytes an einer bestimmten Stelle des Speichers überprüft. Wenn das Programm diesen Wert findet, wird es beendet. Falls nicht, wird das Virus seinen Code an einer niedrigen Adresse im Systemspeicher ablegen. Dabei bindet es die Vektoren MAIN, NMI, CBINV, RESET, ILOAD und ISAVE ein, um auf das Virus zu verweisen. Das Einhaken der ersten vier Vektoren stellt dabei sicher, dass das Virus bei einem Programmneustart die Kontrolle über das System nicht verliert. Die letzten beiden Vektoren stellen sicher, dass das Virus immer dann ausgeführt wird, wenn eine Datei geladen oder gespeichert wurde. Wenn die Vektoren eingehakt sind, wird der Code des infizierten Programms ausgeführt.

DR.DR.STROBE&PAPA HACKER WAS HERE!
COPROGRAMMER: GARFIELD
 
HALLO DICKERCHEN, DIES IST EIN ECHTER
VIRUS!
 
SERIALNO.:15

Erkennung und Entfernung

Infizierte Programme zeigen beim Auflisten mit dem BASIC-Befehl LIST folgende BASIC-Zeile an:

1986 SYS PEEK(43) + PEEK(44)*256 + 48:VIRUS

In Ausgabe 2/1988 der Fachzeitschrift 64'er wurde ein kurzes BASIC-Programm namens BHP-Virus-Killer vorgestellt, mit dem man infizierte Dateien und Disketten bereinigen konnte. Es wurde als Listing zum Abtippen abgedruckt und verwendete trotz seiner Kürze Checksummer. Antivirenprogramme wurden bis Anfang der 1990er Jahre üblicherweise als „Viruskiller“ bezeichnet. Der Markt&Technik-Verlag hatte dem BHP-Virus, seiner Hintergrundgeschichte und seinen Auswirkungen bereits in der Ausgabe 7/1987 einen ausführlichen Artikel in der 64'er gewidmet. Da sich die Journalisten nicht darüber bewusst waren, dass BHP sich nicht nur beim Speichern, sondern auch über den Ladebefehl sowie beim programmgesteuerten Laden verbreitet, hatte man versehentlich einige Disketten in der Redaktion infiziert. Einige Monate später veröffentlichte der Redakteur Thomas Röder in der Zeitschrift Happy Computer ein verbessertes Programm namens 64'er-Serum.

Schreibgeschützte Disketten kann das BHP-Virus nicht infizieren.

Anfällige Systeme werden mittlerweile nur noch in der Retrocomputing- und Retrogaming-Szene betrieben.

Die Autoren

Der Urheber des Virus verwendete die Pseudonyme Dr.Dr.Strobe und Papa Hacker. Die Signatur wurde häufig falsch interpretiert. Sie erweckt den Eindruck, dass es handle sich um zwei Pseudonyme von zwei verschiedenen Programmierern. Es handelt sich aber um eine Person.

Bei seiner Arbeit wurde der BHP-Autor von einem weiteren Mitglied der Hackerpost-Gruppe unterstützt, das sich Garfield nannte. Er war überwiegend für Beratung und Rücksprachen zuständig und schrieb keine relevanten Teile des Codes. Solche Handles sind in der Hackerszene bis heute üblich. Zudem wollte der Autor mit Blick auf seine beruflichen Zukunft vermeiden, dass sein Realname mit Malware in Verbindung gebracht wird.

Situation im Jahr 1986

Als erste bekannte Malware, die in Umlauf geriet, gilt der Netzwerkwurm Creeper aus dem Jahr 1971, der oft fälschlich als Virus bezeichnet wird. Das erste richtige Virus, das sich unkontrolliert verbreitete, folgte 12 Jahre später. Der damals 15 Jahre alte Schüler Rich Skrenta hatte 1982 das Bootsektorvirus Elk Cloner für Apple-II-Computer geschrieben. Die Folgen unterschätzte Skrenta im Vorfeld, er hatte lediglich ein Scherzprogramm im Sinn. Ab 1986 verbreitete sich erstmals ein MS-DOS-Virus. Es infizierte die Bootsektoren von 5,25"-Disketten und hatte den Namen Brain. Brain war eigentlich als Nachweis für Raubkopien konzipiert worden und war auch das erste Virus mit Stealth-Techniken. Für das Z80-Betriebssystem CP/M gab es Mitte der 1980er Jahre vereinzelt ebenfalls Computerviren.

Der Commodore 64 hatte seine ganze Ära über allgemein den Ruf, relativ sicher vor Malware zu sein. BHP war 1986 das erste Virus überhaupt für dieses System. In Lauf der nächsten fünf Jahre folgte noch etwa ein Dutzend weiterer Viren für den C64, die aber allesamt eher unbekannt blieben. Namentlich bekannt sind beispielsweise die Viren HIV, BU\A, MD, Starfire, FROG, Coder und Bit Addict. Für die grafische Benutzeroberfläche GEOS wurde das Shadow Virus entwickelt. Nennenswerte Verbreitung erreichte aber keines dieser Schadprogramme. In der Praxis spielte Malware für C64-Besitzer zu keiner Zeit eine relevante Rolle.

Einige Monate später, im Jahr 1987 stellte das IT-Unternehmen G Data Software dann das vermutlich erste kommerzielle Virenschutzprogramm vor. Es war für den Atari ST entwickelt worden. Gegen Ende dieses Jahres wurde auch das erste Virus für den Commodore Amiga namens SCA von einer gleichnamigen Crackergruppe aus der Schweiz veröffentlicht.

Einzelnachweise

Weblinks

• youtube.de C64 BHP Virus: The real advanced first virus of its era (Der Payload wird erst ab 4:18 gezeigt)
• malwiki.org Fachwiki-Eintrag zum BHP-Virus
• c64-wiki.de Fachwiki-Eintrag zum BHP-Virus