M 4.44 Prüfung eingehender Dateien auf Makro-Viren

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator, IT-Benutzer

Eingehende Dateien im Wege des Datenträgeraustausch oder bei elektronischer Übermittlung sind einer Virenprüfung zu unterziehen. Dies gilt nicht nur für reguläre Programm-Dateien, sondern auch für solche Dateien, die mittels Anwendungsprogrammen die eine Makrosprache verwenden können, erstellt wurden. Für die nachfolgend aufgezählten Anwendungsprogramme ist derzeit bekannt, daß Makros mit Schadfunktionen erzeugt wurden:

Sofern ein aktuelles Virensuchprogramm eingesetzt wird, das auch Makro-Viren erkennt, kann auf weitere Maßnahmen verzichtet werden. Darüber hinaus kann eine Testumgebung sinnvoll sein, um übersandte Dateien mit dem jeweiligen Anwendungsprogramm auf Makro-Viren zu untersuchen. Alternativ besteht die Möglichkeit, empfangene Dateien mit einem Editor zu bearbeiten, der die Datei in ein Format umwandelt, in dem die Makros nicht ablauffähig sind. Die empfangenen Dateien können auch mit sogenannten Viewern geöffnet werden, die es kostenlos für die Darstellung der verbreitetsten Dateiformate gibt und die ebenfalls die Ausführung von Makros nicht zulassen.

Dokumente sollten möglichst nur im RTF-Format nach außen gegeben werden, da hierzu keine Makrosprache existiert und damit keine Gefahr von Makroviren besteht. Die Umwandlung nach RTF ist im allgemeinen ohne nennenswerte Qualitätsverluste möglich.

Als weitere Vorbeugung sollten Benutzer darauf hingewiesen werden, wie sie die automatische Ausführung möglicherweise vorhandener Makros verhindern können. Dies ist leider für fast alle Programme und Versionen anders und auch nicht immer zuverlässig. Auch in PostScript-Dateien kann es zu Problemen ähnlich wie bei Makro-Viren kommen. Bei PostScript-Anzeige-Programmen handelt es sich um Interpreter, die die PostScript-Sprache abarbeiten. Ab Level 2.0 der PostScript-Spezifikation gibt es auch PostScript-Befehle, um Dateien zu schreiben. Dadurch ist es möglich, PostScript-Dateien zu erzeugen, die während der Bearbeitung durch einen Interpreter, auch bereits bei der Anzeige am Bildschirm, andere Dateien modifizieren, löschen oder umbenennen können.

Konkrete Probleme existieren bei dem Programm ghostscript (gs ). In den Unix-Versionen können die Schreibmöglichkeiten auf Dateien mit der Option dSAFER abgeschaltet werden. Allerdings ist dies nicht die Voreinstellung. In Versionen für andere Betriebssysteme heißt diese Option ähnlich.

Die Verwendung der Option dSAFER wird dem Benutzer überlassen. Dies hat auch zur Folge, daß zahlreiche andere Programme, die intern ghostscript (gs) aufrufen (z. B. mosaic, netscape, xdvi, xfig, xv etc.), dies unterschiedlich realisieren. Die Option sollte daher als Default eingestellt werden. Beschreibungen, wie dies zu realisieren ist, finden sich in den Sicherheitsbulletins des DFN-CERT DSB-95:02 und DSB-95:03 vom 24. August 1995 (siehe auch M 2.35 Informationsbeschaffung über Sicherheitslücken des Systems ).

Betroffen von diesem Problem sind z. B. alle ghostscript Versionen von Aladdin vor 3.22beta und die GNU-Versionen bis einschließlich 2.6.2. Bei älteren ghostscript -Versionen kann es daneben weitere PostScript-Befehle geben, mit denen Dateien modifiziert werden können. Es sollten nur ghostscript -Versionen eingesetzt werden, bei denen diese Probleme beseitigt wurden.

Der PostScript-Interpreter ghostview bietet ab der Version 1.5 eine Option -safer an, die die Sicherheitsfunktionen von ghostscript aktiviert. Versionen vor 1.5 bieten diesen Schutz nicht und sollten durch die aktuelle Version ersetzt werden.

Auch bei PDF-Dateien kann es zu ähnlichen Problemen kommen. Im Internet findet man häufig PDF-Dateien, die mit dem kostenlos verfügbaren Acrobat Reader gelesen werden können. In PDF-Dateien lassen sich Funktionen wie Programmaufrufe einbetten, die ein Sicherheitsrisiko für die Dateien des lokalen IT-Systems darstellen. Die eingebetteten Funktionen können bereits beim Öffnen des Dokuments oder durch das Bewegen im Dokument über sogenannte Action Trigger gestartet werden, ohne daß sich der Leser dessen bewußt ist.

Um dies zu vermeiden, sollten für das Lesen von PDF-Dateien nur Viewer wie ghostscript eingesetzt werden, die diese Funktionalität noch nicht verarbeiten können, oder die aktuellste Version des Acrobat Reader bzw. des Acrobat Exchange, bei denen die Benutzer über das Vorhandensein evtueller Makros informiert werden und der Ausführung explizit zustimmen müssen.

Ergänzende Kontrollfragen

© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000 .