Kann ein Virus der in einer VM aktiv ist auch auf ein Hauptsystem übergreifen?
9 Antworten
Heutzutage geht davon aus, dass rund 25 Prozent aller neuen Schadprogramme Virtualisierungsumgebungen identifizieren können.
Es soll auch Fälle geben, bei denen Schadsoftware es geschaft hat aus der VM 'auszubrechen'.
Der Fall ist aber extrem unwahrscheinlich, wenn immer die aktuelle Version des verwendeten Virtualisierers zum Einsatz kommt. Wie jedes andere Programm auch, wird eine Virtualisierungs-Software unter dem Betriebssystem installiert und hat damit allein durch die Prozessorarchitektur keine Chance auf einen direkten Hardware-Zugriff. Alles muss über den Hypervisor geschehen. Zudem darf eine virtuelle Maschine keine privilegierten CPU-Befehle und Speicherzugriffe ausführen, da sie nicht im Kernel-Mode läuft. Dies ist ein Merkmal von x86-Prozessoren, und es gibt keinen Weg daran vorbei.
Kommt auf den Virus an.
Eine VM ist nicht zu 100% sicher.
Ja, das kommt schonmal vor. Wenn das Betriebssystem in der VM ein anderes ist, als auf dem Haupt-PC, ist das aber eher selten.
Ja es ist möglich aber unwarscheinlich.
Es gibt zu wenig Personen, die aktiv mit VMs arbeiten. Daher lohnt sich in der Regel der Aufwand nicht dem Virus "beizubringen" aus der VM auszubrechen um das Hauptsystem zu infizieren.
Warscheinlicher ist es, das der Virus oder eine andere Schadware erkennt das es eine VM ist und sich abschaltet. Da VMs häufig zur Analyse von Viren eingesetzt werden, prüfen einige Schadprogramme ob bestimmte Prozesse zur Analyse laufen und schalten sich ab, falls dies der Fall ist.
Wenn der Entwickler eines Schadprogramms z.B. Persönliche Daten, Konteninformationen oder der gleichen abgreifen möchte hat er es auf möglichts viele Nutzer abgesehen die am besten auch einfach auf entsprechende Tricks hereinfallen. Bei Nutzern die ihr System duch dir verwendung einer VM sichern ist die Warscheinlichkeit entsprechende Daten abzugreifen aber um einiges geringer. Desweiteren könnte die VM aber auch zur Analyse der Schadware genutzt werden. Dies möchte der Entwickler aber auch nicht, da so schneller Gegenmaßnahmen ergriffen werden können oder im schlimmstenfall Rückschlüsse auf den Entwickler gezogen werden könnten. Also sagt er seinem Programm lieber, dass wenn bestimmte Prozesse laufen die zu Analyseprogrammen oder zu VMs gehören, das es sich abschalten soll ohne etwas weiteres zu machen.
Also warum unnötigen Aufwand in die Entwicklung stecken nur um aus einer VM auszubrechen wenn es doch genug andere Opfer gibt die man ohne den Zusatzaufwand angreifen kann.
Selbst wenn die Schadware aus der VM ausbricht, weiß der Entwickler ja nicht welches OS als Hauptsystem läuft. Ist die Schadware für Windows geschreiben das Hauptsystem ist aber ein anderes OS, kommt das Programm ja auch nicht mehr weiter.
Genauso gut gibt es aber auch Schadware die garnicht prüft und einfach arbeitet.
Es gibt auch Schadware die versucht über das lokale Netzwerk weitere Computer zu infizieren, dort ist es dann auch möglich, das das Hauptsystem infiziert wird.
Als Entwickler kann man aber nicht auf alle Eventualitäten eingehen. Es ist immernoch eine Frage von Aufwand und Nutzen.
Eine sehr gute Ausführung von dir! Genau darauf wollte ich auch hinaus.
Dann würde es ja also (früher oder später) trotzdem mehr Sinn machen, wenn man ein "Bösewicht" ist, dass das selbst entwickelte Schadprogramm sich eben NICHT abschaltet, wenn es in einer VM ist ? Immer mehr Menschen benutzen VMs, mehr als früher und auch mehr private Leute. Vor allem im Server-Bereich greifen immer mehr auf "virtuelle Server" zurück. Wenn sich die meiste Schadsoftware aber abschaltet, weil es eine virtuelle Instanz erkennt, dann sind virtuelle Maschinen ja theoretisch sicherer und die Bösewichte doch nicht so schlau!? (Hast du ja bereits erwähnt)
Also du hast es ebenfalls bereits erwähnt, dass Bösewichte möglichst am meisten "ansprechen" wollen, indem sie ihre Schadsoftware verbreiten. Aber das könnte sich ja ziemlich schnell ändern. Ein Beispiel wäre "Linux". Viele vertrauen auf Linux und ich habe sogar schon des öfteren gelesen, dass einige Linux für unangreifbar halten, ja sogar virenresistent halten. (Was nicht stimmt) Tatsächlich gibt es aber mittlerweile genügend Sicherheitslücken und außerdem sind die Linux-Nutzerzahlen in den letzten Jahren sehr stark gestiegen (Woran das wohl liegt xD ?). Es könnte sich also eines Tages auch lohnen für die Kriminellen auch was für Linux zu tun. (Es gibt sogar schon plattformunabhängie Schadprogramme).
Das ist das gleiche wie bei Smartphones. Sobald genug im Umlauf waren, das es sich lohnte dafür Schadware zu entwickeln wurde es gemacht.
Wenn also genügend Leute mit VMs arbeiten wird sicherlich auch die Schadware entsprechend Programmiert. Die Entwickler passen ich halt an die Maßnahmen ihre Opfer an.
Ich weiß, das manche leute als Sicheres System ein Linux nutzen und darin dann merere VMs laufen haben. Eine VM für Internetanwendungen, welche immer zurückgesetzt wird, wenn sie beendet wird und weitere VMs ohne Internetzugang für sonstige Anwendungen.
Dort ist es natürlich schwer aus der einen VM auszubrechen und in die anderen einzudrigen um z.B. an die Daten zu kommen.
Man kann es den Schadware Entwicklern nur so schwer wie möglich machen, aber nichts bietet einen 100%igen Schutz.
Ja, eben. Das ist der Vorteil bei VMs. Ein 1-Klick-Zurücksetzen.
In der Theorie ist das möglich. In der Praxis allerdings unwahrscheinlich da die Schadsoftware natürlich erkennen muss das sie in einer VM läuft und dann einen gezielten Angriff zum ausbrechen starten muss. Wenn du also deine VM nicht Grade mit geteilten Laufwerken mit dem HOST oder mit einer aktiven Netzwerkverbindung betreibst bist du da relativ sicher denn warum sollte sich ein Angreifer die Mühe für diese Eventualität machen wenn es doch genug andere dumme gibt welche die Schadsoftware einfach so ausführen.
Ja, VMs werden / wurden immer häufig von Virenlaboren benutzt, um Schadprogramme zu analysieren. Aber mein Gedanke bzw. was ich mich frage ist, ist es denn eigentlich wirklich so intelligent von den "Viren-Entwickler", dass die Viren erkennen (können), dass sie sich in einer VM befinden und sich "abschalten" würden ? Also ich würde genau das Gegenteil machen, wäre ich nun ein Bösewicht und würde ein Schadprogramm entwickeln...