Quelltext der Seite Brain (Computervirus)

{{Weiterleitungshinweis|Ashar|Zum indischen Cricketspieler siehe [[Kiran Ashar]].}}
{{Infobox Computervirus
| Name = Brain
| Aliase = Pakistani, (c)Brain
| Veröffentlichung = [[1986]]
| Fundort = [[Pakistan]]
| Virustyp = [[Bootsektorvirus]]
| Subtyp = 
| Autoren = Basit Farooq Alvi, Amjad Farooq Alvi
| Dateigröße = 3 k[[Byte]]
| Wirtsdateien = [[Bootsektor]]
| Verschlüsselung = nein
| Stealth = ja
| Speicherresident = ja
| System = [[MS-DOS]] mit [[File Allocation Table|FAT]]-[[Dateisystem]]
| Programmiersprache = 
| Info = Erstes In-the-wild-Virus für MS-DOS<br />Erstes Stealth-Virus In-the-wild<br />Basiert auf dem Virus Ashar<br />Infiziert keine Festplatten
}}
'''Brain''' bezeichnet eine Gruppe von [[Bootsektorvirus|Bootsektorviren]], deren Originalversion als die erste unkontrolliert verbreitete [[Malware]] für [[MS-DOS]]-[[Personal Computer|PCs]] bekannt wurde.

Das Virus infiziert den [[Bootsektor]] von [[Diskette]]n, die mit dem [[PC-kompatibles DOS|DOS]]-Dateisystem [[File Allocation Table|FAT]] formatiert wurden.<ref name="fsecure">[https://www.f-secure.com/v-descs/brain.shtml f-secure.com] F-Secure: ''Brain''</ref><ref name="trt">[https://www.trtworld.com/magazine/the-making-of-the-first-computer-virus-the-pakistani-brain-32296 trtworld.com] TRT-World.com ''Making of the first computer virus''</ref><ref name="wiki">[http://virus.wikidot.com/brain virus.wikidot.com] Wikidot.com Virus.WikiDot.com ''Brain''</ref>

Ein Vorläufer namens '''Ashar''' wurde bereits im Januar 1986 geschrieben.

== Aliasse ==
Die Bezeichnung '''Brain''' etablierte sich, weil das Virus den Namen des Datenträgers in <code>(c)Brain</code> ändert. Der Vorgänger änderte das Volume Label dagegen in <code>(c)Ashar</code>. Brain ist auch unter den Namen '''Lahore''', '''Pakistani''', '''Pakistani Brain''', '''Brain.A''', '''Brain-A''', '''(c)Brain''' und '''UIUC''' bekannt. Das [[BusinessWeek]]-Magazin nannte Brain in einem Artikel reißerisch '''The Pakistani Flu''', was auf Deutsch ''Die pakistanische Grippe'' bedeutet.

Die Hersteller von Antiviren-Software verwenden folgende Bezeichnungen:<ref name="wiki" />
* [[Avast|Avast!]]: '''Brain'''
* [[Avira]]: '''Brain #2'''
* [[ClamAV]]: '''Brain.2'''
* [[Doctor Web]]: '''Brain.dropper'''
* [[F-Secure]]: '''Brain'''
* [[Grisoft]]: '''Brain'''
* [[Kaspersky Lab]]: '''Virus.Boot.Brain.a''' oder '''Brain.a'''
* [[McAfee]]: '''BtDr.Brain'''
* [[Panda Security|Panda]]: '''Brain.1986'''
* [[Bitdefender]]: '''Trojan.Dropper.Boot.Brain.A'''
* [[Sophos]]: '''Brain drop'''
* [[NortonLifeLock|Symantec]]: '''Brain'''
* [[Trend Micro]]: '''(C)BRAIN'''

== Versionen und Derivate ==
'''Ashar''' wurde erst nach Brain entdeckt, ist aber eine frühere Version von Brain. Anhand der Code-Änderungen und der Versionsnummer ist klar ersichtlich, dass die Ashar-Variante zuerst entwickelt wurde. Als erster Virus [[In-the-wild]] für MS-DOS-Rechner wurde aber Brain.A bekannt. Von Ashar gibt es sechs verschiedene bekannte Varianten, die sich aber nur durch den enthaltenen Text unterscheiden.

Es gibt neben Brain.A noch weitere bekannte Derivate der Virus-Gruppe. Meistens wurde aber nur der Nachrichtentext geändert. Zu den verbreitetsten Versionen gehören:<ref name="wiki" />
* '''Brain.B''' kann auch Festplatten infizieren.
* '''Brain.C''' kann ebenfalls Festplatten infizieren, ändert aber nicht den Namen des Datenträgers.
* '''Brain.Clone''' ist wie Brain.C, aber zeigt anstelle des Textes zufällige Zeichen.
* '''Brain.Clone.B''' ist eine Variante von Brain.Clone, die das FAT-Dateisystem zerstört, wenn die Systemzeit beim Booten den 5. Mai 1992 oder einen späteren Zeitpunkt anzeigt.
* '''Brain.Shoe''' ist ein Derivat von Brain.B und auch unter dem Namen '''Ashar''' bekannt. Vermutlich ist diese Version älter als das Original.
* '''Brain.Shoe.B''' kann im Gegensatz zu Brain.Shoe keine Festplatten infizieren. Die Versionsnummer ist auf 9.1 geändert.
* '''Brain.TerseShoe''' ist eine Variante, die sich nur durch einen Zeilenumbruch in der Nachricht von Brain.Shoe unterscheidet
* '''Brain.Jork''' enthält den Text <code>(C) Jork & Amjads (pvt) Ltd"</code>.
* '''Brain.Singapore''' Das Copyright-Datum lautet 1988 statt 1986. Der Text ist fast identisch mit dem der originalen Virus-Version, nach den Telefonnummern steht aber: <code>Ver (Singapore) Beware of this "virus". It will transfer to a million of Diskettes... $# @%$@!!</code>

== Funktion ==
[[Datei:Brain-virus.jpg|mini|360px|[[Hexdump]] eines mit (c)Brain infizierten Bootsektors]]
Infizierte Disketten haben folgenden Text im Bootsektor stehen:<ref name="trt" /><ref name="fsecure" /><ref name="wiki" />

<pre style="margin-left:1.6em;">
Welcome to the Dungeon (c) 1986 Basit & Amjads (pvt) Ltd VIRUS_SHOE RECORD V9.0 Dedicated to the dynamic memories of millions of viruses who are no longer with us today - Thanks GOODNESS!! BEWARE OF THE er..VIRUS : this program is catching program follows after these messages….$#@%$@!!
</pre>
<div style="font-size:90%; margin-left:1.6em;">'''Übersetzung:''' ''Willkommen im Verlies (c) 1986 Basit & Amjads (pvt) Ltd VIRUS SHOE_RECORD V9.0 Gewidmet den dynamischen Erinnerungen von Millionen Viren, die nicht mehr unter uns weilen. – zum GLÜCK! Achtung vor dem äh..Virus : dieses Programm infiziert Programme nach dieser Nachricht….$#@%$@!!''
</div>

=== Stealth ===
Obwohl 1986 noch keine Antivirenprogramme auf dem Markt waren, verwendete Brain bereits eine einfache Stealth-Technik. Das Virus versucht, sich vor der Entdeckung zu verstecken, indem es sich in <code>INT 13</code> einbindet. Wird der infizierte Bootsektor ausgelesen, während das Virus im Speicher resident und somit aktiv ist, zeigt Brain stattdessen den ursprünglichen Bootsektor an. Der Hexeditor von MS-DOS, das Systemprogramm [[DEBUG]], ließ sich davon beispielsweise täuschen.

Ashar, der Vorgänger von Brain, ist somit auch das erste bekannte Stealthvirus.

=== Infektion ===
Das Virus infiziert den Computer, indem es den Bootsektor durch eine Kopie von sich selbst ersetzt. Der eigentliche Bootsektor wird in einen anderen Sektor verschoben, welcher als defekt gekennzeichnet wird. Infizierte Disketten haben üblicherweise drei [[Byte|Kilobytes]] defekte Sektoren. Die Disketten-Bezeichnung wird in <code>(c)Brain</code> geändert.<ref name="fsecure" /><ref name="wiki" />

Brain verfügt in seiner ursprünglichen Version über eine Funktion zum korrekten Umgang mit Festplattenpartitionen und vermeidet es, Festplatten zu infizieren, indem es das Bit mit dem höchsten Stellenwert der BIOS-Laufwerksnummer überprüft. Brain infiziert keine Laufwerke, bei denen dieses Bit gelöscht ist. Andere Viren aus dieser Zeit erkannten keine Festplatten und zerstörten teilweise die Möglichkeit, auf Daten der Festplatte zuzugreifen, indem sie diese wie Disketten behandelten. Brain wurde aufgrund seines nicht zerstörerischen Verhaltens oft nicht entdeckt, insbesondere dann nicht, wenn der Benutzer dem langsamen Diskettenzugriff keine Aufmerksamkeit schenkte.<ref name="fsecure" /><ref name="wiki" />

Der Viruscode beinhaltete die Adresse der Autoren, drei Telefonnummern und eine Nachricht, die dem Benutzer mitteilte, dass sein System infiziert war und er für die Entfernung die Brüder kontaktieren sollte:<ref name="fsecure" /><ref name="trt" /><ref name="wiki" />

<pre style="margin-left:1.6em;">
    Welcome to the Dungeon © 1986 Basit & Amjads (pvt). BRAIN COMPUTER SERVICES 730 NIZAM
    BLOCK ALLAMA IQBAL TOWN LAHORE-PAKISTAN PHONE: 430791,443248,280530. Beware of this VIRUS.... Contact us for vaccination...
</pre>

Es gibt viele kleinere und größere Variationen des Textes. Das Virus verlangsamt das Diskettenlaufwerk und macht sieben Kilobyte des konventionellen Speichers für DOS unverfügbar.<ref name="wiki" />

== Die Autoren ==
Brain wurde von den zwei Brüdern Basit Farooq Alvi und Amjad Farooq Alvi geschrieben, die in der [[Pakistan|pakistanischen]] Stadt [[Chahmiran]] in [[Lahore]] lebten. Die Brüder gaben dem [[Time]]-Magazin gegenüber an, sie hätten das Virus geschrieben, um ihre medizinische Software vor Raubkopien zu schützen, und es sollte lediglich Urheberrechtsverletzer treffen.<ref name="pcwelt">{{Webarchiv |url=https://www.pcwelt.de/news/Sicherheit-Erster-PC-Virus-wird-25-Jahre-alt-1447105.html |text=Archivierte Kopie |wayback=20210117114605 |archiv-bot=2023-06-18 08:42:19 InternetArchiveBot}} PC-Welt.de ''Erster PC-Virus wird 25 Jahre alt''</ref><ref name="trt" />

Als die Brüder eine große Anzahl an Anrufen von Personen aus den Vereinigten Staaten, Großbritannien und von anderswo erhielten, die von ihnen verlangten, ihre Systeme zu reinigen, waren die Brüder fassungslos und versuchten den empörten Anrufern zu erklären, dass sie keine bösen Absichten hatten. Schließlich kündigten sie ihren Telefonanschluss und bedauerten, dass sie die Kontaktdaten veröffentlicht hatten. Es wurde aber auch spekuliert, dass die Brüder den Virus geschrieben haben, um für ihren Betrieb zu werben.<ref>{{Webarchiv |url=http://www.cknow.com/vtutor/RobertSladeChapter7-Brain.html |text=Computer Knowledge –&nbsp;Robert Slade: Chapter 7&nbsp;– (c) Brain |wayback=20090308092318}}</ref><ref name="pcwelt" /><ref name="trt" />

Ihr Geschäft in Pakistan, den Internet-Provider ''Brain Limited'', betreiben die Gebrüder Farooq Alvi bis heute (Stand August 2020).

== Trivia ==
Eine Infektion mit Brain war der Anlass für [[John McAfee]], sich mit Malware zu befassen. Er wurde im Jahr 1987 einer der ersten Hersteller von Antivirensoftware.<ref name="inventors">{{Literatur |Hrsg=Marshall Cavendish Corporation |Titel=Inventors and Inventions |Band=4 |Verlag=Marshall Cavendish |Ort=New York |Datum=2007 |ISBN=978-0-7614-7761-7 |Seiten=1029 ff. |Online={{Google Buch |BuchID=YcPvV893aXgC |Seite=1029}}}}</ref> Obwohl er die Firma 1994 verließ und 1997 verkaufte, blieb sein Name bis heute untrennbar mit Antivirensoftware verbunden.

== Einzelnachweise ==
<references />

== Weblinks ==
* [http://brain.net.pk/ Website der Brain Limited] (englisch)
* [http://www.f-secure.com/v-descs/brain.shtml Beschreibung von (c)Brain auf der F-Secure-Seite] (englisch)
* [http://www.textfiles.com/virus/braininf.vir Informationen über (c)Brain und die Varianten] (englisch)
* [https://www.welivesecurity.com/2018/11/05/malware-1980s-brain-virus-morris-worm Brain Virus]
* [https://www.thevintagenews.com/2016/09/08/priority-brain-first-computer-virus-created-two-brothers-pakistan-just-wanted-prevent-customers-making-illegal-software-copies First Computer Virus created two Brothers]
* [https://www.computerwoche.de/g/die-geschichte-des-computer-virus,116570 Die Geschichte des Computer Virus]
* [https://smartermsp.com/tech-time-warp-the-brothers-behind-the-brain-pc-virus The Brothers behind the Brain Virus]


{{SORTIERUNG:C Brain}}
[[Kategorie:Schadprogramm]]
[[Kategorie:Computervirus]]
[[Kategorie:Bootsektorvirus]]