Speicherresidenz

Prozesse, die aktiv bleiben, sind Hintergrundprozesse. Bei Programmen, die als Hintergrundprozesse konzipiert sind, spricht man auch von Diensten oder, hauptsächlich bei Unix-artigen Systemen, von Daemons. Unter dem am weitesten verbreiteten PC-Betriebssystem Windows ist der grundlegende Hintergrunddienst der Windows-Systemdienst.

Teile von Hintergunddiensten müssen meist ebenfalls resident im RAM verbleiben, da sie immer wieder aufgerufen werden.

Bei vielen Multitasking-Betriebssystemen werden bereits nach dem Systemstart einige Programme automatisch und gleichzeitig ausgeführt, die sich z. B. über einen Taskmanager anzeigen lassen. Hierzu zählen etwa Drucker- oder Scannertreiber, aber auch Software für die Benutzung der Braillzeile oder diverse kleine Hilfsprogramme. Derlei Programme halten in den meisten Fällen Funktionen bereit, die zu einem unbestimmten Zeitpunkt auf Wunsch benötigt werden. Speicherresident sind diese jedoch meist nur in dem Sinn, als dass sie im virtuellen Speicher geladen sind. Ob Teile dabei auch resident im RAM gehalten werden, hängt einerseits vom Programm selbst ab, andererseits von der virtuellen Speicherverwaltung.

Ein Benutzer kümmert sich in den meisten Fällen jedoch nicht um solche Programme, da sie entweder Teil des Betriebssystems, von Treibersoftware oder anderen Dienstprogrammen sind und vom Installationsprogramm dieser Software automatisch eingerichtet werden. Manche solcher Programme sind z. B. über das Benachrichtigungsfeld der Taskleiste abrufbar.

Im Kontext eines Betriebssystems ohne virtuellen Speicher und prinzipiell ohne Multitasking sind alle Programme resident im Speicher, solange sie laufen. Bei DOS auf IBM-PC-kompatiblen Computern kommt zusätzlich erschwerend hinzu, dass im 16-Bit-Betriebsmodus Real Mode auf der x86-Architektur systembedingt zwischen unterschiedlichen Speicherarten unterschieden werden muss. Aufgrund der Kompatibilität zum originalen IBM PC und dessen 86-DOS (woraus PC DOS und MS-DOS hervorgingen) war nur der konventionelle Speicher von Programmen direkt nutzbar – war er verbraucht, kam es zu einem Out-of-Memory-Fehler („kein freier Arbeitsspeicher mehr“), und zwar auch dann, wenn noch genügend erweiterter Speicher (UMB, HMA, EMS) zur Verfügung stand. Erst mit XMS war es unter DOS möglich, mehr als die ersten 640 kB RAM auch für Programme zu nutzen.

Da ohnehin nur ein einziges (größeres) Programm zu einem bestimmten Zeitpunkt in den konventionellen Speicher passte, war das Fehlen von Multitasking kein wirklicher Nachteil. Der Speicher wurde nach dessen Beendigung wieder freigegeben, um wieder Platz für das nächste Programm zu haben.

In diesem Zusammenhang bedeutet Speicherresidenz, dass ein Programm im Speicher verbleibt, obwohl es beendet wurde. Daher auch die Abkürzung „TSR“, von englisch Terminate and Stay Resident, was diesen Umstand genau so beschreibt.

Die meisten TSR-Programme haben aber auch einen nicht-residenten Teil. Dieser wird, wie jedes andere exklusive DOS-Programm auch, nur beim direkten Aufruf des Programms ausgeführt und der Arbeitsspeicher nach dessen Beendigung wieder freigegeben. Um den in den Speicher geladenen TSR-Teil des Programms wieder zu aktivieren ohne das Programm exklusiv aufrufen zu müssen, nutzt DOS Interrupts. Das TSR-Programm muss sich dazu mit einem bestimmten Interrupt verbinden, sodass ein Anwendungsprogramm, das die über den Interrupt bereitgestellte Funktion benötigt, diesen auslösen kann. Zusätzlich können sich TSR-Programme aber auch über bereits vorhandene Interrupts legen, sodass sie bei der jeweiligen Funktion immer mit ausgeführt werden. Dies erzeugt einen Eindruck von Gleichzeitigkeit, obwohl stets nur ein Programm aktiv ist.

Auch Teile von DOS selbst arbeiten nach demselben Prinzip, etwa die Systemuhr, der Bildschirm- und der Tastaturtreiber.

In den meisten Fällen geschieht die Infektion unbemerkt. Ist der Virus einmal im Speicher, benötigt er das Infektionsprogramm nicht mehr, es genügt ihm ein einziger Aufruf. Die weitere Verbreitung geschieht durch den Virus selbst.

Auslöser einer Infektion ist das Starten einer infizierten Datei, die mittels Datenträger oder Netz auf den Rechner gelangt ist. Der Virus kopiert sich selbst meist zuerst an möglichst viele Stellen auf allen Laufwerken des Rechners oder Netzwerkes. Dabei wird kein Schadcode ausgeführt, dieses Vermehren soll möglichst unbemerkt geschehen. Die infizierten Wirtsprogramme laufen weitgehend unverändert weiter, wenn der Virus korrekt programmiert ist. Durch diese Verbreitung versucht der Virus, die Wahrscheinlichkeit möglichst groß zu halten, dass er beim nächsten Start des Rechners wieder aktiv ist.

Stealthviren sind eine Weiterentwicklung der speicherresidenten Viren, sie versuchen, ihre Identität aktiv zu verstecken.

CPUs segmentieren den Hauptspeicher hierarchisch in Ringen. Die Stärke der Residenz eines Virus hängt davon ab, in welchem Ring er sich befindet. Je höher die Hierarchiestufe seines Speicherbereiches, umso schwieriger wird es, den Virus zu entfernen.

Auch wurden bereits Viren-Angriffe auf die Cache-Speicher von Chipsätzen getätigt. Dort ist es extrem schwierig, den Virus zu entfernen, da Betriebssysteme dem Anwender i.a. keinerlei Verfügungsgewalt über den Cache eines Chipsatzes bieten.

Speicherresidente Viren können sich nur verbreiten, wenn man infizierte Dateien benutzt. Hat bereits eine Infektion stattgefunden, kann mit der Entfernung ein beträchtlicher Datenverlust einhergehen. Moderne und aktuelle Antivirensoftware schützt weitgehend automatisch vor bösartigen speicherresidenten Programmen.