Virus infects Delphi

[invalid_operation]

Zitat von guinnes:

Zitat von Chemiker:

.. und wie man vorgehen soll, wenn man sich den Virus gefangen hat

Ich denke das ist doch klar ? Die Bak über die DCU kopieren und gut ist

Sehe ich das falsch: Der "Virus" ändert den Quelltext der .pas-Datei, nicht die .dcu-Datei?

Edith meint: Wie käme er sonst in die verschiedenen .dcus für verschiedene Delphis rein?

Zur Beseitigung also einfach die .bak mit Notepad öffnen und als .pas speichern, oder?

Dann einmal Shift+F9 in Delphi und gut, denke ich mal?

Hab' ich da irgendwas irgenwo in diesem PanikFred überlesen?

42 (Don't Panic)

[hoika]

Hm,

?

so wie ich das verstanden habe:
Die dcu löschen und die .bak Kopieren und die Kopie in dcu umbenennen.

Somit existiert eine dcu + bak und in Version 0.0.0.0.0.0.9999
des Virus sorgt das für Ruhe.


Heiko

[Dunkel]

Oh man, dieser Virus zieht momentan wirklich enorme Kreise. Erschreckend! (watt bin ich froh, dass ich mittlerweile auf OSX und Xcode umgestiegen bin; für die Hand voll OSX-Entwickler wird sich wohl niemand die Mühe machen, solch einen Virus zu schreiben)

Hat sich eigentlich schon irgendwer gefragt, weshalb dieser Virus explizit auf Delphi 4 - 7 aus ist, obwohl schon die ein oder andere neuere Version seit gefühlten Ewigkeiten existiert? Auch für eine womögliche PoC-Version ist das doch recht eigenartig...

Ich wünsche allen Delphianern eine schnelle Genesung und hoffe, dass sich das nicht all zu sehr negativ auf Delphi/CodeGear/Embarcadero auswirken wird; als Aushängeschild taugt das erste Auftreten eines neuartigen Virus nun wirklich nicht.

[himitsu]

@invalid_operation:
er legt eine Kopie der .PAS an,
kopiert sich da hinein,
macht ein .BAcKup der .DCU
läßt die .PAS compilieren und erstellt so eine passende .DCU
und löscht am änder die geänderte .PAS wieder

http://www.delphi-forum.de/viewtopic...=575002#575002
das Programm findet auch alle Vorkommen in DCU, EXE, DLL usw., solange es Leserechte auf das Verzeichnis/die Datei hat und die Dateien auch nicht komprimiert oder verschlüssel sind (also kein UPX, Zip und andere Komprimierungen verwendet wurden)

Zitat:

watt bin ich froh, dass ich mittlerweile auf OSX und Xcode umgestiegen bin; für die Hand voll OSX-Entwickler wird sich wohl niemand die Mühe machen, solch einen Virus zu schreiben

in diesem Fall ist es garkeine große Mühe, da das Verfahren so einfach ist, daß es schon verwundert, daß da noch keiner früher sowas gemacht hat.
Und es ist auf einen Großteil der Programmierumgebungen anwendbar.

[Mavarik]

Hallo Zusammen...

Zu erstmal: Norton findet den Virus seit heute morgen auch endlich...
Kann ich also Avast wieder deinstallieren...

2. Der Virus war (bei uns) auf einer original CD einer Wetterstation's Software ca. 28.06.09 installiert...

Also gibt es den Virus schon um einiges länger...

Grüsse Frank

[mleyen]

Ich weiß zwar nicht wann die CD gebrannt wurde, aber zum ersten mal wurde es anscheinend, unter ziemlich lustigen/ unwissenden Umständen, am 21.04.09 entdeckt.

Zitat von Sherlock:

It seems to be in the wild. Googling for the recommended searchstring results in a few pages [...] it was discovered on April 21st.

Sherlock

Edit:
Wahrscheinlich aber schon am 13.04, da er das Programm ja auch in dem anderem Forum gepostet hat.

[himitsu]

ich denk mal, der blieb so lange unentdeckt, da er ja eigentlich (noch) nichts Schlimmes mach ... man also keine Auswirkungen sehen kann.

[JamesTKirk]

Hi zusammen!

Unabhängig davon, dass so ein Virus nicht gut zu heißen ist, ist die Art wie sich der Virus verbreitet einfach, aber genial. Ich habe vor einiger Zeit im Internet eine Diplomarbeit zum Thema Selbstreproduktion aus dem Jahre 1980 gefunden, in welcher der Autor so ähnlich vorgegangen ist (übrigens auch in Pascal).

Noch zum Virus selbst:
Wie wahrscheinlich wäre es wohl, dass Free Pascal so ähnlich kompromittiert werden könnte? Ich persönlich denke eher gering (ich führe meinen Gedanken dazu mal nicht aus, nicht dass noch jemand auf dumme Ideen kommt )

Gruß,
Sven

[mkinzler]

Zitat:

Wie wahrscheinlich wäre es wohl, dass Free Pascal so ähnlich kompromittiert werden könnte? Ich persönlich denke eher gering

Und auf was stützt du dich bei dieser These?

[sirbarny]

Hallo zusammen,

ich habe gerade den Verursacher des Übels auf meinem System entdeckt. Am 03.07. habe ich aus dem Forumsbeitrag von Alois
Animierte Splashform die in seinem Link angegebene Demoversion ausprobiert.
Heute morgen hat mein Virenscanner endlich zugeschlagen und den Schädling entdeckt.