Virus infects Delphi

[himitsu]

Zitat von Matze:

Denn aktuell möchten vermutlich viele Wissen, ob der "Virus" bereits auf dem heimischen PC ist. Gut, das kriegt man über die .bak natürlich auch heraus.

das sollten zwar inzwischen auch genug Virenscanner können, aber bitte (prüft aber nur die SysConst.dcu)

Code:

C:\Programme\Borland\Delphi7\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\Delphi7\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\BDS\4.0\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\BDS\4.0\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\CodeGear\RAD Studio\6.0\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\CodeGear\RAD Studio\6.0\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

*end*

[toms]

Im delphigl Forum hat jemand ein Open Source Tool Delphi Defender veröffentlicht.

Screenshot

[jaenicke]

Zitat von himitsu:

das sollten zwar inzwischen auch genug Virenscanner können

Genau, soeben habe ich bei einem Komplettscan mit Norton festgestellt, dass ich bereits am 15. Mai ein infiziertes Archiv via ICQ erhalten hatte. So lange gibt es den Virus also bereits. Ich habe zwar Delphi 7 auch noch auf dem Rechner, aber da die Programme bei mir keine Adminrechte haben, konnte der Virus nix machen.

Deshalb wurde das Delphi 7 bei mir auch nicht infiziert, das hatte ich ja auch schon kurz geprüft als der Virus bekannt wurde (ohne zu wissen, dass ich den tatsächlich bekommen hatte).

Aber das wurde ja auch schon gesagt, dass es ganz einfach reicht nicht als Admin zu arbeiten bzw. wie bei mir die UAC unter Vista aktiviert zu lassen, damit der Virus nichts bewirken kann.

[MaBuSE]

Zitat von jaenicke:

Aber das wurde ja auch schon gesagt, dass es ganz einfach reicht nicht als Admin zu arbeiten bzw. wie bei mir die UAC unter Vista aktiviert zu lassen, damit der Virus nichts bewirken kann.

Das ist sehr kurzsichtig gedacht. Der Quellcode des PoC ist im Umlauf und es dürften einige Programmierer in der Lage sein den Quelltext so zu modifizieren, dass er auch diese Hürden nimmt und vieleicht spendiert er ja auch dem Virus eine Schadroutine ;-/ Durch die veränderte Signatur kann es auch sein, dass Ihn dann die Virenscanner nicht mehr erkennen.

Das sicherste ist alle Delphi dcu-Dateien mit einer Prüfsumme abzusichern. Und beim Delphistart / vor jedem Compile automatisch zu prüfen. (Dauert bei mir ca. 1 bis 2 Sekunden)

[mkinzler]

Wenn die Verzeichnisse aber so geschützt sind, dass ein Überschreiben der Original-Dateien verhindert wird, ist es eigentlich egal, was der Virus sonst macht.

[MaBuSE]

Zitat von mkinzler:

Wenn die Verzeichnisse aber so geschützt sind, dass ein Überschreiben der Original-Dateien verhindert wird, ist es eigentlich egal, was der Virus sonst macht.

Es gibt immer Mittel und Wege
Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen. Wenn die Dateien erst mal mir gehören, dann ich die Zugriffsrechte ändern.
Das Recht "Besitz übernehmen" ist per Default dem Benutzer zugewiesen. Das muß man z.B. durch Systemrichtlienien explizit wegnehmen.

Probier es doch mal unter XP aus:

• Als normaler Benutzer anmelden
• Eine Datei, auf die man keinen Zugriff hat mit rechts anklicken
• Eigenschaften Dialog öffnen
• Sicherheit auswählen
• Erweitert anklicken
• auf Besitzer wechseln
• Besitzer ändern auf "name" anklicken
• übernehmen klicken

-> nun hast Du das Recht Rechte für diese Datei zu vergeben.

Es gibt ja auch noch viele andere Löcher. Wenn diese durch den "Administrator" nicht gestopft werden, bringt es nur eine trügerische Sicherheit. Das ist ja das brühmte Katz und Maus Spiel zwischen Hackern/Virenschreibern und den SystemAdministratoren/Firewall-und Antivirenprogramm-Schreibern

Das bedeutet aber nicht, das ich dagegen bin nur mit Benutzer Rechten zu arbeiten. Das ist absolut sinnvoll!!! Aber man sollte nicht denken, das dann alles sicher ist.

[Sherlock]

Es verlassen sich zu viele auf ihr hohes "ich bin kein Admin" Ross. Eine vernünftige Absicherung des kompletten Netzes ist deutlich mehr Wert als ständiges aufpoppen von nervigen Berechtigungsabfragen, die über kurz oder lang ungelesen weggeklickt werden (und zwar per OK-Knopf).



Sherlock

[GMerg]

Hallo,

Für alle diejenigen, die infizierte Programme jetzt nicht mehr
starten können, weil die Antiviren-Software die Ausführung verhindert
(den schadhaften Code aber nicht entfernt), gibt es unter

GSA Delphi Induc Cleaner

ein Programm, das Ihnen helfen kann.

[jaenicke]

Zitat von MaBuSE:

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.

Ich rede nicht von Windows XP. Dass das deutlich unsicherer als Vista ist, ist klar.

Zitat von Sherlock:

Eine vernünftige Absicherung des kompletten Netzes ist deutlich mehr Wert als ständiges aufpoppen von nervigen Berechtigungsabfragen, die über kurz oder lang ungelesen weggeklickt werden (und zwar per OK-Knopf).

Wenn du das einfach wegklickst, deine Sache. Ich tue es definitiv nicht einfach so, sondern nur, wenn ich genau weiß warum das gerade kommt und dass ich das auch wollte...

Was die Absicherung angeht hast du aber natürlich Recht und da kümmere ich mich auch bei mir immer drum.

[MaBuSE]

Zitat von jaenicke:

Zitat von MaBuSE:

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.

Ich rede nicht von Windows XP. Dass das deutlich unsicherer als Vista ist, ist klar.

Aus diesem Grund habe ich "z.B." geschrieben, das bedeutet "zum Beispiel" und soll zeigen, dass das nur ein Beispiel ist. Auch unter Vista gibt es Lücken.