Virus infects Delphi

[MrOuzo]

Urrgghhh....

komme heute zum ersten Mal wieder in die Firma und Sophos hat alle meine letzen Tools gelöscht, da ist die Freude groß.

Hab jetzt mal alles Seiten hier durchgelesen, einen richtigen Schutz gibt es wohl leider nicht...

Die Sysconst.pas wird ja immer dann, wenn ein Sytem befallen werden soll als Temp im \lib Verzeichnis gespeichert. Ich habe mit jetzt ein Verzeichnis mit diesem Namen angelegt, jetzt kann ich den Runtime-Error unterscheiden, es kommt dann Runtime-Error 5.
So hab versucht ein Projekt neu zu erstellen, mit meiner Lösung sagt er aber, dass er die Sysconst.pas nicht findet, war also nix

Wäre es nicht möglich, da ich auch die schönen Ideen mit den Prüfsummen gelesen habe, einen Wrapper für die DCC32 zu schreiben, der die Commandline-Parameter überprüft, ob eine System DCU neu erzeugt werden soll und dies ggf verhindert ?

Gruß
MrOuzo

[himitsu]

Im Notefall gibt es noch einen einfachen Schutz gegen diese Art von Virus:

Dieser Virus benötigt ja einige Voraussetzungen, um eine DCU erstellen zu können
und wo man eingreifen kann.

* er benötigt Schreibzugriff auf das Lib-Verzeichnis
> einfach via Windows/Datei-/Rechtesystem die nötigen Rechte nehmen
= keine Schreiberechte für den angemeldeten Benutze und laufende Programme auf dieses Verzeichnis

* er benötigt Zugriff auf den Komandozeilenkompiler
> wenn man diesen nicht benötigt und nur via IDE kompilert, dann könnte man diesen (DCC32.exe) löschen/umbenennen
> würde ich aber nicht empfehlen, denn z.B. der JEDI-Intaller benötigt diesen auch

* er benötigt Zugriff auf die SysConst.pas
> man könnte jetzt also einfach diese löschen/umbenennen
> oder erst garkeine Delphi-SourceCodes installieren
= benötigen tuen Viele diese Dateien doch eh nicht (ich schau aber gern mal rein)

* aktuell schaut er noch nach, ob eine SysConst.bak im Lib-Verzeichnis liegt
> wenn ja, dann geht er davon aus, daß er schon installiert ist
> also einfach eine SysConst.bak anlegen und er installiert sich nicht
= aber ob das zukünftige Versionen auch noch so machen, ist mehr als fraglich

* man könnte auch die Dateien überwachen (Tool siehe im anderen Virus-Thread)
> das schützt zwar nicht vor Veränderung/Befall,
> warnt aber einen wenigstens, wenn es doch passiert ist

[jaenicke]

Zitat von MaBuSE:

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.
[...]

Nachdem ich gerade noch einmal auf den Thread aufmerksam gemacht wurde habe ich es gerade im virtuellen PC mit einer frischen Installation ausprobiert. Mit einer sauberen Installation kann ich das nicht reproduzieren, da zeigt sich mir das erwartete Verhalten: Ich bekomme als eingeschränkter Benutzer angezeigt, dass ich den Besitzer nur anzeigen kann.

[Bernhard Geyer]

Der Virus hat es in den SW-Olymp geschafft. Er wurde von der c't verteilt

[Mithrandir]

Japp, und in den Foren kommen wieder alle die zu Wort, die mal wieder keine Ahnung haben...

[OG Karotte]

... und nicht "richtig" lesen können...

[MaBuSE]

Zitat von Daniel G:

Japp, und in den Foren kommen wieder alle die zu Wort, die mal wieder keine Ahnung haben...

Zitat von OG Karotte:

... und nicht "richtig" lesen können...

Was meint Ihr damit ?

[Mithrandir]

Zitat von MaBuSE:

Was meint Ihr damit ?

Das Heimatland der Trolle, die Heise-Foren.

Zum Beispiel das hier, oder das, oder dieses und jenes

Das Übliche halt.

[Luckie]

Zitat von jaenicke:

Zitat von MaBuSE:

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.
[...]

Nachdem ich gerade noch einmal auf den Thread aufmerksam gemacht wurde habe ich es gerade im virtuellen PC mit einer frischen Installation ausprobiert. Mit einer sauberen Installation kann ich das nicht reproduzieren, da zeigt sich mir das erwartete Verhalten: Ich bekomme als eingeschränkter Benutzer angezeigt, dass ich den Besitzer nur anzeigen kann.

Hätte mich auch stark gewandert, wenn das ging.

[Helmi]

Hallo,

sorry dass ich dieses Thema wieder aufgreifen muss - aber anscheinend lebt dieser Virus wieder/noch.

Ich hatte in den letzten Tagen ein paar Komponenten von Torry runtergeladen und ausprobiert und irgendwann maulte mein Virenscanner eines meiner eigenen Programme an.
Zuerst dachte ich nur es läge an einer bestimmten Code-Konstellation in diesem Programm und dachte mir nichts weiter dabei, aber als ich vorhin ein anderes Programm öffnete und kompilierte und sich danach mein Virenscanner sich wieder zu Wort meldete und das kam mir schon komisch vor.

Ich hab mich dann auf diese Suche nach diesem Thread gemacht und auch nach dem Lösungsweg dieses Problems - aber ich hatte keine SysConst.bak!!
Gott sei Dank hab ich den kompletten Delphi7-Ordner gleich nach der Installation auf einen anderen Datenträger kopiert und konnte so die ganzen Dateien im LIB-Ordner austauschen. Daraufhin gab mein Virenscanner nach einer Neukompilierung Ruhe.