Bin ich befallen?

[himitsu]

Die Rescue Disk läd noch 'nen Weilchen

und der super DE-Cleaner von botfrei hat zwar 10 (eigentlich nur 3, da Kopieen) Dateien gefunden und als bösartig eingestuft.

Zwei Dateien kenn ich genau, da sie selbsgeschrieben sind und die andere ist von einem DP-Mitglied der Codepad 2.0.



Die eine Datei macht übrigens nix anderes, als

Delphi-Quellcode:

Procedure TForm1.Button1Click(Sender: TObject);
  Procedure Search(Const Dir, Name: String);
    Var SR: TSearchRec;

    Begin
      Caption := Dir;
      Application.ProcessMessages;
      If FindFirst(Dir + Name, faAnyFile, SR) = 0 Then Begin
        Repeat
          If (SR.Name = '') or (SR.Name = '.') or (SR.Name = '..') Then Continue;
          If SR.Attr and faDirectory = 0 Then Memo1.Lines.Add(Dir + SR.Name)
          Else Memo1.Lines.Add(Dir + SR.Name + '\');
        Until FindNext(SR) <> 0;
        FindClose(SR);
      End;
      If FindFirst(Dir + '*.*', faDirectory, SR) = 0 Then Begin
        Repeat
          If (SR.Name = '') or (SR.Name = '.') or (SR.Name = '..') Then Continue;
          If SR.Attr and faDirectory <> 0 Then Search(Dir + SR.Name + '\', Name);
        Until FindNext(SR) <> 0;
        FindClose(SR);
      End;
    End;

  Begin
    Button1.Enabled := False;
    Memo1.Lines.Clear;
    Search('', Edit1.Text);
    Caption := 'Form1';
    Button1.Enabled := True;
  End;

Procedure TForm1.Edit1KeyPress(Sender: TObject; Var Key: Char);
  Begin  If Key = #13 Then Button1.Click;  End;

(die XP-Suche war halt nicht unbedingt zuverlässig/schnell)


Also 'nen reines Delphi-Gebashe ... weil Delphi-Programme ja immer sooooo böse sind.

[s.h.a.r.k]

Und Codepad hat doch so nen Hook in einer DLL, soweit ich das noch einschätzen kann.

BTW: Schon mal nach auffälligen Dateien gesucht? Wie oben beschrieben.

[himitsu]

Zitat von s.h.a.r.k:

BTW: Schon mal nach auffälligen Dateien gesucht?

Nix zu finden, auch in der Registry nicht.

Allerdings stand irgendwo, daß dieses Teil schwer zu entdecken sein soll.

[Luckie]

Und wenn du ihn findest, nicht reinigen, sondern neu aufsetzen.

[himitsu]

Zitat von Luckie:

Und wenn du ihn findest, nicht reinigen, sondern neu aufsetzen.

Ist schon OK, aber wenn nichts da ist, dann würde ich dieses gerne vermeiden.

Steht nicht grad viel Informatives drin und in Bedrohungdetails steht nur der Dateiname+Pfad.
Was ich komisch finde, ist, daß ich gefährlichere Dateien auf der Platte hat, welche nicht bemängelt werden.

[Assarbad]

Zitat von himitsu:

Zitat von Luckie:

Und wenn du ihn findest, nicht reinigen, sondern neu aufsetzen.

Ist schon OK, aber wenn nichts da ist, dann würde ich dieses gerne vermeiden.

Bei Rootkits ist das ja das fiese. Man weiß nicht unbedingt, daß man befallen ist, geschweige denn von was - aber die Indikatoren sind da. Hier kann ich nix sehen (siehe die beiden Screenshots). Ich empfehle daß du nochmal GMER und den RootkitRevealer von Sysinternals drüberlaufen läßt. Dann haben wir ziemliche Sicherheit, daß da auch nix versteckt unterwegs ist.

Zitat von himitsu:

Steht nicht grad viel Informatives drin und in Bedrohungdetails steht nur der Dateiname+Pfad.

Komplett lesen

Offenbar ist das ein whitelist-basiertes Programm. Sprich, Norton geht danach was sie kennen. Ist eine sehr sichere Methode, aber alles kennen die logischerweise nicht. Interessant wäre ...

Zitat von himitsu:

Was ich komisch finde, ist, daß ich gefährlichere Dateien auf der Platte hat, welche nicht bemängelt werden.

... bei diesen, was genau Norton dazu sagt.

Was denn so? Echte Malware oder eher Grayware?

Kann dir gern mal unseren Kommandozeilenscanner mit Virensignaturen schicken (bspw. morgen).

[Assarbad]

Zitat von himitsu:

und der super DE-Cleaner von botfrei hat zwar 10 (eigentlich nur 3, da Kopieen) Dateien gefunden und als bösartig eingestuft.

Wie genau werden sie denn gemeldet?