Virus im Projekt?

[jaenicke]

Am sinnvollsten dürfte sein einmal eine Boot-CD zu benutzen und das System damit von außen zu scannen. Vielleicht ist da ja wirklich ein Virus aktiv, der den Trojaner einschleust, aber der muss nicht in Delphi stecken.

Was sagt denn Virustotal zu der aktuellen Exe?

[Erutan]

Zitat von jaenicke:

Am sinnvollsten dürfte sein einmal eine Boot-CD zu benutzen und das System damit von außen zu scannen. Vielleicht ist da ja wirklich ein Virus aktiv, der den Trojaner einschleust, aber der muss nicht in Delphi stecken.

Was sagt denn Virustotal zu der aktuellen Exe?

Ich kann mein System dank UEFI nicht von außen booten. Hab' jedenfalls noch nicht rausgefunden wie es gehen soll. Die dafür vorgesehene Windows-Funktion funktioniert nicht.

Ich kann die Exe nicht an Virusttal schicken weil Kaspersky sie gelöscht hat.

[Erutan]

Mein letztes Projekt, den Presse-Submitter erkennt (wieder einmal) nur McAffee

https://www.virustotal.com/de/file/0...is/1395326045/


Beängstigend ist dieses Ergebnis:

Es handelt sich um eine Form mit nur einem Button darauf

https://www.virustotal.com/de/file/1...is/1395326393/

Nun erkennen zahlreice Virenscanner einen Schädling.

Die einzige Veränderung zu gestern: Ich habe gestern (dummerweise) CamStudio (von der originalen Herstellerseite) geladen und installiert und erst bei der Installation festgestellt, daß zahlreiche adware mitinstalliert wurde.

Alles andere ist identisch zu gestern, vorgestern, letzten Monat...

[d7user1]

Zitat:

Da werden lediglich ein paar Regions erstellt, kombiniert und letztendlich einem Formular zugewiesen. Ich kann daran beim besten Willen nichts potentiell Gefährliches entdecken.

bei SendMessage ist das auch öfters so das nicht existierende viren gefunden werden

Delphi-Quellcode:

var
 HHandle: THandle;
 s: PChar;
 CopyData: TCopyDataStruct;
begin
 HHandle:= FindWindow('ziel.exe', nil);

 if HHandle<> 0 then
  begin
   with CopyData do
    begin
     s:= PWideChar(CopyData);
     dwData := 0;
     cbData := (StrLen(s) + 1) * SizeOf(Char);
     lpData := s;
    end;

   SendMessage(HHandle, WM_COPYDATA, 0, LongInt(@CopyData));
  end;

[rhodan]

hast du dir den Link von Deddy angeguckt auf seite 1?

klingt ziemlich plausibel für mich das du dich infiziert hast wenn selbst ne form mit button auffällig ist..
http://blog.marcocantu.com/blog/stop...phi_virus.html

lg

[Erutan]

Sooo...ich habe mich mittlerweile mal durch die diversen Foren gewüht und Einiges dazu erfahren.
Ich habe meine Festplatte auch nach der verräterischen .bak gescannt und nichts gefunden. Dann habe ich mir dieses Tool geladen und laufen lassen: http://www.delphigl.com/forum/viewtopic.php?t=8626

Das hat auch nichts gefunden.

Ein Komplettscan von Kaspersky läuft derzeit noch. Bisher hat er nichts mehr gefunden. Auch wenn ich nun ein neues Projekt anlege und kompiliere, meldet sich Kaspersky nicht mehr. Die bisher erstellten Programme (einschließlich dem, das von McAffee als Virus eingestuft wird) lassen Kaspersky offenbar kalt.

Zitat von cookie22:

Was hat das Delphi Virus(W32/Induc-A) mit "Downloader.Win32.Bainload.tzd" zu tun?

Nunja, es gab die Meldung, daß der seinerzeitige Delphi-Virus eben jenen Banking-Trojaner befallen habe. Das würde nun zwar auch nicht erklären wieso das nun plöttzich umgekehrt sein soll, also daß nicht der Trojaner das Delphivirus hat, sondern Delphi den Bankingtrojaner verbreitet.

Siehe: http://www.heise.de/newsticker/meldu...rt-752153.html

Zitat von Perlsau:

Hallo Holger,

ich würde dir empfehlen, dein Delphi 7 neu zu installieren. Damit bist du wohl auf der sicheren Seite.

Das stelle ich erst einmal ganz hinten an, denn wenn das einmal passiert ist und ich nicht weiß wo genau die Ursache liegt, dann passiert das bei einer Neuinstalation wieder. Und es ist echt Pain in the Ass Delphi 7 unter Windows 8 zum Laufen zu bringen.
Außerdem soll das Virus angeblich nur ein paar Dateien ersetzt bzw. umgeschrieben haben. Falls ich solche finden sollte, überschreibe ich sie einfach mit den Originaldateien.

Ich glaube eher, es hatte etwas mit dem Code zu tun, den ich ausprobiert habe. Ich will es aber nicht noch mal versuchen weil ich echt die Nase voll davon habe wie Kaspersky darauf reagiert.

Erkennt jemand in diesem Code eine möglichen Hinweis darauf, warum Kaspersky den für ein Virus hielt?

Delphi-Quellcode:

procedure TForm1.FormCreate(Sender: TObject);
var
  formregion, beakregion: HRGN;
  beak: Array [0..2] of TPoint;
begin
  formregion := CreateRoundRectRgn(
                  0, 0, clientwidth, clientheight-48,
                  40, 40 );
  beak[0] := Point( 50, clientheight-50 );
  beak[1] := Point( 55, clientheight );
  beak[2] := Point( 80, clientheight-50 );
  beakregion := CreatePolygonRgn( beak, 3, WINDING );
  CombineRgn( formregion, formregion, beakregion, RGN_OR );
  DeleteObject( beakregion );
  SetWindowRgn( handle, formregion, true );
end;

procedure TForm1.FormPaint(Sender: TObject);
var
  temprgn: HRGN;
begin
  With Canvas.Brush Do Begin
    Color := clBlack;
    Style := bsSolid;
  End;
  temprgn := CreateRectRgn(0,0,1,1);
  GetWindowRgn( Handle, temprgn );
  FrameRgn( Canvas.Handle, temprgn,
            Canvas.Brush.handle, 1, 1 );
  DeleteObject( temprgn );         
end;

[DeddyH]

Da werden lediglich ein paar Regions erstellt, kombiniert und letztendlich einem Formular zugewiesen. Ich kann daran beim besten Willen nichts potentiell Gefährliches entdecken.

[jaenicke]

Zitat von Erutan:

Das stelle ich erst einmal ganz hinten an, denn wenn das einmal passiert ist und ich nicht weiß wo genau die Ursache liegt, dann passiert das bei einer Neuinstalation wieder. Und es ist echt Pain in the Ass Delphi 7 unter Windows 8 zum Laufen zu bringen.

Wie hast du es denn installiert? Ich hoffe nicht außerhalb von des Programme-Verzeichnisses und auch nicht mit Änderung von Rechten in dem Verzeichnis?

Meine Anleitung funktioniert auch unter Windows 8:
http://www.entwickler-ecke.de/topic_...ren_89408.html