Softwareidee für Antivirenergänzung [Lösungsansätze gesucht]

[xbkbk]

Ich entnehme den vorherigen Kommentaren, dass sich das ganze (für mich) wohl eher weniger zu programmieren lohnt, da es für den gewonnenen Nutzen zu aufwändig ist.
Da Delphi wohl die falsche Plattform ist lasse ich es gleich sein, da ich mit anderen Sprachen wie C, C++ usw. nichts am Hut habe.

Alternativ hätte ich eine Ersatzidee, die nicht ganz so erfahrenen Nutzern dennoch nützlich werden könnte (sofern sie wenigstens ein ganz kleines bisschen von Computern verstehen)
Da ich Antivirenprogrammen aus Gründen* nicht vertraue, möchte ich gerne etwas schreiben, das es einem ermöglicht, Viren zu bekämpfen, ohne auf herkömmliche AV Lösungen zurückgreifen zu müssen.
Meine Idee wäre also folgende:
Da der Großteil der Viren irgendeine .exe und/oder .dll irgendwo hin erstellt habe ich mir überlegt, dass man ein Notfallprogramm (für den durchschnittlichen, aber nicht ganz dummen Nutzer) schrieben kann, das eine Dateiliste von C:\ und Unterverzeichnissen anlegt und einem dann alle Dateien anzeigt, die innerhalb einer bestimmten Zeit installiert wurden (der Nutzer kann soll zunächst eingeben, seit wieviel Tagen er komisches Verhalten beobachtet und das Programm listet dann alle Dateien auf, die seitdem erstellt worden sind)
Dann soll der Nutzer die Möglichkeit haben, die betreffenden Daten zu entfernen.
Dass das ganze eine ziemlich dreckige Lösung ist weiß ich selbst, das braucht mir keiner sagen, aber es soll auch NUR eine Notfallösung darstellen, sodass spontan schnell weitergearbeitet werden kann, wobei man sich mittelfristig etwas detailierter um sein System kümmern sollte.
Das ganze kann sinnvoll sein, wenn die besagte Rechnung.exe irgendwo was hinkopiert hat, was da nicht hin soll. Dass dann in irgendwelchen Autostarteinträgen oder sonstigen Verweisen auf die nicht mehr existente Datei referiert wird ist mir bekannt, kann aber aufgrund der Notfallösung vernachlässigt werden.
Für hartnäckige Viren ist die Nutzung eines solchen Programmes von einer Live CD empfehlenswert, allerdings bin ich am überlegen, ob man auch den Loginscreen mit sowas ausstatten könnte (utilman.exe oder sethc.exe ersetzen)
Dass das Risiko besteht, dass Nutzer Daten löschen, die eigentlich noch gebraucht werden habe ich auch schon überlegt. Das könnte man so umgehen, dass das Programm vor dem Löschen eine Sicherheitskopie in C:\Backup_vor_Löschung_von_Sachen\ anlegt, mitsamt einer Textdatei, wo die gesicherten Daten herkommen, sodass man sie falls das OS nicht mehr arbeiten will, per Live CD zurückschieben kann.

Gebt bitte auch hierzu euren Senf ab, besonders, wenn ihr Verbesserungsvorschläge habt.



*Ich habe in Delphi mal just for Fun einen kleinen Virus geschrieben, um zu sehen, wie die AV Programme darauf reagieren. Das Ding war recht billig und nicht sehr auufwändig geschrieben (Arbeitszeit 2 bis 4 Stunden oder so und das auch nur weil ich recherchieren musste, wie man Tastatureingaben hookt) Die .exe hat sich erstmal irgendwo in %appdata%\bla.. kopiert und in der regedit in den Autostart gepflanzt. Während das Ding lief hat es alle Tastatureingaben (hab ich gehookt) geloggt und alle 20 Sekunden auf einen FTP Server hochgeladen. Zudem hat er alle 30 Sekunden einen Screenshot gemascht und den ebenfalls auf den FTP Server geladen.
Ich dachte, dass das 80% der Antivirenscanner komisch finden müssten, aber nichts da! habe die Project1.exe auf virustotal hochgeladen und die Seite sagte mir, dass 52 von 52 Antivirenprogrammen grünes Licht gegeben haben und es offenbar keines der Programme komisch fand, was da abgeht. (3 Programme haben gemeckert, als ich versucht hab, die selbe Datei unter dem Namen blabla.txt.exe oder so hochzuladen, allerdings auch NUR aufgrund des Namens und nicht, weil es eine gefährliche Aktion ausführen will..) Naja seit dem Tag sind AV Programme für mich gestorben, weil ich erkannte, dass wenn man ohne nennenswerte Kenntnisse über Viren einen Virus schreiben kann, der nicht erkannt wird, die AV Lösungen wohl wenig taugen.
-> Das ist auch der Grund, warum ich selbst so etwas schreiben will. Ob es dann ständig nervt oder nicht steht auf einem anderen Blatt, aber zumindest in Puncto Sicherheit soll das ganze punkten.

[FarAndBeyond]

Zitat:

Da Delphi wohl die falsche Plattform ist lasse ich es gleich sein, da ich mit anderen Sprachen wie C, C++ usw. nichts am Hut habe.

Moment mal... nicht so schnell... warum ist Delphi die falsche Platform???
Wegen der SYS-Files? Das kann man mit Delphi3 machen und auch mit höheren Delphi-Versionen mit Hilfe des DDDK. (Delphi Driver Development Kit)
Muß man ja auch nicht verwenden, ist sozusagen 'ne Hilfe...

AV-Software kann nicht funktionieren, aber das hinterfragt ja keiner... Jeder, der sich auch nur etwas auskennt weiß das schon seit Ewigkeiten!!!
Führende ITler im Sicherheitsbereich benutzen solch eine Software nicht! Warum wohl nicht?

[jaenicke]

Zitat von xbkbk:

Ich dachte, dass das 80% der Antivirenscanner komisch finden müssten, aber nichts da! habe die Project1.exe auf virustotal hochgeladen und die Seite sagte mir, dass 52 von 52 Antivirenprogrammen grünes Licht gegeben haben und es offenbar keines der Programme komisch fand, was da abgeht.

Weil dort vor allem nach Signaturen gescannt wird und nicht nach Heuristik. Was dein Programm macht, wird dort kaum bis gar nicht analysiert.
Wenn das Programm tatsächlich irgendwo läuft, könnte die Heuristik mancher Virenscanner darauf reagieren.

Diverse Erpressungstrojaner der letzten Zeit wurden z.B. durch die Heuristik einiger Hersteller auch erkannt bevor sie bekannt wurden und Signaturen davon existierten.

Zitat von mm1256:

Der Schutz müsste schon früher ansetzen, z.B. bei der Installation. Ein nicht zertifizierter Treiber oder eine nicht zertifizierte Software sollte gar nicht installierbar oder ausführbar sein. So was könnte man doch als sinnvolle Ergänzung zu einer AV-Software sehen?

Theoretisch ja... nennt sich TPM. Allerdings wurde auch diese Lösung zerrissen nach dem Motto "ich will die Kontrolle über den PC behalten, wenn ich einen Virus installiere, dann will ich das auch" usw.
Deshalb hat sich das nicht weit verbreitet.
(Wobei sich viele wohl eher Sorgen machen, dass ihre Raubkopien dann nicht mehr laufen...)

[xbkbk]

Ja. An dem Tag, an dem das Internet nicht mehr funktioniert, rennen die ganzen Facebook Suchtis mit ausgedruckten Bildern durch die Straßen und fragen wildfremde Menschen "Gefällt dir das?"



Da der Moderator bat, zum ursprünglichen Thema zurückzukehren, hier ein repost eines größtenteils unbeantworteten Kommentars:

Zitat von xbkbk:

[...]


Alternativ hätte ich eine Ersatzidee, die nicht ganz so erfahrenen Nutzern dennoch nützlich werden könnte (sofern sie wenigstens ein ganz kleines bisschen von Computern verstehen)
Da ich Antivirenprogrammen aus Gründen* nicht vertraue, möchte ich gerne etwas schreiben, das es einem ermöglicht, Viren zu bekämpfen, ohne auf herkömmliche AV Lösungen zurückgreifen zu müssen.
Meine Idee wäre also folgende:
Da der Großteil der Viren irgendeine .exe und/oder .dll irgendwo hin erstellt habe ich mir überlegt, dass man ein Notfallprogramm (für den durchschnittlichen, aber nicht ganz dummen Nutzer) schrieben kann, das eine Dateiliste von C:\ und Unterverzeichnissen anlegt und einem dann alle Dateien anzeigt, die innerhalb einer bestimmten Zeit installiert wurden (der Nutzer kann soll zunächst eingeben, seit wieviel Tagen er komisches Verhalten beobachtet und das Programm listet dann alle Dateien auf, die seitdem erstellt worden sind)
Dann soll der Nutzer die Möglichkeit haben, die betreffenden Daten zu entfernen.
Dass das ganze eine ziemlich dreckige Lösung ist weiß ich selbst, das braucht mir keiner sagen, aber es soll auch NUR eine Notfallösung darstellen, sodass spontan schnell weitergearbeitet werden kann, wobei man sich mittelfristig etwas detailierter um sein System kümmern sollte.
Das ganze kann sinnvoll sein, wenn die besagte Rechnung.exe irgendwo was hinkopiert hat, was da nicht hin soll. Dass dann in irgendwelchen Autostarteinträgen oder sonstigen Verweisen auf die nicht mehr existente Datei referiert wird ist mir bekannt, kann aber aufgrund der Notfallösung vernachlässigt werden.
Für hartnäckige Viren ist die Nutzung eines solchen Programmes von einer Live CD empfehlenswert, allerdings bin ich am überlegen, ob man auch den Loginscreen mit sowas ausstatten könnte (utilman.exe oder sethc.exe ersetzen)
Dass das Risiko besteht, dass Nutzer Daten löschen, die eigentlich noch gebraucht werden habe ich auch schon überlegt. Das könnte man so umgehen, dass das Programm vor dem Löschen eine Sicherheitskopie in C:\Backup_vor_Löschung_von_Sachen\ anlegt, mitsamt einer Textdatei, wo die gesicherten Daten herkommen, sodass man sie falls das OS nicht mehr arbeiten will, per Live CD zurückschieben kann.

Gebt bitte auch hierzu euren Senf ab, besonders, wenn ihr Verbesserungsvorschläge habt.


[...]