Virus infects Delphi

[Der.Kaktus]

Zitat:

Zitat von himitsu

Zitat:

DCU Dateien das Dateidatum zu verändern (SetFileTime), denn der Compiler legt das auch noch in der Datei ab

auch in den DCU?
ich dachte das macht nur der Linker in den fertigen Binaraies? (EXE, DLL, OCX und Co.)

DCU auch ne Art OBJ=Binarie? mal so annehm *fg* ;-)

[Dust Signs]

Das scheint ganz schön weite Kreise zu ziehen... http://winfuture.de/news,49119.html

Dust Signs

[jbg]

Kostenlose Werbung für Delphi :-)

Virus für Delphi => muss sich doch irgendwie rentieren den zu schreiben => es gibt viele Delphi Entwickler :mrgreen:

[himitsu]

Zitat:

Zitat von Dust Signs

Das scheint ganz schön weite Kreise zu ziehen... http://winfuture.de/news,49119.html

vorallem wird Avira als erstes genannt, wo sie doch mit ganz schöner Verzögerung reagierten :shock:

und inzwischen ist auch eine Antwort auf meine Mail gekommen und AntiVir erkennt ihn tatsächlich

Zitat:

Die Datei 'PowerStatus.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen W32/Induc.A gegeben. Bei der Bezeichnung "W32/" handelt es sich um einen Dateivirus oder eine Malware, die nur in 32-Bit-Windows-Umgebungen (ab Windows 95) lauffähig sind.Ein Erkennungsmuster ist mit Version 7.01.05.130 der Virendefinitionsdatei (VDF) hinzugefügt.

...

Zusätzlich finden Sie eine Übersicht aller Einsendungen hier:
http://analysis.avira.com/samples/de...3xcNPfkBvScvt9

[jbg]

Da hat wohl jemand seine Delphi Version schon lange nicht mehr aktualisiert. Der Virus befällt Delphi 4-7 und die zeigen ein Delphi 3 Splashscreen. Computerbild eben.

[DeddyH]

Tja, "Experten decken auf" :mrgreen:

[himitsu]

die Bild halt
Blos das
a) nirgendwo erwähnt wird, daß auf ähnliche Art und Weise auch andere Programmiersprachen befallen werden könnten
(also doch wohl irgendwie ein Triumpf, daß Delphi dafür zuerst ausgewählt wurde)
b) mit ordentlich gesetzten Zugriffsrechten sowas nicht so einfach passieren könnte.

[mkinzler]

zu b) Vielleicht werden deshalb auch die älteren Versionen angegriffen

[alzaimar]

Mit ordendllich gesetzten Zugriffsrechten hätte man eh nicht allzuviel Probleme mit Viren.

[mkinzler]

Ältere Delphiversionen benötigen aber mehr Zugriffsrechte auf das Programmverzeichnis, weil sie dort hineinschreiben, deshalb werden dort oft Schreibrechte vergeben, um die IDE nicht als Admin starten zu müssen.

[alzaimar]

Jupp, genau. Damit wird aber Punkt b) von himitsus Liste obsolet.

[mkinzler]

Man könnte wiederum Teile der Verzeichnis(unter)struktur mit einem Schreibschutz versehen.
Der beste Weg währe natürlich der Umstieg auf eine neuere Delphiversion( mit der "neuen" IDE)

[turboPASCAL]

Im Moment kann man sein Delphi einfach Schützen, da der Virus nach dem Sourcecodeverzeichnis

Delphi-Quellcode:

 re(r+'\source\rtl\sys\SysConst'+'.pas'

sucht. Man baucht dieses Verz. einfach nur umbenennen zB in "DelphiSources" und schon kommt das
infizierte Programm mit einer Runtimeerror 3 Meldung.
Auffällig ist auch ein etwas länger dauernter Start des infiz. Programmes, da es erst
einmal ein paar zeilen "writeln" möchte und dann auch noch ein wenig compilieirt wird.
Ein Schreibschutz auf das Verzeichnis oder der Datei hilft leider nicht. (habs versucht)

Dummer weise ist der Sourcecode im Netz unterwegs und ich bin mir sicher das es nur eine Frage der Zeit ist bis sich irgend ein
gelangweilter Döskop was neues einfallen lässt.

Zitat:

Der beste Weg währe natürlich der Umstieg auf eine neuere Delphiversion( mit der "neuen" IDE)

Naja, TurboDelphi zB. ist auch nicht sicher(er). (getestet mit mod.. selbiges Problem)

[Dust Signs]

Zitat:

Zitat von [url

http://www.computerbild.de/artikel/cb-News-Sicherheit-Delphi-Virus-befaellt-Programmierumgebung-4622502.html[/url]]Der Virus befällt demnach nur Systeme, auf denen die Programmiersprache Delphi installiert ist

Ich wusste gar nicht, dass man Programmiersprachen installieren kann :mrgreen:

Dust Signs

PS.: Ich muss inzwischen richtig alt geworden sein, da ich normalerweise noch eine ganze IDE installiere :D

[mkinzler]

Selbst alte Hasen, können von den Fachleuten der Computer-Bild noch etwas lernen :stupid:

[alzaimar]

Zitat:

Zitat von mkinzler

Man könnte wiederum Teile der Verzeichnis(unter)struktur mit einem Schreibschutz versehen.

Die könnte ich doch mit meinem Minicode auch aushebeln. :gruebel:

[turboPASCAL]

Sagte ich schon.
Also, ich will nicht näher darauf eingehen aber Torbodelphi etc. stellen kein Problem dar.
Auch evt. Verzeichnisse oder Schreibschutzsachen. Wenn man vom System Rechte darauf hat.

Das Ding richtig gebaut, ist sau gefährlich.

[mkinzler]

TD sollte aber auch ohne Admin-Rechte funktionieren?

[turboPASCAL]

Sicherlich.

Aber viele sind auch als Admin unterwegs und wenn nicht kann man ja fragen. ;)

[mkinzler]

Denen ist dann auch nicht mehr zu helfen. Das selbige gilt für UAC-Verweigerer

[MagicAndre1981]

[OT]
gegen mangelnde Bildung und der daraus resultierenden Unwissenheit zu UAC kannst du eh nix machen. Wer nichts lernen will, der lernt auch nichts.
[/OT]

[sirius]

Zitat:

Zitat von turboPASCAL

Hier auch mal Schnippeln bitte: http://www.delphipraxis.net/internal...069304#1069304

Und wie löscht man das aus dem Google Cache?

Besser wäre auch den Code am Anfang komplett herauszunehmen. Denn mit Teilen dessen und Mr.Google findet man alles.

[himitsu]

Zitat:

Zitat von alzaimar

Jupp, genau. Damit wird aber Punkt b) von himitsus Liste obsolet.

in diesem Fall nicht, denn auf besagtes Lib-Verzeichnis benötigt Delphi nur Leserechte (es sei denn man installiert dort z.B. Fremdkomponenten hinein und dann auch nur wärend des Istallierens)

Aber um es sich einfacher zu machen, geben Viele (z.B. in Vista, Seven und in XP als NichtAdmin) einfach alles frei.

[Mavarik]

Zitat:

Zitat von mkinzler

Denen ist dann auch nicht mehr zu helfen. Das selbige gilt für UAC-Verweigerer

Wenn Du Delphi aber installiert hast unter C:\Delphi hilt dir die UAC auch nicht...

Frank :stupid:

[turboPASCAL]

Zitat:

Zitat von sirius

Zitat:

Zitat von turboPASCAL

Hier auch mal Schnippeln bitte: http://www.delphipraxis.net/internal...069304#1069304

Und wie löscht man das aus dem Google Cache?

Tja leider nicht so einfach, frag mal die Google Daten sammler.
Leider ist der komplette Quelltext gut im Internet verteilt.
Aber das man ihn nicht unbedingt sofort im Forum ensehen kann ist schon mal gut.

Zitat:

Zitat von himitsu

Zitat:

Zitat von alzaimar

Jupp, genau. Damit wird aber Punkt b) von himitsus Liste obsolet.

in diesem Fall nicht, denn auf besagtes Lib-Verzeichnis benötigt Delphi nur Leserechte (es sei denn man installiert dort z.B. Fremdkomponenten hinein und dann auch nur wärend des Istallierens)

Aber um es sich einfacher zu machen, geben Viele (z.B. in Vista, Seven und in XP als NichtAdmin) einfach alles frei.

Ja, leider.

Aber mit einem entspr. Manifest stellt das auch kein Problem dar wenn zB. ein Installprogramm danach fragt...
Schohn wäre es passiert der Virus hat freie Bahn.

[Mavarik]

Hi!

Vielleicht sollte man noch mehr des Virus Codes aus dem Thread löschen...

Kann sonst zu einfach als Suchstring in Google eingegeben werden...

Grüsse Frank

[Daniel]

Wie wäre es mit einem IDE-Experten, der die Hashes der Dateien ausgewählter Verzeichnisse verschlüsselt speichert und beim Start von Delphi prüft, ob Ist und Soll noch zusammenpassen. Durch Delphi-Speedup haben wir jetzt so viel Zeit gespart, dass man sie hier wieder verbraten könnte. :mrgreen:

[franktron]

Avira hat nach gebessert und alle meine EXEen sind jetzt Viren (nur die von D7) hab aber schon die Hotline geärgert und die kümmern sich drum :D

[Mithrandir]

Immerhin erkennen bei virustotal 16 von 41 Scannern den Virus. AVG ist da immer noch nicht mit bei.. :wall: Vielleicht sollte ich doch zu was kostenpflichtigen wechseln... :roll:

[sirius]

Zitat:

Zitat von Daniel

Wie wäre es mit einem IDE-Experten, der die Hashes der Dateien ausgewählter Verzeichnisse verschlüsselt speichert und beim Start von Delphi prüft, ob Ist und Soll noch zusammenpassen. Durch Delphi-Speedup haben wir jetzt so viel Zeit gespart, dass man sie hier wieder verbraten könnte. :mrgreen:

Jep, beim Start des Compilierens werden zuerst nochmal alle DelphiDateien auf Übereinstimmung mit den Sorucen auf dem CodeGear-Server verifiziert.

Zitat:

Zitat von DanielG.

AVG ist da immer noch nicht mit bei..

In Tschechien programmiert man nicht mit Delphi.

[mkinzler]

Dann wäre es einfacher, diese einfach jedes Mal vom Server zu laden.
Es könnte aber auch sein, dass einer explizit Änderungen an den Dateien gemacht hat und diese dann verloren wären.

[sirius]

Zitat:

Zitat von mkinzler

Es könnte aber auch sein, dass einer explizit Änderungen an den Dateien gemacht hat und diese dann verloren wären.

In Delphi-Sourcen zu ändern ist ab jetzt genauso verpöhnt wie als Computeradmin im Internet surfen.

[Mithrandir]

Zitat:

Zitat von sirius

In Delphi-Sourcen zu ändern ist ab jetzt genauso verpöhnt wie als Computeradmin im Internet surfen.

Wars das nicht schon immer? :gruebel:

[Mavarik]

Zitat:

Zitat von Daniel G

Immerhin erkennen bei virustotal 16 von 41 Scannern den Virus. AVG ist da immer noch nicht mit bei.. :wall: Vielleicht sollte ich doch zu was kostenpflichtigen wechseln... :roll:

Norton erkennt den Virus immer noch nicht...

Frank

[franktron]

Zitat:

Zitat von Mavarik

Zitat:

Zitat von Daniel G

Immerhin erkennen bei virustotal 16 von 41 Scannern den Virus. AVG ist da immer noch nicht mit bei.. :wall: Vielleicht sollte ich doch zu was kostenpflichtigen wechseln... :roll:

Norton erkennt den Virus immer noch nicht...

Frank

Als währe das ungewöhnlich :D

Avira hat gesagt das sie mit VDF-Update 7.01.05.135 behoben sein.

[himitsu]

Zitat:

Zitat von franktron

Avira hat gesagt das sie mit VDF-Update 7.01.05.135 behoben sein.

.130 > http://www.delphipraxis.net/internal...070214#1070214

[Mithrandir]

Bei Frank wurden aber alle D7 Echsen als potenziell gefährliche Virenschleudern eingestuft. Darum gings. ;)

[franktron]

Also langsam drehen wohl alle billigen Wirenscanner Hersteller durch

Scan Test

[Sherlock]

Wie meinst Du das?

Ich habe eben auch mal da eine frisch kompilierte D7-Echse prüfen lassen. Die ist sauber.
http://virusscan.jotti.org/de/scanre...5271e52d33d0e1

Ich tippe also darauf, daß die Deinige es nicht ist.

Sherlock

[Die Muhkuh]

Zitat:

Zitat von franktron

Also langsam drehen wohl alle billigen Wirenscanner Hersteller durch

Scan Test

hihi, der VBA 32 "Malware.Delf.61 (paranoid heuristics)" Wenn jetzt schon die Virenscanner paranoid werden :cyclops: