Virus infects Delphi

[Andy BitOff]

A new virus infects Delphi installations.
Infected program searches for installed versions of Delphi and modifies SysConst.dcu in each of them; old version is saved as SysConst.bak.
After infection all Delphi projects compiled on this computer start infecting Delphi at every computer they are launched on. The virus does not cause any harm except “Runtime error 3” exception which appears when infected program is launched if registry key HKEY_LOCAL_MACHINE\SOFTWARE\Borland\Delphi\x.0 (x =4–7) contains wrong RootDir value.

Check your Delphi versions and if you find SysConst.bak then do the following:
1. Remove SysConst.dcu
2. Copy SysConst.bak to SysConst.dcu. The remaining SysConst.bak keeps system from repeated infections.

The virus does nothing, only distributed. Here is the code

Delphi-Quellcode:

uses windows;

var sc:array[1..24] of string=('uses windows; var sc:array[1..24] of string=(',
'function x(s:string):string;var i:integer;begin for i:=1 to length(s) do if s[i]',

*SNIP*  // we do not want the full code here

'1; while c[i]<>#0 do begin r:=r+c[i];inc(i);end;re(r+$\source\rtl\sys\SysConst$+',
'$.pas$,r+$\lib\sysconst.$,$"$+r+$\bin\dcc32.exe" $);end;RegCloseKey(k);end; end;',
'begin st; end.');

.

[edit=Admin]reduced the code ... we do not need a fully working example here. Mfg, Daniel[/edit]

[Mithrandir]

Thanks for dropping a post on this issue. :thumb:

But, is this Virus already "in the wild"? Anything known about the origin? Didn't find any non-russian info on this topic...

[Andy BitOff]

Zitat:

Zitat von Daniel G

Thanks for dropping a post on this issue. :thumb:

But, is this Virus already "in the wild"? Anything known about the origin? Didn't find any non-russian info on this topic...

Unfortunately not. Information about it came only two days ago due to examine the error Runtime error 3 has appeared in one user even in the month of May.
It is also known that they are infected with QIP 8094 and AIMP 2 Beta Build 470
More there is no information.


.

[Andy BitOff]

To quickly determine which files are infected with the virus, you can simply start the search all files on all drives containing, for example, the line "CreateFile(pchar(d+$bak$),0,0,0,3,0,0)" (without the quotes, of course).


Fixed.
String for search should be no spaces.



.

[jaenicke]

Well, as this virus only infects rather old versions of Delphi it is not really a big problem. ;-)

And if the system is configured well, it has no chance to modify the Delphi installation. If one gives write access to the program files dir or works as admin (and under Vista without UAC), then one has to blame himself for making this decision.

[Andy BitOff]

Zitat:

Zitat von jaenicke

Well, as this virus only infects rather old versions of Delphi it is not really a big problem. ;-)

And if the system is configured well, it has no chance to modify the Delphi installation. If one gives write access to the program files dir or works as admin (and under Vista without UAC), then one has to blame himself for making this decision.

Surely.
However, not all do so. He does not do anything serious. Just information.


.

[Sherlock]

It seems to be in the wild. Googling for the recommended searchstring results in a few pages. [google]CreateFile(pchar(d+$bak$),0,0,0,3,0,0)[/google]
Right here: http://forum.cheatengine.org/viewtop...8c403c0a65cbc5 it was discovered on April 21st.

Sherlock

[Sherlock]

And here is a comment by Kaspersky about it:
http://www.viruslist.com/en/weblog?weblogid=208187826

Sherlock

[himitsu]

also nett ist ja, daß diese "Virus"-Version ein Backup anlegt und er sich so leicht entfernen läßt

in die C:\Programme\Borland\Delphi7\Source\Rtl\Sys\SysConst.pas braucht man nicht reinschauen, da er ja eine kopie anlegt, diese ändert, kompiliert und wieder löscht

also einfach schauen, ob eine C:\Programme\Borland\Delphi7\Lib\SysConst.bak vorhanden ist.

die danebenliegende SysConst.dcu löschen und das .bak in .dcu umbennen

[Mithrandir]

Ich fürchte nur, es wird nicht lange dauern, bis Versionen auftauchen, die eben auf diese *.bak verzichten...

[himitsu]

joar, aber zum Glück macht dieser Code aktuell noch nichts Schlimmes, außer sich selbst zu vervielfältigen (falls ich da nichts übersehn hab), aber das kann sich ja auch schnell ändern. :?

[add]
es sind jetzt übrigens schon 2 Scanner mehr (also inzwischen 6 von 41, welche laut virustotal.com, diesen melden)

[DeddyH]

Ich hab irgendwo gelesen, dass man die *.bak nicht löschen sollte, sonst geht das von vorne los. Heißt also, man sollte eine Kopie der *.bak anlegen und diese dann umbenennen, damit Ruhe ist.

[Assertor]

Hi,

Zitat:

Zitat von himitsu

joar, aber zum Glück macht dieser Code aktuell noch nichts Schlimmes, außer sich selbst zu vervielfältigen (falls ich da nichts übersehn hab), aber das kann sich ja auch schnell ändern. :?

Und genau deswegen muß ich seit Threaderstellung darüber schmunzeln, daß hier der vollständige Quellcode dieses "powerful Virus" zu lesen ist - damit auch jedes Skriptkiddy sich daran versuchen kann ;)

Moderatoren? Beispiel an Viruslist nehmen - und nur einen Auszug anzeigen.

Gruß Assertor

[Daniel]

Zitat:

Zitat von Assertor

Moderatoren? Beispiel an Viruslist nehmen - und nur einen Auszug anzeigen.

Überredet. ;-) Als ich mir den Code vor Tagen den Code angesehen habe, hatte ich nicht damit gerechnet, dass das Ding in der Wildnis überleben könnte. Offenbar eine Fehleinschätzung meinerseits. Die zweite in meinem Leben, die erste gab es in dem Moment, als ich mich damals für den Domain-Namen "dp2006.de" entschieden hatte. :mrgreen:

[Mithrandir]

Zitat:

Zitat von Daniel

Die zweite in meinem Leben, die erste gab es in dem Moment, als ich mich damals für den Domain-Namen "dp2006.de" entschieden hatte. :mrgreen:

[OT]
:lol: :lol: :lol: :lol:
[/OT]

[Assertor]

Hi Daniel,

Zitat:

Zitat von Daniel

Überredet. ;-) Als ich mir den Code vor Tagen den Code angesehen habe, hatte ich nicht damit gerechnet, dass das Ding in der Wildnis überleben könnte. Offenbar eine Fehleinschätzung meinerseits. Die zweite in meinem Leben, die erste gab es in dem Moment, als ich mich damals für den Domain-Namen "dp2006.de" entschieden hatte. :mrgreen:

:mrgreen:

Gut, würd ich es für einen echten Virus halten, hätt ich schon damals was gesagt ;)

Gruß Assertor

[mkinzler]

Zitat:

Gut, würd ich es für meinen echten Virus halten, hätt ich schon damals was gesagt Wink

Besitzt du auch einen unechten Virus? :mrgreen:

[Assertor]

Zitat:

Zitat von mkinzler

Zitat:

Gut, würd ich es für meinen echten Virus halten, hätt ich schon damals was gesagt Wink

Besitzt du auch einen unechten Virus? :mrgreen:

Grr ;) Da verschreibt man sich und korrigiert es innerhalb von 3 Sekunden - und trotzdem kommt der Markus und ist schneller :mrgreen:

Gruß Assertor

[Mithrandir]

Hat hier eigentlich schonmal einer erwähnt, dass, um sich gegen die aktuelle Version zu impfen, das Erstellen einer Datei namens SysConst.bak im Lib-Ordner reichen müsste? Immerhin wird ja vorher geprüft, ob die *.bak-Datei schon existiert...

Ein spez. Build von QIP und AIMP ist ebenfalls infiziert, genauso wie einige Miranda-Plugins. Das Viech nervt irgendwie...

[turboPASCAL]

Hier auch mal Schnippeln bitte: http://www.delphipraxis.net/internal...069304#1069304

[himitsu]

@Turbo:
durchsuch doch einfach mal deine Festplatte nach diesem String "uses windows; var sc:array[1..24] of string"

notfalls die Anwendung aus'm Anhang nehmen, ins Hauptverzeichnis des Laufwerks, ausführen, den String da reinkopieren und laufen lassen (am Ende befindet sich 'ne .TXT im selben Verzeichnis, mit dem Ergebnis)

[add]
schön ist auch ... eine kleine Änderung an den Registrypfaden und es funktioniert mit allen neueren Delphiversionen (solange das ausführende Programm Schreibrechte auf diese Verzeichnisse hat)

[Sharky]

Jetzt auch bei Heise zu lesen.

[himitsu]

wir waren schneller als Heise :lol:
wer von denen spioniert denn da bei uns? :shock:

[Mithrandir]

Zitat:

Zitat von himitsu

wir waren schneller als Heise :lol:
wer von denen spioniert denn da bei uns? :shock:

Vermutlich die gesamte Redaktion, so wie immer. Und die Trolle haben sich den Kommentarbereich auch schon wieder gekrallt. Vielleicht wären sie leiser, wenn sie wüssten, welche Anwendungen alle mit Delphi geschrieben werden. Vielleicht aber auch nicht. Heise halt.

[turboPASCAL]

Ich glaube die wolle mir nich glaube, die von die Avira-Virenschutz...

Ich meine mal zu denken das die bei der Analyse einfach mit irgend welchen Maschienen "drüber juckeln".

[Sherlock]

Zitat:

Zitat von Daniel G

Und die Trolle haben sich den Kommentarbereich auch schon wieder gekrallt. Vielleicht wären sie leiser, wenn sie wüssten, welche Anwendungen alle mit Delphi geschrieben werden. Vielleicht aber auch nicht. Heise halt.

HAst du wohl hiermit getan, oder? :D

Zitat:

MediaMonkey, The Bat!, Skype... (Editiert vom Verfasser am 18.08.09 um 16:19)
Danny0815 (1 Beitrag seit 17.12.08 )

...Total Commander, Ad-Aware, InnoSetup..

Alles Anwendungen, die mit Delphi entwickelt wurden. Kann mir also
nicht erklären, warum hier einige der Meinung sind, Delphi sei
weitesgehend unwichtig und tot.

Zumal ich im Datenbankensektor nichts vergleichbares kenne...

Sherlock

[Mithrandir]

Verdammt, Tarnidentität aufgeflogen. :mrgreen:

[himitsu]

Zitat:

Zitat von turboPASCAL

Ich glaube die wolle mir nich glaube, die von die Avira-Virenschutz...

Ich meine mal zu denken das die bei der Analyse einfach mit irgend welchen Maschienen "drüber juckeln".

bei diesem komischen Upload könnte ein keines Editfeld, für eine kurze Beschreibung nicht schaden, damit die auch wissen, wonach die suchen müßten, denn ohne installiertes Delphi (bis D7) passiert ja nix.
Und aktuell passiert auch NOCH nichts Schlimmes ... vielleicht isses denen ja noch nicht gefährlich genug?

Hatte denen schon per Mail Bescheid gegeben und hab noch keine Antwort.

[mkinzler]

Ich bin mir auch sicher, dass bald eine Variante mit echter Schadfunktion kommt. Es wird sicherlich auch eine Anpassung für neuere IDEs geben.

[Die Muhkuh]

Hat denn noch keiner ein Removal-Tool geschrieben um die Änderung mit einem Klick rückgängig zu machen? :stupid:

[mkinzler]

Zitat:

Zitat von Die Muhkuh

Hat denn noch keiner ein Removal-Tool geschrieben um die Änderung mit einem Klick rückgängig zu machen? :stupid:

Nein, diese Ehre wollten wir Dir zukommen lassen :zwinker:

[Die Muhkuh]

Mein Delphi ist aber nicht :vernupft: :stupid:

Hätte ja sein können, dass schon was in Arbeit ist ;-)

[edit] Glatt den Text vergessen... [/edit]

[himitsu]

Tschuldschung, ich konnt nicht anders :oops:

[turboPASCAL]

Witzbold. ;)

Und ja, das Tool arbeitet sehr gut. :stupid:

[Der.Kaktus]

[/OT]
haste Firewall im Haus..gehn Dir glatt die Virenprogis aus :-D
[OT/]

Aber nun mal Spass bei Seite...Guter Firewall erspart schon so einen "Mist"..ich hatte noch nix..und (siehe Alter)..immer gut gefahren mit nem ordentlichen Schutz ;-)..obwohl nen Delphi-Programm auch in einem Antivir-Programm anschlagen kann..hatte ich..bei Benutzung eines Hooks(alle Quellen vorhanden)..aber Signaturen sind eben ein(zwei)deutig.

[jbg]

Eigentlich sollte es doch recht leicht sein den Erstinfizierten ausfindig zu machen. Es bringt nämlich nichts bei DCU Dateien das Dateidatum zu verändern (SetFileTime), denn der Compiler legt das auch noch in der Datei ab. Somit könnte man also denjenigen auffinden, der als erster befallen wurde (außer er arbeitet mit veränderter Systemzeit).
Nur mal so am Rande erwähnt.

[Der.Kaktus]

Zitat:

Zitat von jbg

Eigentlich sollte es doch recht leicht sein den Erstinfizierten ausfindig zu machen. Es bringt nämlich nichts bei DCU Dateien das Dateidatum zu verändern (SetFileTime), denn der Compiler legt das auch noch in der Datei ab. Somit könnte man also denjenigen auffinden, der als erster befallen wurde (außer er arbeitet mit veränderter Systemzeit).
Nur mal so am Rande erwähnt.

Hallo Andreas..Deine Idee iss OK..aber meinste die "Erstempfaenger" sind in "unserer" DP? ;-)

[jbg]

[quote="Der.Kaktus"]

Zitat:

Zitat von jbg

Eigentlich sollte es doch recht leicht sein den Erstinfizierten ausfindig zu machen. Es bringt nämlich nichts bei DCU Dateien das Dateidatum zu verändern (SetFileTime), denn der Compiler legt das auch noch in der Datei ab. Somit könnte man also denjenigen auffinden, der als erster befallen wurde (außer er arbeitet mit veränderter Systemzeit).
Nur mal so am Rande erwähnt.

Zitat:

aber meinste die "Erstempfaenger" sind in "unserer" DP? ;-)

Das sicher nicht. Ich zielte damit mehr in Richtung der infizierten "Top 100 Download" Programme. Derjenige der die älteste DCU hat ist entweder der Übeltäter oder ziemlich weit vorne in der Infiziertenliste.

[Der.Kaktus]

OK Andreas..hast eh Recht..geb auf ;-) :thumb:

[himitsu]

Zitat:

DCU Dateien das Dateidatum zu verändern (SetFileTime), denn der Compiler legt das auch noch in der Datei ab

auch in den DCU?
ich dachte das macht nur der Linker in den fertigen Binaraies? (EXE, DLL, OCX und Co.)