Avira meldet Trojaner bei Webseitenaufruf über shellexecute

[gelberkaktus]

Ich arbeite gerade an einem Programm, welches prüft, ob Updates für ein bestimmtes Pack (Texturenpack für Minecraft) vorliegen. (kleines Programm entsprungen aus einer Spontanidee)

Dieses zeigt bei einem gefundenen Update eine Button zur Webseite des Packs an.

Delphi-Quellcode:

procedure TForm1.DOWNLOADClick(Sender: TObject);
begin
 shellexecute(handle, 'open', PCHAR('http://www.minecraft.de/showthread.php?75282-64x-1.2.3-DefalutlookHD-Texturepack'), nil, nil, SW_SHOW);
end;

Das selbe habe ich auch mit google probiert.

Jedoch meldet Avira (Free Antivirus) jedes Mal einen Trojaner. Wenn ich die Codezeile nicht mit complieren lasse, dann meldet Avira auch keinen Trojaner.

Folgender Trojaner wurde gefunden: Dldr.Delphi.Gen
Beschreibung:
Auswirkungen:
• Lädt schädliche Dateien herunter

Virencheck von VirusTotal

Nun ist die Frage: Wie kann ich sonst die Webseite öffnen, ohne das Avira einen Trojaner meldet?

[DeddyH]

Schick das Kompilat an Avira. Sofern die keine Bedrohung finden (wovon ich mal ausgehe), sollte die Warnung nach dem nächsten oder übernächsten Definitions-Update verschwinden.

[Bernhard Geyer]

Zitat:

Zitat von gelberkaktus (Beitrag 1166456)

Jedoch meldet Avira (Free Antivirus) ...

Mal wieder Avira.:roll:

Ändere mal auf

Delphi-Quellcode:

shellexecute(0, nil, ...

und schau was passiert.

[gelberkaktus]

Zitat:

Zitat von Bernhard Geyer (Beitrag 1166460)

Mal wieder Avira.

Auch TrendMicro meldet einen Virus, ...

Zitat:

Zitat von Bernhard Geyer (Beitrag 1166460)

Ändere mal auf

Delphi-Quellcode:

shellexecute(0, nil, ...

und schau was passiert.

Es wird nach wie vor ein Virus entdeckt, ...
Check von Virustotal

Zitat:

Zitat von DeddyH (Beitrag 1166459)

Schick das Kompilat an Avira. Sofern die keine Bedrohung finden (wovon ich mal ausgehe), sollte die Warnung nach dem nächsten oder übernächsten Definitions-Update verschwinden.

Gute Idee :-D Habe es als Fehlalarm gemeldet,...

[Mavarik]

Avira macht IMMER Probleme...

Es werden auch Dateien festgehalten oder mit 0 Byte auf die Platte geschrieben...und und und...

Wenn einer meiner Kunden Avira auf dem Rechner hat ist die Aussage immer.. Deinstallieren dann funktioniert es wieder!

Mavarik

[jaenicke]

Full Ack...

Allerdings gibt es kostenlos auch nicht wirklich viel bessere. Irgendwas ist bei allen. Aber wenn man nix bezahlen möchte / kann, muss man damit halt leben...

Am besten schickt man einfach erst die Releaseversionen hin. Denn sonst wird die dann oft ohnehin wieder erkannt und nur eine Vorversion nicht mehr. Wirklich korrigiert wird da ja nix.

[Namenloser]

Die Heuristik von Avira ist bei Delphi etwas überempfindlich, aber insgesamt ist Avira nicht schlecht. Ich selbst nutze die kostenpflichtige Version (ich kann echt nicht verstehen wie man, nur um 30€ im Jahr zu sparen, sich diese Werbeeinblendungen und die schlechtere Erkennungsleistung antun kann...), weil diese bei der c’t regelmäßig mit am besten abschneidet. Nur das Benutzer-Interface ist ziemlich grauenhaft und stammt aus der Steinzeit...

[Popov]

Ich nutze Kaspersky und hatte hier und da auch meine Trojaner Meldungen nach kompilieren. Die letzte Meldung ist zwar schon paar Tage her, aber ich glaube ShellExecute war auch dabei.

@NamenLozer
Was deine Aussage angeht, stimmt, paar Euro kann man gelegentlich für Software ausgeben. Mache ich mit zunehmendem Alter immer öfter. Ich hab mir sogar Windows XP Prof gekauft. :gruebel: Da fällt mir ein, hat auch nur 30 Euro gekostet.

Übrigens, Kaspersky gibt es bei Computer Bild kostenlos. Ein Wermutstropfen, man muß alle drei Monate deren Seite besuchen und sich eine kostenlose Lizenz holen.

[himitsu]

Wir haben ja genug Geld für Delphi, da können die paar Cent für den Virenscanner garnicht auffallen.
(OK, oder wir sind deswegen so Arm, daß wie ansonsten sparen müssen, wo wir nur können)

Tja, ansonsten müssen wir mit diesen Fehlerkennungen halt leben.
Aber seit ich von Avira auf Microsoft umgesattelt hab, hatte ich wenigstens noch keine Fehlermeldung.


Leider wurde/wird ja zuviel Schadsoftware (vorwiegend Trojaner und Billigviren) mit Delphi erstellt, so daß auf Delphi zu großzügig reagiert wird, um auch Neues schnell zu entdecken.
Delphi scheint für die "virenschreibenden" Skriptkiddies ganz einfach bediehnbar zu sein.
(oder es liegt daran, daß Delphiprogramme nicht so weit verbreitet sind und sich deshalb keiner viel mühe macht dort genauer zu prüfen)

[Medium]

Vom MS AV bin ich ebenfalls recht positiv überrascht gewesen. Wir haben in der Firma kürzlich auch von Avira darauf umgesattelt - aus bekannten Gründen - und das MS Teil macht ja wirklich schlanken Fuß. Auch ein nice2have: Updates übers normale Windows Update, dass eh an ist. False Positives hatte ich damit auch noch keine, sind aber auch erst ~3 Wochen. Positive Positives jedoch auch noch keine, aber darauf lass ich's nicht mutwillig ankommen :stupid:

Davor hab ich Avira bestimmt 10 Jahre und länger auch privat (kostenfrei) eingesetzt, wobei mir hier jetzt doch das dumme Werbefenster zu blöd wurde, zumal es sich teilweise ganz klein so gerade eben noch fassbar unten rechts 2px über die (eingerollte) Taskleiste platzierte und zum Laden mein System für 1-2sec blockiert hat (was immer hin nen Core i7 950 ist - der DARF nicht blockieren! :mrgreen:)
Ach so, und dass 30% aller Scene Demos bemängelt wurden hat auch irre genervt! Zwar da noch eher nachvollziehbar, aber wenn man sich da mal alle 3 Monate einen Stoß der neuen Demos gesaugt hat, hat man nach Massenentpacken mit 7zip gleich mal 30min mit "ignorieren" einstellen - Datei für Datei - in Avira verbracht. Börgs. Seit man da für jeden vermeintlich gerochenen Pup einzeln erst nach voriger Systemprüfung ignorieren muss - und AV es nicht mehr schafft sich das für einzelne Dateien zu merken, diese also ständig neu findet - ist die Ära für mich auch um.

[himitsu]

Du hättest dir notfalls auch einen Ordner vor der Prüfung ausnehmen können.
Ich frag mich aber, wann die ersten Viren kommen, welche diese Einstellung auslesen und sich dann dort hin verziehen.

[Popov]

Ich habe mir in den letzten 10 Jahren ein einziges mal ein Virus "eingefangen", ausgerechnet ein Delphivirus. Der war aber harmlos, bis auf AV Meldung. Den habe ich mir ausgerechnet mit einer Komponente geholt bei Torry.

[Bernhard Geyer]

Zitat:

Zitat von himitsu (Beitrag 1166567)

Du hättest dir notfalls auch einen Ordner vor der Prüfung ausnehmen können.
Ich frag mich aber, wann die ersten Viren kommen, welche diese Einstellung auslesen und sich dann dort hin verziehen.

Und wie sollen Sie das machen ohne schon erstmal aktiv/geladen zu sein?

[himitsu]

Na vorher irgendwo was laden, was es ausliest?
Es gibt ja genügend Schlupflöcher, ala Javascript, welche nicht abgesichert sind oder immer überwacht werden.

Batchdateien werden bisher von fast allen Virenscannern nicht geprüft,
womit man dir damit ganz schnell ein format d bis z unterschieben könnte. (C wird von Windows 7 geschützt und kann im Betrieb nicht formatiert werden)
Und ja, es gibt ganz einfache Wege, wie man beim Format die Sicherheitsabfragen ohne den Benutzer abnicken kann.

[jaenicke]

Zitat:

Zitat von Bernhard Geyer (Beitrag 1166600)

Zitat:

Zitat von himitsu (Beitrag 1166567)

Du hättest dir notfalls auch einen Ordner vor der Prüfung ausnehmen können.
Ich frag mich aber, wann die ersten Viren kommen, welche diese Einstellung auslesen und sich dann dort hin verziehen.

Und wie sollen Sie das machen ohne schon erstmal aktiv/geladen zu sein?

Wenn ein Virus neu ist, wird es ja oft noch nicht erkannt. Schiebt es sich dann in das betreffende Verzeichnis, merkt der Benutzer dann nach dem Update der Virendefinitionen nichts mehr davon.

Zitat:

Zitat von Popov (Beitrag 1166592)

Ich habe mir in den letzten 10 Jahren ein einziges mal ein Virus "eingefangen", ausgerechnet ein Delphivirus. Der war aber harmlos, bis auf AV Meldung. Den habe ich mir ausgerechnet mit einer Komponente geholt bei Torry.

Tja, wer seinen PC ordentlich eingerichtet hat (keine Adminrechte...), bei dem konnte der Virus rein gar nix bewirken. ;-) Das ist nen typischer Fall von selbst schuld, es sei denn das betreffende Programm war vertrauenswürdig und brauchte für seine Arbeit wirklich Adminrechte. Ich wüsste aber keinen Fall, bei dem das bei dem Virus der Fall gewesen wäre.

[Popov]

Zitat:

Zitat von jaenicke (Beitrag 1166627)

Zitat:

Zitat von Popov (Beitrag 1166592)

Ich habe mir in den letzten 10 Jahren ein einziges mal ein Virus "eingefangen", ausgerechnet ein Delphivirus. Der war aber harmlos, bis auf AV Meldung. Den habe ich mir ausgerechnet mit einer Komponente geholt bei Torry.

Tja, wer seinen PC ordentlich eingerichtet hat (keine Adminrechte...), bei dem konnte der Virus rein gar nix bewirken. ;-) Das ist nen typischer Fall von selbst schuld, es sei denn das betreffende Programm war vertrauenswürdig und brauchte für seine Arbeit wirklich Adminrechte. Ich wüsste aber keinen Fall, bei dem das bei dem Virus der Fall gewesen wäre.

Wie schon gesagt habe, es war ein Delphivirus in einer Komponente, und die installiere ich bisher als Administrator. Wenn du mir zeigst wie man es ohne Adminrechte machen kann, dann bin ich bereit es in Zukunft so zu machen.

[Darlo]

Ich weiß nicht wie oft ich schon dieselbe DLL bei AVIRA prüfen lassen habe. Beim nächsten Update ist dann alles in Ordnung, nach spätestens 2 Wochen wird die DLL wieder als
gefährlich eingestuft... Das nervt einfach....

[jaenicke]

Zitat:

Zitat von Popov (Beitrag 1166635)

Wie schon gesagt habe, es war ein Delphivirus in einer Komponente, und die installiere ich bisher als Administrator. Wenn du mir zeigst wie man es ohne Adminrechte machen kann, dann bin ich bereit es in Zukunft so zu machen.

Was ist das denn für eine Komponente? Eine ohne mitgelieferten Quelltext und mit Setup? Bei denen geht es dann wirklich nicht ohne Adminrechte.

Ich installiere die meisten einfach über ein eigenes Package, in das ich die Units alle eingefügt habe. So sind das nur wenige große Packages, die ich installieren muss und dafür brauche ich logischerweise keine Adminrechte.

[Bernhard Geyer]

Nur gut das Avira endlich Windows wirklich sicher macht: Avira-Update legt Rechner lahm :-)

[gelberkaktus]

Ich nutze schon seit Jahren die kostenlose Version von Avira und war bisher zufrieden damit.

Heute lag Post von Avira in meinen Emailpostfach: Die Dateien (nur diese) wurden als ungefährlich eingestuft. Sowohl die Projektdatei mit shellexecute, als auch die wo ich das als Kommentar geschrieben habe (also ohne).

Avira selbst schreibt zu den Auswirkungen des gefundenen "Trojaners" und zu seinen 4 "Nachfolgern" (richtig: es existieren 5 solche gemeldeten Trojaner in der Datenbank:

Zitat:

Auswirkungen:
• Lädt schädliche Dateien herunter

Das einzige was ich daran komisch finde ist, dass ich schnellexecute vor 2 Monaten ebenfalls in ein Programm eingefügt habe, und es kam kein Schädlingsalarm. Und ich habe vor 3 Wochen noch Änderuungen an dem Programm vorgenommen.

Zum Glück bin ich nicht von der Systemlahmlegung betroffen, da ich Win 7 Home Premium 64bit nutze. :-)

[Namenloser]

Ach, diese Heuristiken... es ist ja nicht nur eine Funktion, die dazu führt, dass ein Programm als Schädling eingestuft wird. Ich hatte auch mal sowas... ShellExecute einzeln war okay, GetAsyncKeyState einzeln war auch okay, beides zusammen führte aber zu einem Alarm.

[Popov]

@jaenicke

Zuerst allgemein: wenn ich schreibe, dass ich noch nie einen Virus hatte, ich schätze das sagt schon wohl etwas über meine Kompetenz in der Hinsicht aussagt, oder?

Zitat:

Zitat von jaenicke (Beitrag 1166638)

Was ist das denn für eine Komponente? Eine ohne mitgelieferten Quelltext und mit Setup?

Dass man sich über eine Delphikomponente einen Delphi-Virus einfangen kann, der die Entwicklungsumgebung befällt und sich über jede Kompilierung verbreitet, aber auch nur die Entwicklungsumgebung befällt, wußte ich bis dahin nicht. Ich schätze die Info ist auch an dir vorbeigegangen, es war mal eine Zeitlang ein Thema.

Mal zu meiner Delphi-Lebens-Philosophie. Ich nutze de facto keine Fremdkomponenten, das hat seine Gründe. Schon gar nicht installiere ich eine Komponente zu der ich kein Sourcecode habe. Das bedeutet, dass ich irgendwo noch den Quellcode rumliegen habe. Aber gelegentlich teste ich schon mal eine Komponente. Das letzte was ich mal gesucht habe war eine Alternative zu der Delphi 1 Komponente TTabSet. Delphi liefert da keine neue Alternative. Die Komponente war nichts, aber keine Ahnung welche es war, auf jeden Fall von Torry. Es war entweder PAS oder DCU (keine Regel ohne Ausnahme).

Zitat:

Ich installiere die meisten einfach über ein eigenes Package, in das ich die Units alle eingefügt habe. So sind das nur wenige große Packages, die ich installieren muss und dafür brauche ich logischerweise keine Adminrechte.

Da müssen wir uns mal drüber unterhalten wie das geht, in der Hinsicht habe ich so gut wie keine Ahnung, es würde mich aber interessieren. Eine der Gründe wieso ich keine Komponenten nutze ist, dass ich auf tausend Computern arbeite. Wie gesagt, wir uns mal drüber unterhalten wie das geht. Interessiert mich.

[BUG]

Zitat:

Zitat von Popov (Beitrag 1166696)

wenn ich schreibe, dass ich noch nie einen Virus hatte, ich schätze das sagt schon wohl etwas über meine Kompetenz in der Hinsicht aussagt, oder?

Nichts:
Es könnte auch heißen, dass du es noch nie gemerkt hast, als du einen Virus/Bot/Trojaner auf dem Rechner hattest.
Wenn das das Kriterium ist, dann bin ich genau so kompetent wie du :wink:

[jaenicke]

Zitat:

Zitat von Popov (Beitrag 1166696)

Dass man sich über eine Delphikomponente einen Delphi-Virus einfangen kann, der die Entwicklungsumgebung befällt und sich über jede Kompilierung verbreitet, aber auch nur die Entwicklungsumgebung befällt, wußte ich bis dahin nicht. Ich schätze die Info ist auch an dir vorbeigegangen, es war mal eine Zeitlang ein Thema.

Den meinte ich ja. Ich hatte auch (mindestens) zwei Programme als Update heruntergeladen, die den drin hatten. Nur dass mein Delphi 7 nicht befallen wurde. Schlicht weil es dem Virus ohne Adminrechte eben nicht möglich war die entsprechende Modifikation an der Unit durchzuführen.

[Popov]

Ich sehe man muss hier und da genau drauf aufpassen wie man etwas formuliert, denn wer etwas missverstehen will, wird eine rhetorische Frage dementsprechend beantworten.

Also etwas genauer: ich glaube nicht nur keine Malware zu haben, ich habe keine Malware und in den letzten 10 Jahre hatte ich noch nie Malware (mal von dem Delphi-Dings abgesehen). Woher ich das weiß? Weil ich ausnahmsweise in dem Punkt einiges drauf habe. Nicht nur, dass ich Rechner zu schützen weiß, so dass sie keine Antivirensoftware benötigen (wenn sie drauf ist, dann weil der Kunde es sich nicht vorstellen kann, dass es auch ohne geht), ich kann sogar Rechner Malware frei machen, wo andere Experten meinen, dass da nur eine Neuinstallation hilft. Und wenn das einer nicht glauben kann und auf Nummer sicher gehen will, dann lege ich den Schädling solange still, so dass er ohne Wirkung ist, und der Kunde in Ruhe seine Daten sortieren und sichern kann, statt panisch zu reagieren. Denn entgegen der allgemeinen Meinung verursachen nicht die Viren die meisten Schäden, sondern die Kurzschlussreaktionen der Nutzer. Sie machen alles platt, statt es in Ruhe anzugehen.

Aber nur für den Fall, dass es dir nichts sagt, früher gelegentlich, inzwischen permanent, habe ich auch einen Scanner auf dem Rechner. Und sie haben noch nie angeschlagen (bis auf dem Delphi-Dings).

[Popov]

Zitat:

Zitat von jaenicke (Beitrag 1166707)

Schlicht weil es dem Virus ohne Adminrechte eben nicht möglich war die entsprechende Modifikation an der Unit durchzuführen.

Schön, mach mich glücklich, sag mir wie das geht, hab da keine Ahnung.

[Gustav.R]

Zitat:

Zitat von Popov (Beitrag 1166709)

Zitat:

Zitat von jaenicke (Beitrag 1166707)

Schlicht weil es dem Virus ohne Adminrechte eben nicht möglich war die entsprechende Modifikation an der Unit durchzuführen.

Schön, mach mich glücklich, sag mir wie das geht, hab da keine Ahnung.

Avira wird so buchstabiert:
a
v
a
s
t

GG

[himitsu]

Es gab mal einen Delphi-Virus, welcher die System.dcu veränderte, sich dort einschmuggelte und wenn man das Programm auf einem anderem Rechner laufen ließ, befiel er auch dort das Delphi, wenn es vorhanden war.

OK, es war eher ein Prototyp, bzw. ein Prof-of-Concept, welcher selber keinen schaden anrichtete, außer sich zu verbreiten.
Kein Schadcode war eingebaut, man kann es also als Warnung ansehn "Achtung, da ginge was".

Der befiel auch vorwiegend ältere Delphis, wie z.B. Delphi 7 und davon auch keine Personalversionen.
- es war die system.pas nötig und die Personal enthält keine VCL-Quellcodes
- das Programmeverzeichnis darf nicht geschützt sein

Bis XP arbeiteten fast alle als Admin, also konnte jedes Programm im Programme-Verzeichnis rumschreiben.
Und da Delphi 7 standardmäßig in seinem Programmverzeichnis rumschreibt (Programmeinstellungen und der Projekte-Ordner lagen im Programmeverzeichnis), installieren Viele es unter Vin7 nicht ins geschützte Programmeverzeichnis oder sie stellen den Schreibschutz ab.

[Popov]

Delphi 7 ist etwa zeitgleich mit XP auf den Markt gekommen. An für sich funktioniert es mit eingeschränkten Rechten, schreibt aber einiges noch in sein Programmverzeichnis, so dass es für einige Aufgaben Adminrechte (oder erweiterte Rechte) benötigt. Ich hab mal versucht den Ordner so zu modifizieren, dass die Anwendung einerseits immer noch geschützt ist, auf der anderen Seite einfaches Nachinstallieren möglich ist. Ist Fummelsarbeit. Zuletzt habe ich es so belassen, denn, da ich selten Komponenten installiere, kommt es auch selten vor, dass es benötigt wird.

Trotzdem, das Konzept von jaenicke wäre eine Möglichkeit, wenn es auch mit D7 geht.

[Bummi]

@Popov

zu Deinen Ausführungen unter #25 würde ich gerne die Meinung von Assarbad lesen ... für mich klingt das wie ein Credo zum Fahren ohne Sicherheitsgurt.

[jaenicke]

Zitat:

Zitat von Popov (Beitrag 1166721)

Delphi 7 ist etwa zeitgleich mit XP auf den Markt gekommen. An für sich funktioniert es mit eingeschränkten Rechten, schreibt aber einiges noch in sein Programmverzeichnis, so dass es für einige Aufgaben Adminrechte (oder erweiterte Rechte) benötigt. Ich hab mal versucht den Ordner so zu modifizieren, dass die Anwendung einerseits immer noch geschützt ist, auf der anderen Seite einfaches Nachinstallieren möglich ist.

Ich weiß nicht was du mit nachinstallieren meinst. Im Programmverzeichnis von Delphi haben keine Komponenten oder irgendwas etwas zu suchen.
Hier gibt es eine Anleitung von mir für die Installation von Delphi 7 unter Vista/7:
http://www.delphi-library.de/topic_D...ren_89408.html

Selbst hinzugefügte Komponenten wiederum gehören natürlich in ein anderes (beschreibbares) Verzeichnis. Dann braucht man dafür auch keine Adminrechte.
Dazu gehört natürlich, dass man nicht diese gräuliche dclusr.dpk zur Installation von Komponenten benutzt. Aber wer will das schon?

[Luckie]

Zitat:

Zitat von Popov (Beitrag 1166708)

ich kann sogar Rechner Malware frei machen, wo andere Experten meinen, dass da nur eine Neuinstallation hilft.

Interessante Aussage. Du weißt also von Malware genau wo sie sich einnisten und was sie verändern und kannst das alles Rückgängig machen? Hm, damit könntest du wahrscheinlich sehr viel Geld verdienen. Ein menschlicher Virenscanner und Wunderheiler in einem?

[jaenicke]

Den Satz hatte ich glatt überlesen...

Das heißt wenn ein Trojaner Code nachgeladen hatte, der irgendetwas am System verändert hat, und dieser Code dann wieder gelöscht wurde, kannst du das trotzdem nachvollziehen und rückgängig machen? (Das ist ja eine übliche Vorgehensweise von Viren / Trojanern um die eigenen Spuren zu verwischen.)

Deine Glaskugel möchte ich haben... :glaskugel:
Und da du da der einzige weltweit sein dürftest, kannst du deine Dienste ja den entsprechenden Stellen anbieten...

Aber im Ernst:
Wie willst du denn herausfinden was alles an einem kompromittierten Rechner für Hintertüren geöffnet wurden? :shock:

[Popov]

@Bummi, Luckie und jaenicke (bezogen auf Post #25)

Bitte die Sätze nicht anders deuten als sie gemeint sind oder dazu dichten was nicht drin steht. Sie sind so gemeint wie sie da stehen. Nicht mehr, aber auch nicht weniger.

Wenn ich sage, dass ich Rechner zu schützen weiß, dann, weil ich Kunden die früher permanent Probleme mit Viren hatten trotz Virenscanner, plötzlich keine Probleme haben. Und weil auch die Rechner von Computerneulingen seit der Installation noch nie einen Virusproblem hatten.

Zitat:

Zitat von Luckie (Beitrag 1166766)

Interessante Aussage. Du weißt also von Malware genau wo sie sich einnisten und was sie verändern und kannst das alles Rückgängig machen? Hm, damit könntest du wahrscheinlich sehr viel Geld verdienen. Ein menschlicher Virenscanner und Wunderheiler in einem?

Ich hab früher richtige Untersuchungen bezüglich Virenbefall gemacht, die mit jedem Virenlabor mithalten oder sogar besser waren. Ich hatte zig virtuelle Maschinen laufen und habe getestet mit welcher Konfiguration welche Gefahren drohen. Ich habe richtig Feldforschung betrieben. Ich hab jetzt kein Lust meine Unterlagen durchzusuchen, aber es gab da auch Rechner mit einigen hunderten bis tausenden Schädlingen. Der krassester Fall war eine Maschine die im Sekundentakt Schädlinge nach lud (oder kopierte?) und sich so selbst aus dem den Rennen brachte, weil nach einer Zeit die Festplatte voll war. Bei einer andere Maschine liefen gleichzeitig einige hundert Schädlinge parallel und verbrauchten 100% Rechenleistung dadurch.

Das zeigt wie dumm Schädlinge sein können. Der Schädling der sich im Sekundentakt nach lud dachte, dass er sich so schützen kann, weil keiner schneller löschen kann als er sich vervielfältigen kann. Man darf hier also nicht dem Konzept des Schädlings folgen und versuchen schneller zu löschen als er sich kopieren kann, sondern muss ihm die Grundlage entziehen. Man muß zuerst dafür sorgen, dass er sich nicht weiter vervielfältigt, erst dann kann man anfangen ihn zu löschen. D. h. immer das Konzept durchbrechen.

Gelegentlich habe ich mich dran gemacht solche extrem befallene Rechner Just4Fun wieder erfolgreich von Schädlingen zu befreien. Und wenn ich sage, dass man alles befreien kann, oder zumindest stilllegen kann, dann stimmt das schon. Man muß nur Erfahrung haben. Du muß wissen, dass Schädlinge im Grunde genommen dumm sind, es sind einfache Konstrukte die durchaus erfolgreich ein Konzept verfolgen, aber nicht genial sind. Die Leute glauben, dass sie genial sind weil sie es geschafft haben einen Rechner zu befallen. In Wahrheit sind es Grobmotoriker die durchaus mit einem dicken Hammer irgendwo draufhauen können und so viel Schaden anrichten, aber sonst nicht besonders helle sind. Ich behaupte nicht, dass man einen Schädling genial programmieren kann, aber wozu? Wozu Auffand betreiben? Ein Trojaner zielt auf eine spezielle Lücke, da ist es gut, vielleicht unternimmt er auch einiges zum Eigenschutz, aber nicht alles. Ein Trojaner nutzt Sicherheitslücken aus, hat in der Regel aber auch Sicherheitslücken.

Ich hab Systeme wieder frei bekommen, wenn man Interesse hatte. Manchmal ist es Fummelsarbeit, aber manchmal ist es einfacher als man denkt. Wenn ein Schädling sich nicht entfernen läßt, dann kann man dafür sorgen, dass er keinen Schaden anrichtet. Es gibt einige Konzepte wie man ein Schädlingsproblem angehen kann.

Wie dumm Schädlinge sein können, wobei ich nicht den Fehler begehen will sie zu unterschätzen, habe ich bemerkt als ich meinen Dialer-Killer noch unter Windows 9x entwickelt hatte. So größenwahnsinnig es sich anhört, mein Toll war besser als jedes kommerzielle Tool. Wieso ich es nicht kommerziell anbot, keine Ahnung, vielleicht fehlte mir da der Mut. Irgendwann kam DSL und das Problem hat sich erledigt. Denn während die professionellen Systeme tief im System alles überwachten, oder nach Signatur im Programmcode suchten, ist mir die Schwachstelle der Dialer aufgefallen - ihr Name. Sonderbar, man hat sich so viel Mühe gegeben sie gut zu programmieren, aber keiner ist auf die Idee gekommen dem Dialer einen guten Namen zu geben. So unglaublich es klingt, alle Dialer hatten Namen die sich aus einer handvoll Begriffen zusammen setzte oder kopierten sich in bestimmte Ordner. Überwachte man die Prozesse und suchte nach Muster oder überwachte bestimmte Ordner, war die Trefferquote 100%.

Und wer jetzt meint, dass das Programm nicht zuverlässig arbeiten konnte, weil es ja irgendwer auf die Idee hätte kommen können den Prozess zu verstecken, klar, wäre möglich gewesen, hat aber keiner gemacht. Zumindest bei mir oder meinen Freunden nicht. Woher ich das weiß? Über die Telefonrechnung. Das ist das was ich mit Schwachstellen meine, manchmal ist die Schwachstelle simpler als man denkt. Das mein Toll funktionierte weiß ich, weil ich jeden Abschuss mit dem Sound aus Spiel mir das Lied vom Tode quittierte ;) Bisschen Spaß muss sein.

Zitat:

Zitat von jaenicke (Beitrag 1166772)

Das heißt wenn ein Trojaner Code nachgeladen hatte, der irgendetwas am System verändert hat, und dieser Code dann wieder gelöscht wurde, kannst du das trotzdem nachvollziehen und rückgängig machen?

Wo habe ich das behauptet? Was weg ist, ist weg. Was zerstört ist ist zerstört. Zerstörtes kann auch ich nicht wiederherstellen. Was ich geschrieben habe ist, dass ein Schädling genauso wie ein Kopierschutz nur von Menschen geschrieben wurde und überlistet werden kann.

Zitat:

Zitat von jaenicke (Beitrag 1166772)

Aber im Ernst:

Ok, es geht hier doch nicht drum welchen Schaden ein Schädling anrichtet, sondern wie drauf reagiert wird. Wenn dein Rechner befallen ist und deine Software meint, dass sie nichts machen kann, wie reagierst du? Ruhig, versuchst das Problem zu analysieren, oder panisch, schnell alles platt machen?

Ich habe mich nicht besser gemacht als ich bin, aber Schädlinge sind wie ein Kopierschutz von Menschen gemacht und haben immer eine Schwachstelle. Man muß die nur finden.

Zitat:

Zitat von jaenicke (Beitrag 1166772)

Wie willst du denn herausfinden was alles an einem kompromittierten Rechner für Hintertüren geöffnet wurden? :shock:

Das ist es ja, nicht dem Konzept folgen, denn da ist der Schädling gut und schützt sich. Vielmehr das Konzept durchbrechen.

[jaenicke]

Zitat:

Zitat von Popov (Beitrag 1166793)

Ok, es geht hier doch nicht drum welchen Schaden ein Schädling anrichtet, sondern wie drauf reagiert wird. Wenn dein Rechner befallen ist und deine Software meint, dass sie nichts machen kann, wie reagierst du? Ruhig, versuchst das Problem zu analysieren, oder panisch, schnell alles platt machen?

Ich habe mich nicht besser gemacht als ich bin, aber Schädlinge sind wie ein Kopierschutz von Menschen gemacht und haben immer eine Schwachstelle. Man muß die nur finden.

Es nutzt dir doch absolut überhaupt nichts, wenn du den Virus an sich entfernt hast (das können viele und ist in der Regel auch kein so großes Problem), wenn du nicht weißt, ob sicherheitsrelevante Einstellungen verändert wurden. Und das kann im Grunde niemand wirklich wissen, es sei denn man hat wirklich den Assemblercode komplett verstanden und weiß, dass auch nichts nachgeladen wird. Und ob man wirklich allen relevanten Code gesehen hat und nicht schon welcher entfernt wurde, weiß man trotzdem nicht.

Als Folge hast du dann vielleicht kurz danach dann einen noch besseren Virus drauf, der noch mehr Schaden anrichtet. Und das nur, weil nicht erkannt wurde was der erste Virus verändert hat.

Privat mag man sich solche Glücksspiele leisten wollen, wenn man nicht viel Wert auf seine Daten legt, aber im Unternehmensumfeld wäre ein solch fahrlässiges Verhalten untragbar und hätte ggf. sogar ein juristisches Nachspiel.

[Popov]

Zitat:

Zitat von jaenicke (Beitrag 1166799)

Es nutzt dir doch absolut überhaupt nichts, wenn du den Virus an sich entfernt hast (das können viele und ist in der Regel auch kein so großes Problem), wenn du nicht weißt, ob sicherheitsrelevante Einstellungen verändert wurden.

Sebastian, ich glaube du willst mich nur so verstehen wie du mich verstehen willst. Ich hab gesagt, es gibt für jeden Schädling ein Konzept. Physikalisch entfernen ist nur eine Möglichkeit, gelegentlich aber auch die falsche. Wenn ich Entfernen schreibe, dann verstehe ich darunter nicht unbedingt löschen, sondern, wenn es nicht geht, aus dem Spiel nehmen. Man kann einen Schädling auch da belassen wo er ist, vor allem wenn es von tausend Seiten beschützt wird, in diesem Fall muß man ihn glauben lassen, dass er immer noch da ist, in Wirklichkeit sortiert er Socken.

Du brauchst mir nicht zu glauben, habe ich dir versucht meine Dienste zu verkaufen? Du kennst mich doch nicht, du weißt doch nicht was ich kann, du kannst es dir nur nicht vorstellen, dass es gehen könnte. Wenn das deine Vorstellung übersteigt oder deiner Lebenseinstellung, dann meinetwegen.

[Popov]

Zitat:

Zitat von jaenicke (Beitrag 1166731)

Zitat:

Zitat von Popov (Beitrag 1166721)

Ich weiß nicht was du mit nachinstallieren meinst. Im Programmverzeichnis von Delphi haben keine Komponenten oder irgendwas etwas zu suchen.
Hier gibt es eine Anleitung von mir für die Installation von Delphi 7 unter Vista/7:
http://branch.delphi-library.de/topi...ren_89408.html

Das ist keine Antwort auf meine Bitte.

a) der Link funktioniert so nicht. Ändre es bitte von "http://branch." in "http://www.".
b) ich arbeite seit eh und jeh mit einem Arbeisverzeichniss. Ich wußte nicht, dass noch einer seine Projekte in das Borladverzeichnis ablegt.
c) dein Tipp funktioniert wohl nur bei Vista und Windows 7, nicht aber bei Windows XP. Ich hab jetzt nicht die Muße es zu testen, aber ich glaube delphi32.$$$ wird jedes Mal temporär im Bin Ordner angelegt wenn man eine Komponente installiert. Was vielleicht unter Vista & Co funktioniert, geht aber nicht unter XP.

Zitat:

Selbst hinzugefügte Komponenten wiederum gehören natürlich in ein anderes (beschreibbares) Verzeichnis.

Habe ich nicht behauptet. Für Komponenten habe auch ich einen eigenen Ordner. Irgendwie beantwortest du Fragen die ich nie gestellt habe. Aber trotzdem danke.

Zitat:

Dann braucht man dafür auch keine Adminrechte.

Ich weiß es nicht, ich mache es ja auch so selten. Aber bei mir will Delphi in bei Komponenteninstallation Sachen kompilieren usw. und es ghet nicht ohne Adminrechte. Also wenn mir einer zeigen wie das geht, dann bin ich glücklich.

[jaenicke]

Zitat:

Zitat von Popov (Beitrag 1166806)

c) dein Tipp funktioniert wohl nur bei Vista und Windows 7, nicht aber bei Windows XP. Ich hab jetzt nicht die Muße es zu testen, aber ich glaube delphi32.$$$ wird jedes Mal temporär im Bin Ordner angelegt wenn man eine Komponente installiert. Was vielleicht unter Vista & Co funktioniert, geht aber nicht unter XP.

Stimmt, da hast du Recht.
Sorry, XP ist schon ne Weile her bei mir.
Jetzt verstehe ich auch erst was du meinst.

Dann muss man für die Datei wohl wirklich Schreibrechte vergeben (bzw. nen Hard Link oder so drauf setzen), den Virtual Store gab es da ja noch nicht...

[EWeiss]

Mehr ist nicht zu sagen

gruss

[Peter666]

Die Diskussion ist ja ein wenig auseinandergedriftet. Übrigens hat die heuristik bei allen Virenscannern das gleiche Problem, je größer die Datei, desto weniger Fehlalarme gibt es. Pack einfach ein 200kb großes Bild auf dein Formular und gut ist.

Peter