Auch Hacker sind opfer vom Virus geworden:

www.heise.de/newstic...ert--/meldung/143755

himitsu hat folgendes geschrieben :

entfernen: %delphi%\Lib\SysConst.bak zurück in SysConst.dcu umbenennen, verseuchte SysConst.dcu vorher löschen und versuchte Binaries löschen, bzw. neu kompilieren > www.delphipraxis.net...1070123.html#1070123

Das bringt absolut nichts, wenn die BAK-Datei nicht integer ist Was denkst, wozu die Prüfsummen gesammelt werden

himitsu hat folgendes geschrieben :

dieses betrifft aber nur die aktuellen Version dieses Virus

Korrekt. Hatte das Detection Tool auch weniger als Virenscanner als viel mehr als Hinweis-Tool gedacht, um möglihe Infektionen (u.U. mit modifizierten Schadcode-Varianten) erkennbar zu machen.

Der vorgeschlagene Source-Patcher für compilierte Binaries wäre in der Form nämlich nur ein Quickfix, wenn man keine gereinigten Binaries auf die schnelle beziehen kann.

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.

BenBE hat folgendes geschrieben :

Was denkst, wozu die Prüfsummen gesammelt werden

Zur reinen Gaudi, denn woher bekommt ihr die englischen, französischen und japanischen Prüfsummen für alle Versionen und alle Updates?

AndyB hat folgendes geschrieben :

BenBE hat folgendes geschrieben : Was denkst, wozu die Prüfsummen gesammelt werden Zur reinen Gaudi, denn woher bekommt ihr die englischen, französischen und japanischen Prüfsummen für alle Versionen und alle Updates?

Wieso, benutzt du zufällig die japanische Version der SysConst.dcu? Wenn ja, kannst du sie ja einliefern, sonst spielt die doch keine Rolle. Wie sich der Virus in einer japanischen Version einnistet, sollen die Japaner herausfinden. BenBEs Zielgruppe ist sicherlich in erster Linie dieses Forum, und die dürften alle die deutsche oder englische Ausgabe benutzen.

pesi hat folgendes geschrieben :

Leider ist anhand der SysConst.bak nicht zu erkennen seit wann ich die Sch... am Hals hatte.

Wenn du mir die infizierte DCU schickst, kann ich dir sagen, wann du dich angesteckt hast. Eine DCU habe ich untersucht, und die hat sich am 03.07 angesteckt

Dann ist es ja doch ganz schön lange im Umlauf.

@Yogu ist es nicht **** egal ob Japanisch Englisch oder Deutsch? Kann mir nicht vorstellen das sich an der DCU was ändert.

thepaine91 hat folgendes geschrieben :

@Yogu ist es nicht **** egal ob Japanisch Englisch oder Deutsch? Kann mir nicht vorstellen das sich an der DCU was ändert.

Da stehen Texte drin, und die sind sicherlich je nach Sprache unterschiedlich

In dem fall hab ich mich geirrt stimmt. Gibt ja genügend dinge die nur in Englisch existent sind.

Es ist aber im Zweifel einfacher fehlende, korrekte Prüfsummen nachzureichen, als ständig auf neue Viren-Versionen reagieren zu müssen. Zum Support einer neuen Sprache brauch ich lediglich diese Dateiversion als "Good" mit ner kurzen Signatur aufnehmen, fertig ist. Wenn also wirklich jemand die japanischen Dateien legitim drauf hat, brauchen diese nur genannt werden und die können ergänzt werden.

Für D4S, D5E, D6E, D7E hab ich die DCUs da; werd ich als Referenz Posten, wenn ich das soweit zusammenbau (muss vorher noch'n andres Projekt was fertig machen, bevor ich zum Scanner übergehen kann).

Bitte nicht vergessen, in den Signaturen das Compile-Datum mit anzugeben, da das mit einfließen wird. Werd im Detection-Utility später ne Ausgabe mit einbauen, um das bei gefundenen DCUs mit anzuzeigen ...

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.

Luckie hat folgendes geschrieben :

So lange man nicht als Administrator arbeitet, kann eigentlich nichts passieren, weil dem Virus die Schreibrechte fehlen.

Hauptbenutzer reicht auch.

Jakob_Ullmann hat folgendes geschrieben :

DeddyH hat folgendes geschrieben : Schau doch einfach, ob die SysConst.bak vorhanden ist (die legt der Virus ja freundlicherweise an). Wenn ja, eine Kopie dieser *.bak in SysConst.dcu umbenennen und die *.bak stehen lassen. Zumindest in dieser recht harmlosen Version soll angeblich dann Ruhe sein. Das verstehe, wer will.

Der Virus verschiebt die SysConst.dcu nach SysConst.bak. Hatte den Fehler, dass die D7PE SysConst.dcu nicht finden konnte. Ausserdem gab es den Fehler, dass "%1 " kein gültiges Argument sei. Kaspersky meinte dann noch, die SysConst.dcu von D5S wäre befallen, ausserdem ein paar Compilate.

Dude566 hat folgendes geschrieben :

Ööööhm mir ist gerade aufgefallen ich habe mir Kaspersky von dieser CD aufgespielt.

Ich auch.

Garf hat folgendes geschrieben :

Dude566 hat folgendes geschrieben : Ööööhm mir ist gerade aufgefallen ich habe mir Kaspersky von dieser CD aufgespielt. Ich auch.

Aber bei mir wurde kein Befall festgestellt weder von Kaspersky noch von Antivir, habe beide auch al übers komplette System laufen lassen.

Habe allerdings auch nicht das Programm, wo der Virus enthalten sein soll laut CB, aufgespielt sondern nur Kaspersky.

Dude566 Kaspersky sollte auch nich von diesem Virus betroffen sein.

Außer es ist in Delphi gecodet.

thepaine91 hat folgendes geschrieben :

Dude566 Kaspersky sollte auch nich von diesem Virus betroffen sein. Außer es ist in Delphi gecodet.

Wäre aber sicherlich nettes Futter für Verschwörungstheoretiker, wenn ein Virenscanner gleich paar Viren zum Finden mitbringt

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.

, Naja immerhin weis man dann das es auch funktioniert

OT: Naja bald wissen die Viren vor lauter Stoppschilder warscheinlich nicht mehr wo sie hin sollen. Oder eine Warnung: Achtung sie versuchen sich mit dem Internet zu verbinden, damit könnten Sie sich strafbar machen! Trotzdem fortfahren Ja, Nein?

Ich übernehme keine Garantie für meine Posts die Sonne macht mich unzurechnungsfähig.

Mich interessiert atm aber brennend in welcher Programmiersprache Kaspersky gecodet ist.

Noch ein paar Hashes:

D7, 7.0.4.453


Seh grad, dass Flamefire die schon hatte. Sein CRC ist allerdings CRC32_CCITT. Naja, doppelt hält besser...

thepaine91 hat folgendes geschrieben :

Dude566 Kaspersky sollte auch nich von diesem Virus betroffen sein. Außer es ist in Delphi gecodet.

So meinte ich es auch nicht, weis ja nicht ob er sich indirekt selber rüberkopiert o.ä.

Ich möchte kurz darauf hinweisen, MaBuSe hat in der DP ein Tool zum Checken der Prüfsummen der DCUs veröffentlicht:
www.delphipraxis.net...1070980.html#1070980

Hi,

und weil wir gerade dabei sind: Eine weitere Lösung wurde im DelphiGL Forum vorgestellt.

Zitat:

markieren Quelltext     1: SHA512: 1dbc0fe24b8653924d1f8d7114e240467148c9bbfae3cbda0d4b9fd45232c139b8b4e995695f589a41ca48c052d0ad18289b9e6942a7485a1f2724c66f68abc1

Also wenn der Hash größer wird als die eigentliche Datei, dann triftet es doch wohl irgendwie ins Lächerliche ab, oder? Was zum Geier soll man mit 20 verschiedenen Hashes einer 8kb großen Datei. Ich denke die Aufgabe des Viruses liegt nicht darin unbedingt eine Kollision mit einem Hash zu erzeugen. Sondern wohl eher darin sich zu verbreiten. Außerdem setzt er Datum/Uhrzeit der neu erstellten Datei auf das der Originalen.

Was diese ganzen Tools angeht bin ich eher skeptisch, denn was nützen Tools, wenn man sie nur unregelmäßig benutzt weil sie das Starten unnötig in die Länge ziehen. Oder man durch doppelklick auf eine dpr sie umgehen kann. Bzw. sollte es auf NTFS Partitionen bereits genügen, wenn man Schreib und Änderrechte auf lib entfernt.

Lossy eX hat folgendes geschrieben :

Zitat: markieren Quelltext     1: SHA512: 1dbc0fe24b8653924d1f8d7114e240467148c9bbfae3cbda0d4b9fd45232c139b8b4e995695f589a41ca48c052d0ad18289b9e6942a7485a1f2724c66f68abc1 Also wenn der Hash größer wird als die eigentliche Datei, dann triftet es doch wohl irgendwie ins Lächerliche ab, oder? Was zum Geier soll man mit 20 verschiedenen Hashes einer 8kb großen Datei.

Da CRC32, MD5 und SHA1 als für den praktischen Gebrauch gebrochen gelten dürften, ist die Vielzahl der Hashes durchaus interessant, um Zufallskollissionen entdecken, bzw. vermeiden zu können.

Lossy eX hat folgendes geschrieben :

Ich denke die Aufgabe des Viruses liegt nicht darin unbedingt eine Kollision mit einem Hash zu erzeugen. Sondern wohl eher darin sich zu verbreiten. Außerdem setzt er Datum/Uhrzeit der neu erstellten Datei auf das der Originalen.

In den Compilaten steht dennoch der falsche Zeitstempel, den man abfangen kann.

Lossy eX hat folgendes geschrieben :

Was diese ganzen Tools angeht bin ich eher skeptisch, denn was nützen Tools, wenn man sie nur unregelmäßig benutzt weil sie das Starten unnötig in die Länge ziehen. Oder man durch doppelklick auf eine dpr sie umgehen kann. Bzw. sollte es auf NTFS Partitionen bereits genügen, wenn man Schreib und Änderrechte auf lib entfernt.

Es kam von MaBuSe die Idee auf, das als Pre-Compile-Check zu bauen ... dann wäre es doch bereits recht nützlich ...

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.