Filewatch2006 1.0

[Go2EITS]

Hallo DP, hier mein neues Tool, die Fortsetzung von Watch 06

Wichtig! Es gab wohl Missverständnisse: Das Programm dient ausschließlich als Ergänzung zu Ihrem Virenscanner und bietet im Gegensatz zu "Unlocker" oder "DeleteOnReboot" wesentlich mehr Komfort und es lassen sich "spezielle Dateien" überwachen.

12.09.2006 13.53 Uhr
Filewatch2006 1.0.1 online.
Screenshot für XP eingefügt.
Achtung: Programm nur als Admin ausführbar und zeigt eine ordentliche Meldung.
Autostart auch unter XP nun ohne Probleme.
Die guten Vorschläge von Matze umgesetzt, soweit möglich.


11.09.2006
Mit Watch2006 1.0 für Windows2000/XP können Sie:
Die in der Überwachungsliste befindlichen Dateien werden auf Ihrem Systemlaufwerk überwacht und Ihnen gemeldet, wenn diese erstellt werden. Es steht dann ein sofortiges Löschen oder ein Löschen bei Systemneustart ("Unlocker" oder DeleteOnReboot) zur Verfügung.
Sie können die Überwachungsliste selbst ergänzen. -> Kein käufliches Programm bietet dies!
Zusätzlich können Sie zur Sicherheit alle Laufwerke auf die verdächtigen Files durchsuchen lassen.
Das Programm läßt sich in die Systray minimieren und mit der Autostart Option automatisch mit Windows starten.
Das Tool ist ideal um Trojaner und unerwünschte Programme zu überwachen oder zu finden und zu beseitigen.

Ihr könnt Eure eigenen Dateien in der Watch.ini einfügen:
Bei keinem Virenscanner, der käuflich ist, ist dies möglich!

Für die Hilfe einfach Help im Programm betätigen oder Hilfe.txt im Programmverzeichnis lesen.

Ich habe besonders darauf geachtet:

• Wenig Platzverbrauch
• Keine Veränderung der Registry außer beim Autostart.
• Alle notwendigen Dateien befinden sich im Programmverzeichnis.
• Exe ist mit UPX gepackt.
• Archiv mit 7z gepackt.
• Für die DP ohne jede Einschränkung als Freeware.
• XP-Manifest eingebunden.
• Hilfe.txt

Besonderen Dank für die OpenSource gilt Cerry, mit dem ich den langweiligen Win2000-Look wesentlich aufbessern konnte.
EButton von Cherry ist zu finden unter:
Link: http://www.delphipraxis.net/internal...hlight=ebutton


Installation:
Bitte einfach in ein Verzeichnis entpacken und Watch2006 starten.

Screenshots leider vorerst von Windows2000. XP ist "schöner".

Update vom 11.9.2006
Überwachungsliste ein wenig mit "verdächtigen" Dateien gefüllt.
Es sind Dateien in der Überwachung, mit denen sich bei Aktivität folgender Viren/Malware lokalisieren lassen:
Worm/Bagz.D.3
Worm/Bagz.C.2
Worm/NetSky.P
Worm/Mytob.NT

[Go2EITS]

@PUSH?

Die momentan vier aktivsten Bedrohungen habe ich in die Überwachungsliste eingefügt, ich glaube, dies
sollte ein Hinweis notwendig machen:

Es sind Dateien in der Überwachung, mit denen sich bei Aktivität folgender Viren/Malware lokalisieren lassen:

Worm/Bagz.D.3
Worm/Bagz.C.2
Worm/NetSky.P
Worm/Mytob.NT

Es sind die momentan aktivsten Bedrohungen.

Insbesondere das Auftreten von verdächtigen *.EXE Dateien aus der Liste sollte Euch hellhörig machen. Sollten dann noch mehrere Dateien im Systemverzeichnis gemeldet werden, so sollten Ihr einen Virenscanner mit aktuellen Virensignaturen laufen lassen. Mit meinem Tool könnt Ihr gesperrte Dateien("unlocker") beim Systemstart löschen lassen, wenn der Virenscanner versagt.

Der Download ist im ersten Beitrag schon aktualisiert.

Wie gesagt, Ihr könnt Eure eigenen Dateien einfügen.
Bei keinem Virenscanner, der käuflich ist, ist dies möglich!

[Meflin]

Und wo genau soll jetzt eigentlich der Vorteil deines Programmes ggü. den sg. Desktop-Firewalls sein ?
schön, ich kann da keine eigenen Dateien angeben. Dafür hab ich aber ein paar mehr Signaturen

sollte die Malware so "schlau" sein und ihren Namen verändern, versagt dein Programm auch grandios

[vlees91]

Genau das dachte ich auch, und ein Push erst nach 24h

[Go2EITS]

@mefin

Zitat:

Und wo genau soll jetzt eigentlich der Vorteil deines Programmes ggü. den sg. Desktop-Firewalls sein ?
schön, ich kann da keine eigenen Dateien angeben. Dafür hab ich aber ein paar mehr Signaturen

Mein Tool hat mit Signaturen nichts am Hut. Ich habe nichts davon erwähnt, geschweige dass ich eine Desktop-Firewall programiert habe. Ich glaube auch nicht, dass Du mein Programm ausprobiert hast. Ist auch nicht notwendig. Diejenigen, die ein Problem haben, werden damit Probleme lösen können, so wie ich mit "kernel32.ime". Mein Tool meldet es mir sofort, sollte es wieder auftauchen.
Sag mal, hast Du Files zur Ergänzung der Überwachungsliste für uns? Bist herzlich eingeladen uns allen zu helfen.

Zitat:

sollte die Malware so "schlau" sein und ihren Namen verändern, versagt dein Programm auch grandios

Mal ein
Da Du mein Programm anscheinend verwechselst, hier noch mal die Funktionen, wenn Du es oben nicht gelesen hast:

Mein Tool ist 3 in 1:
1.File Unlocker: Löscht gesperrte Files
2.Offene Überwachungsliste:
Du kannst, wenn Du von einem Trojaner/Virus befallen bist, Dateien in die Üebrwachungsliste eintragen, direkt bzw. beim Systemneustart löschen lassen. Wenn "Dein" Virus/File in der Überwachungsliste steht und wieder erstellt wird, wird das Programm es melden.
3. Überwachung auf die aktivsten Viren/Trojaner:
Ich habe in der Überwachungsliste die verdächtigen Files ergänzt, die auf ein Vorhandensein der momentan 4 aktivsten Viren prüft.

@vlees91 Push? Nennt man nun, wenn man sein Programm um die Überwachung der vier aktivsten Viren ergänzt und einen Hinweis darauf, einen Push? Erklärt sich wohl selbst.

Go2EITS

[TKC]

Hi,
tut mir wirklich sehr leid für dich .... aber das Programm ist unsinn...

Wenn ich mich vor den aktuellsten Viren schützen will benutze ich ein Antivirusprogramm ... das erkannt die Viren sogar wenn sie andere Dateinamen haben.

Was bringt es mir die Auswirkungen eines Virenbefalls zu unterdrücken ??? oder wie glaubst du denn wie diese Dateien wieder in dein System gelangen?

Programmiere doch lieber etwas um Rootkits aufzuspühren .. das ist wenigstens sinnvoll.

Sorry für die harten Worte, ich bin nur ehrlich!

[Matze]

Hallo Go2EIS!

Ich habe eine Frage: Was bringt es mir, wenn ich einen Ordner auf eine bestimmte Datei überwachen kann? Wann sollte sich denn eine Datei anlegen, die ich nicht haben möchte? Angenommen ich habe einen Virus, der eine Datei anlegt und das bei jedem Systemstart, dann wäre das letzte, was ich machen würde, die Datei jedesmal zu löschen. Für solche Fälle gibt es VirenScanner, die den Virus - falls sie es können - gleich richtig beseitigen.
Denn nur das Löschen bringt ja nichts. Oder habe ich den Sinn dienes Programmes missverstanden?

Die GUI gefällt mir auch nicht, sorry. Ich möchte, dass sich solche Programme an den Windows-Standard halten und so aussehen, wie es mein Windows-Theme vorschreibt. Es gibt einige, die optisch aufgepepte Themes nutzen und denen würde es sicher auch nicht gefallen, wenn dein Programm da aus der Reihe fällt. Ich habe z.B. Windows Klassisch eingestellt und nun habe ich bei deinem Programm diese nicht dazu passenden Buttons.

Deine Hilfedatei ist auch lustig:

Zitat:

Besonderheit:
[...]

- XP-Manifest eingebunden.

Das gehört heutzutage zum Standard. *g* Aber sonst ist die Hilfedatei ganz gut geworden.

Auch wenn ich den Sinn des Programms, wie erwähnt, nicht verstanden habe, hier einige Kritikpunkte:

• Mit Benutzerrechten (Eingeschränkt, also nicht als Admin angemeldet) scheint das nicht zu funktionieren. Beim Notepad-TestIt erhalte ich einmal ein ShowMessage mit "Zugriff verweigert" und anschließend noch eine Windows-Meldung mit ähnlichem Inhalt.
• Der Inhalt Überwachungsliste sollte im Einstellungsmenü auch direkt nachvollziehbar sein, ohne den Umweg über die Watch.ini. Beispielsweise mit einer eine ListBox/ListView realisiert, aus der man auch direkt heraus Einträge löschen kann.
• "Datei suchen und in die Überwachungsliste" ist irgendwie etwas Unnötiges finde ich. Was ist, wenn mehrere Dateien gefunden werden? Wieso eine Suchfunktion integrieren? Ich kann doch wunderbar mit dem Windows-Explorer Dateien suchen und diese würde ich dann gerne über Drag&Drop in die Liste einfügen können.
• Gehe ich über Einstellungen -> Logdatei ansehen, dann sehe ich die Watch.ini, über den Button "Log" im Hauptmenü ist dies nicht der Fall. Dort erscheint die Meldung, dass die Logdatei nicht vorhanden sei.
• Klicke ich auf "AutoOff", kommt die Mitteilung, dass der Autostarteintrag fehlgeschlagen sei (ich bin ja auch als Benutzer angemeldet), aber dennoch ändert der Button seine Caption, als wenn der Autostart-Eintrag erfolgreich angelegt wurde.
  Auch solltest du Einstellungsdateien ins Userverzeichnis (Dokumente und Einstellungen\[Benutzername]\Anwendungsdaten\[Programmname]\) packen und nicht, wie oben unter "Besonderheiten" beschrieben, ins Programmverzeichnis, da Benutzer normalerweise keine Schreibrechte im Programmverzeichnis haben (ich habe diese jedoch). Das wäre so nämlich eine negative Besonderheit.
• Wieso steht im Programm "Beobachte: 28 Files". Entweder alles auf deutsch oder alles auf englisch. Das gleiche gilt für den Status bzw. die Anzahl der Funde. Wieso steht dort "Status: Running" bzw. "Alerts: keine"?
• Beim Ändern der Formulargröße die Controls anpassen oder diese Funktion deaktivieren

Mehr ist mir auf Anhieb nicht aufgefallen.


// Nachtrag: Der Anfang überschneidet sich mit meinem Vorredner. Habe etwas länger zum testen gebraucht.

[Go2EITS]

@ACE-ppc

Zitat:

Wenn ich mich vor den aktuellsten Viren schützen will benutze ich ein Antivirusprogramm ... das erkannt die Viren sogar wenn sie andere Dateinamen haben.

Wenn Die Signatur gleich ist, ja. Ein Antivirenprogramm ersetzt es nicht. Habe ich auch nicht geschrieben. Mit meinen Tool habe ich die kernel32.ime losgebracht, mein Antivir hat es zwar erkannt, aber nicht beseitigen können.

Zitat:

...Unsinn

Du brauchst es ja nicht.
Melde Dich bitte dann auch bei:
Fileunlocker
Noch eine Adresse...
..und meine Letzte.
und sage den Leute doch bitte auch, dass die Programme Unsinn sind. Und bitte nicht anonym.

Spätestens wenn Du eine gesperrte Datei löschen willst oder deren Auftreten kontrollieren möchtest,
kannst Du mein Tool nutzen. Niemand zwingt Dich dazu.

Ich habe es geschrieben, um meine Progkenntnisse zu vertiefen. Dass das Tool nicht Shareware de Monats wird, ist mir klar. Soll es auch nicht. Als positiven Nebeneffekt der Programmierei kann es den einen oder anderen helfen. Und nur das zählt für mich.
Über solche Tools gibt es endlose Diskussionen, die Boards sind voll davon. Mein Prog erhebt nur den Anspruch der Hilfe in gewissen Situationen und nicht mit Antivirenprogrammen zu konkurrieren. Über nicht vorhanden Funktionen zu sprechen, weil der Beitragschreiber sich dafür eigentlich nicht dafür interessiert, halte ich, auch mal ehrlich gesagt, für Zeitverschwendung. Es heißt auch "Filewatcher" nun nicht "Antivirenprogramm".

Wir sind hier, um unseren Spass am Programmieren zu haben. Die Äußerung,"Dein Tool ist Unsinn" zeigt, dass Du den Sinn des DP Boards (noch) nicht verstanden hast. Ich bin nur in diesem Board,
weil man hier auch "unsinnige" Programme zur Diskussion stellt. Gerne nehme ich aber von Dir einen Code an, z. B. bevor ein Programm eine verdächtige Datei ertellt, diese schon abzufangen. Oder: Den Handle einer Parent auf eine zugegriffene Datei bekommen um dann den Parent zu schließen.
Dann führt die Diskussion in eine konstuktive Richtung. Gänzlich schließe ich einfach eine Provokation in einen öffentlichen Board zur Belustigung oder aus Langeweile nicht aus, wenn jemand
ein Prog hier veröffentlicht. Einige haben sich den Mut genommen und haben in der DP etwas reingestellt und waren dann nicht mehr gesehen. Genau so sollte es nicht sein! Hier dürfen alle ein Programm zur Begutachtung reinstellen, ob gut oder "schlecht". Wir geben in der DP fast durchweg, im Gegensatz zu anderen Boards, konstuktive Hilfestellung.

Sorry für meine harten Worte, ich bin bloß ehrlich.

[Meflin]

Zitat von Go2EITS:

Mein Tool hat mit Signaturen nichts am Hut. Ich habe nichts davon erwähnt, geschweige dass ich eine Desktop-Firewall programiert habe.

Ich habe auch nicht gesagt dass du Signaturen hättest ich meinte lediglich du hast eine erweiterbare watchlist - eine desktop-firewall dafür wesentlich mehr signaturen als deine watchlist jemals einträge haben wird. weil du die erweiterbarkeit so geprießen hast...

Zitat:

Mein Tool meldet es mir sofort, sollte es wieder auftauchen.

du und dein tool beseitigt also immer nur die auswirkungen, aber nie die ursache... schlechte vorgehensweise!

Zitat:

Sag mal, hast Du Files zur Ergänzung der Überwachungsliste für uns?

Nein, mein system ist virenfrei

Zitat:

Zitat:

sollte die Malware so "schlau" sein und ihren Namen verändern, versagt dein Programm auch grandios

Da Du mein Programm anscheinend verwechselst

Was verwechsle ich denn? dein programm erkennt die dateien doch nur am namen oder nicht... somit wird es auch bei variablen dateinamen nichts helfen

[Go2EITS]

@matze

Ah, endlich konstruktive Kritik. Erfrischend!

Zitat:

Ich habe eine Frage: Was bringt es mir, wenn ich einen Ordner auf eine bestimmte Datei überwachen kann? Wann sollte sich denn eine Datei anlegen, die ich nicht haben möchte? Angenommen ich habe einen Virus, der eine Datei anlegt und das bei jedem Systemstart, dann wäre das letzte, was ich machen würde, die Datei jedesmal zu löschen. Für solche Fälle gibt es VirenScanner, die den Virus - falls sie es können - gleich richtig beseitigen.
Denn nur das Löschen bringt ja nichts. Oder habe ich den Sinn dienes Programmes missverstanden?

mein Tool erstzt nicht den Virenscanner, den jeder darauf haben sollte. Es kann eine Ergänzung darstellen.
Das Tool hatte ich geschrieben, weil ich eine Datei ohne BootCd loswerden musste.
Aus der Praxis:
DeleteOnreboot für mein Beispiel "Kernel.ime" durchgeführt. Gleichzeitig suchte ich den Verursacher, den ich nicht finden konnte. Also Image auf meinen Rechner (und damit mein altes System überschrieben) mit allen Grundprogrammen eingespielt und mein Tool drauf.
Das Erscheinen der kernel32.ime (und aller anderen Files) wird nun überwacht und ist nicht erstellt worden. Nach und nach habe ich meine Programme aus das System aufgespielt. Dabei hätte mein Tool gemeldet, wenn der Virus zugeschlagen hätte. Währscheinlich auch der Virenscanner.
Neustart mal zur Sicherheit. Die Prozessliste habe ich dabei auch überwacht.
Wenn ich jetzt ein Programm auf mein "sauberes" System reinspiele, meldet mein Programm die verdächtigen Files, wenn Sie erstellt werden. Der Virenscanner konnte die Datei nicht beseitigen. mein Tool fragt dann nach Löschen, Deleteonreboot. Das zur praktischen Anwendung. Ob jemand dafür mein Prog braucht oder nicht, mag dahingestellt sein. Suchfunktion, Fileonreboot, Möglichkeit gefundene Datei in die Liste aufzunehmen, zu überwachen und löschen zu lassen.

Besser wäre doch, wenn man nicht wohl über 40.000 alkteller Signaturen zur Erkennung von Viren erstellen kann, folgendes:

Dateien auf verdächtige Signnaturen überprüfen und abfangen, wäre natürlich das Beste.

Mein Programm kann leider auch nicht:
Verdächtige Datei vor dem Erstellen schon abfangen.
Parent lokalisieren.
Parent killen.

Das macht mein Programm leider nicht, die Anfrage in der DP war bisher erfolglos.


Zur GUI:
Auf Watch 0.6 dem Open Source Vorgänger hat niemand davon etwas gemeldet.
Das die EButtons wohl nicht mehr passen, wußte ich nicht. Hast Du mal einen Screenshot unter XP? Hab nur windows2000.

Zum XP Manifest: Die fehlte in der Watch 0.6 - Daher der Hinweis!

[quote]Mit Benutzerrechten (Eingeschränkt,

Zitat:

also nicht als Admin angemeldet) scheint das nicht zu funktionieren. Beim Notepad-TestIt erhalte ich einmal ein ShowMessage mit "Zugriff verweigert" und anschließend noch eine Windows-Meldung mit ähnlichem Inhalt.

Uhi, geht nur unter Adminrechten? Da stellt sich die Frage, ob man nur als Admin
im System "pfuschen" sollte. Als Admin unter Windows2000 habe ich den ganzen Tag das Programm
ausprobiert.

Zitat:

Der Inhalt Überwachungsliste sollte im Einstellungsmenü auch direkt nachvollziehbar sein, ohne den Umweg über die Watch.ini. Beispielsweise mit einer eine ListBox/ListView realisiert, aus der man auch direkt heraus Einträge löschen kann.

Stimmt. Gute Idee. Ich hatte nur mit der Listbox noch nicht gearbeitet.
Wenn Du auf der Hauptseite auf beobachte gehst, öffnet sich das File direkt zur Bearbeitung.

Zitat:

"Datei suchen und in die Überwachungsliste" ist irgendwie etwas Unnötiges finde ich. Was ist, wenn mehrere Dateien gefunden werden? Wieso eine Suchfunktion integrieren? Ich kann doch wunderbar mit dem Windows-Explorer Dateien suchen und diese würde ich dann gerne über Drag&Drop in die Liste einfügen können.

Du kannst meine Eingabe auch nutzen. Wenn Du die "kernel32.ime" gefunden wird, kannst Du diese
in die Liste einfügen. Es wird dabei geprüft, ob die Datei schon drin ist.
Eigentlich sollte hier auch ein Löschen, DeleteOnreboot und Ignorieren angeboten bekommen.
Habe ich wohl übersehen. Das geht mit dem Explorer nicht so elegant und die Überprüfung auf Doppeleinträge auch nicht.

Zitat:

Gehe ich über Einstellungen -> Logdatei ansehen, dann sehe ich die Watch.ini, über den Button "Log" im Hauptmenü ist dies nicht der Fall. Dort erscheint die Meldung, dass die Logdatei nicht vorhanden sei.

"Logdatei ansehen" ist geändert.
Du hast die Log gelöscht und willst dann auf der Hauptseite die Log sehen. das kann nicht funktionieren. Die Log wird dann erst dann angelegt, wenn ein Ereignis eingetroffen ist. Beim Öffen wird ein Eintrag getätig. Beim Löschen wird Dir ein erfogreiches Löschen im panel angezeigt.
Wenn Du ein gelöschtes Log sehen willst, gibt es eine Fehlermeldung. Das ist irreführend. Ich habe sie gerade in: 'Keine Ereignisse in Logdatei vorhanden.' geändert.

AutoOff/on: Ich glaube unter XP ist der Autoruneintrag wohl anders...
dazu muss ich erst prüfen, auf welchen System ich laufe und ob ich unter Admin bin.

Das mit Userverzeichnis habe ich noch nie beachtet. Danke!

Zitat:

Wieso steht im Programm "Beobachte: 28 Files". Entweder alles auf deutsch oder alles auf englisch. Das gleiche gilt für den Status bzw. die Anzahl der Funde. Wieso steht dort "Status: Running" bzw. "Alerts: keine"?

Es werden alle Dateizugriffe angezeigt. Bei Dir waren es 28 Files. Ja, ich deutsche es ein. Gute Idee!
(Schon passiert, ready!)

Zitat:

Beim Ändern der Formulargröße die Controls anpassen oder diese Funktion deaktivieren

Wie deaktiviere ich denn das Ändern der Größe des Formulars?

Vielen Dank für Dein Test.
Insbesondere das Problem Autorun unter XP und die Veränderung der Daten als angemeldeter Benutzer
muss ich noch überprüfen.

Vielen Dank!
Go2EITS