Virus infects Delphi

[alzaimar]

Grundsätzlich sind alle Programmentwicklungssysteme bzw. Compiler betroffen, die externe Dateien in das fertige Kompilat linken, wobei diese externen Dateien überschreibbar sind. Auch Interpreter wären betroffen, wenn sie implizit irgendwelche Startup-Skripte verwenden (die widerum nicht ausreichend geschützt sind).

Nur Systeme, die gänzlich ohne Zusatzbibliotheken auskommen, sind sicher(er). Wobei dann nur noch der Angriff auf den nackten Compiler bliebe.

Edit:

Zitat:

Zitat von sirbarny

ich habe gerade den Verursacher des Übels auf meinem System entdeckt.

Lustig, wer da die neue verseuchte Demoversion gepostet hat... (letzter Beitrag). :mrgreen: Nachtigall, ick hör Dir trapsen? :zwinker:

[JamesTKirk]

@mkinzler: ich hatte zwar schon per PM eine kleine Diskussion dazu mit himitsu, wo er mein "gering" etwas entkräftet hat, aber hier meine Gedanken dazu:

Der Pfad zum Compiler steht nicht in der Registry. Wenn man Lazarus installiert hat, kann man allerdings entweder in dessen Einstellungen nachsehen (die man in den Anwendungsdaten erst suchen muss) oder sich die Einstellungen anhand des Unistallerpfads in den Registry Einstellungen des Installers zusammenreimen.
Bei ersterem ist das Problem, dass eventuell diese Einstellungen gar nicht verwendet werden (und damit möglicherweise nicht korrekt sind). Dies passiert zum Beispiel dann, wenn man Lazarus (per Kommandozeilenparameter) anweist eine andere Konfiguration zu verwenden (es gibt Gründe dafür).
Der zweite Fall ist problematisch, wenn nicht der mitgelieferte Compiler verwendet wird (z. B. 2.3.1 statt 2.2.4). Liegt diese alternative Version dann auch nicht im Verzeichnis %lazarus%\fpc, dann hat man Pech ghabt, da ein anderer Compiler irgendwo im System verwendet wird.
Eine weitere Möglichkeit wäre es den Compiler per PATH zu finden, unter Windows ist dies allerdings nicht standardmäßig der Fall.

Hat man den Compiler dann gefunden ist noch das Problem eine passende Unit zu finden, allerdings bin ich davon ausgegangen, dass ich eine Unit benutze, die immer eingebunden wird (System.pas oder ObjPas.pas) und diese um ein Include erweitere. himitsu hat mich allerdings darauf aufmerksam gemacht, dass man auch eine seltenere Unit verwenden könnte, was zwar das Ausbreitungspotential senkt, aber trotzdem funktioniert.

Wenn man dann eine passende Unit gefunden hat, muss man diese noch so modifizieren, dass die Programme weiterhin kompilieren (sonst wirds mit der Ausbreitung nichts). Der letzte Punkt trifft aber sowohl auf FPC, als auch Delphi zu. Ich denke ich muss selbst mal mit dem Virus rumspielen, um das genauer zu verifizieren :gruebel:

Am Ende muss man, wenn man FPC wirklich hart treffen möchte, das ganze auch noch plattformunabhängig schreiben.

So... das ist meine Begründung für meine These. Nun zerfleischt sie :mrgreen:

Gruß,
Sven

[Monien]

Zitat:

Zitat von Daniel

Zitat:

Zitat von Assertor

Moderatoren? Beispiel an Viruslist nehmen - und nur einen Auszug anzeigen.

Überredet. ;-)

Hi Daniel, hast du noch irgendwo das Original? Ich hätte da so eine Idee wie man das Dingen evtl. abwehren kann ...

[mkinzler]

Hallo Olaf, habe dir den Code geschickt.

[turboPASCAL]

Jetzt werden die Dinger schon frei Haus verkauft. :stupid:

Naja, das Teil findet man ja leider immer noch im Netz.

[mkinzler]

Und in den infizierten Exen

[Monien]

Zitat:

Zitat von mkinzler

Hallo Olaf, habe dir den Code geschickt.

Danke, ist angekommen. Falls meine Idee funktioniert poste ich das hier ...

[Monien]

Zitat:

Zitat von turboPASCAL

Jetzt werden die Dinger schon frei Haus verkauft. :stupid:

Jo, aber echt - Ich kucke dann mal wieviel ich dafür auf eBay bekomme :-P

Mir schwebt so eine Art "AntiVirus" unit vor, die beim Programmstart nix anderes macht, als nach bestimmten "Signaturen" zu suchen (also konkret nach dem was wir derzeit über diesen einen Virus wissen) und sich dann mit einer EVirusInfection Exception meldet, so dass man zumindest neukompilierte Delphi Programme schützen kann eine infizierte Unit einzukompilieren.

[mkinzler]

Wäre dann ja auch eine Anregung an CG

[sh17]

Und am besten gleich noch die Selbstheilung draufpacken. :duck:

[Monien]

Zitat:

Zitat von mkinzler

Wäre dann ja auch eine Anregung an CG

Korrekt. Die Werden zwar nix mehr für D7 oder älter tun, aber der Code dürfte sich ja relativ leicht auch auf neuere DelphiVersionen "upgraden" lassen :-(

[mkinzler]

Da wäre aber ein Ansatz per Prüfsumme besser. Also ein Mechanismus, bei dem man Prüfsummen in eine Datenbank ablegen kann, welche dann abgeglichen werden können.

[Monien]

Zitat:

Zitat von mkinzler

Da wäre aber ein Ansatz per Prüfsumme besser. Also ein Mechanismus, bei dem man Prüfsummen in eine Datenbank ablegen kann, welche dann abgeglichen werden können.

Klar, das ist richtig - das wäre aber letztlich nur vernünftig über ein Delphi Plugin zu lösen. Dieses müßte dann aber natürlich auch bei Delphi Updates mit den aktuellen Prüfsummen versorgt werden.

Wobei auch das in die Hose gehen kann. Denken wir uns doch mal besser nicht daran, was passieren würde, wenn Andreas auf die dunkle Seite der MAcht gezogen würde und seine speziellen Techniken verwendet, um den Schadcode quasi "dynamisch" zu injizieren :-)

[guinnes]

Zitat:

Zitat von Monien

Die Werden zwar nix mehr für D7 oder älter tun, aber der Code dürfte sich ja relativ leicht auch auf neuere DelphiVersionen "upgraden" lassen :-(

Wenn bei der Version ein Commandozeilen Compiler dabei ist

[Monien]

Zitat:

Zitat von guinnes

Zitat:

Zitat von Monien

Die Werden zwar nix mehr für D7 oder älter tun, aber der Code dürfte sich ja relativ leicht auch auf neuere DelphiVersionen "upgraden" lassen :-(

Wenn bei der Version ein Commandozeilen Compiler dabei ist

Bei allen Delphi-Versionen sind Komandozeilen-Compiler dabei. Die IDE "wrappt" nur den Aufruf der dcc32.exe - das kann man übrigens in dem "Ausgabe Fenster" in Delphi beobachten. Da gibt die IDE haarklein an mit welchen Parametern man den dcc32.exe von Hand aufrufen kann, um das aktuelle Projekt so wie in der IDE kompilieren.

[Daniel]

Ja, alle "echten" Versionen. Nur Turbo Delphi Explorer kam ohne Kommandozeilen-Compiler daher. Ist aber eigentlich auch egal. Delphi 2010 beispielsweise ist definitiv mit einem Compiler für die Kommandozeile ausgestattet.

[himitsu]

arbeitet quasi fast wie der Virus

Delphi-Quellcode:

Program Project1;

{$APPTYPE CONSOLE}

Uses Windows, SysUtils, Classes;

Const Pfade: Array[0..7, 0..2] of String = (
  ('Software\Borland\Delphi\4.0', '\Source\RTL\Sys\',       '\Lib\'),
  ('Software\Borland\Delphi\5.0', '\Source\RTL\Sys\',       '\Lib\'),
  ('Software\Borland\Delphi\6.0', '\Source\RTL\Sys\',       '\Lib\'),
  ('Software\Borland\Delphi\7.0', '\Source\RTL\Sys\',       '\Lib\'),
  ('Software\Borland\BDS\2.0',    '\Source\Win32\RTL\Sys\', '\Lib\'),
  ('Software\Borland\BDS\3.0',    '\Source\Win32\RTL\Sys\', '\Lib\'),
  ('Software\Borland\BDS\4.0',    '\Source\Win32\RTL\Sys\', '\Lib\'),
  ('Software\CodeGear\BDS\6.0',   '\Source\Win32\RTL\Sys\', '\Lib\'));

Var H: HKEY;
  i, i2: Integer;
  A: Array[1..255] of Char;
  S: String;
  SL: TStringList;

Begin
  Try
    SL := TStringList.Create;;
    Try
      For i := 0 to High(Pfade) do
        If RegOpenKeyEx(HKEY_LOCAL_MACHINE, PChar(Pfade[i][0]), 0, KEY_READ, H) = 0 Then Begin
          i2 := 255;
          If RegQueryValueEx(H, 'RootDir', nil, nil, @A, @i2) = 0 Then Begin
            S := PChar(@A);
            If not FileExists(S + Pfade[i][1] + 'SysConst.bak') Then Begin
              Try
                RenameFile(S + Pfade[i][1] + 'SysConst.pas', S + Pfade[i][1] + 'SysConst.bak');
                SL.LoadFromFile(S + Pfade[i][1] + 'SysConst.bak');
                i2 := SL.IndexOf('interface');
                SL.Insert(i2 + 1, 'uses SysConst_Check;');
                SL.Insert(i2 + 1, '');
                SL.SaveToFile(S + Pfade[i][1] + 'SysConst.pas');

                SL.Text := 'Unit SysConst_Check;'#13#10
                         + ''#13#10
                         + 'Interface'#13#10
                         + ''#13#10
                         + 'Implementation'#13#10
                         + '  Uses Windows;'#13#10
                         + ''#13#10
                         + 'Initialization'#13#10
                         + '  MessageBox(0, ''Delphi ist von Win32/Induc.* befallen!!!'','
                         + ' ''Alarm'', MB_OK or MB_ICONEXCLAMATION or MB_TASKMODAL);'#13#10
                         + '  Halt;'#13#10
                         + ''#13#10
                         + 'End.'#13#10;
                SL.SaveToFile(S + Pfade[i][2] + 'SysConst_Check.pas');

                WriteLn('Backup angelegt,');
                WriteLn('Datei modifiziert');
                WriteLn('und Prüfdatei angelegt');
                WriteLn('  > ' + S + Pfade[i][1] + 'SysConst.pas');
                WriteLn('  > ' + S + Pfade[i][1] + 'SysConst.bak');
                WriteLn('  > ' + S + Pfade[i][2] + 'SysConst_Check.pas');
              Except
                WriteLn('der Schutz konnte nicht angelegt werden (z.B. fehlende)');
                WriteLn('(z.B. ungenügend Zugriffsrechte)');
                WriteLn('  > ' + S + Pfade[i][1] + 'SysConst.pas');
              End;
            End Else Begin
              WriteLn('ist schon geschützt (vermutlich)');
              WriteLn('  > ' + S + Pfade[i][1] + 'SysConst.pas');
            End;
            WriteLn('');
          End;
          RegCloseKey(H);
        End;
      WriteLn('fertig');
      ReadLn;
    Finally
      SL.Free;
    End;
  Except
    On E:Exception do Begin
      WriteLn(E.Classname, ': ', E.Message);
      ReadLn;
    End;
  End;
End.

Wenn der Virus jetzt kommt, sich die SysConst.pas schnappt
und neu kompiliert, dann kompiliert er auch diesen Code mit ein und bei Programmstart
kommt ein Fenster und das infizierte Programm wird beendet, noch bevor der Virus sich vervielfältigen kann.

Solange sich der Virus nicht dran zu schaffen macht, bleibt die SysConst.dcu unverändert
und auch dieser Code (siehe [delphi]\Lib\SysConst_Check.pas) ist nicht eingebunden
(abbeitet bis Delphi 2009 ... solange Schreibrechte existieren)



Aber es ist dennoch besser erst erst garkeine Schreibrechte für die betreffenden Verzeichnisse vergeben zu haben :!:

[guinnes]

Eine weitere Schwachstelle im Virus ist, dass er das Erstellungsdatum der Quellfiles nicht ändern kann : ( oder nur mit einem Aufwand )

Zitat:

unit sysconst; {Flags: 0x0, Priority: 0x1E}
{Source files: D:\Software\Programme\Borland\Delphi7\lib\sysconst .pas (03.07.2009 15:19:18)}

[JamesTKirk]

Zitat:

Zitat von Monien

Die IDE "wrappt" nur den Aufruf der dcc32.exe

Nur ein bisschen Besserwisserei: die IDE selbst verwendet die zur Version passende dcc*.dll, nicht die dcc32.exe... :zwinker: (verifiziert mit ProcessExplorer: keine dcc32.exe zu sehen)

[mkinzler]

Zitat:

Zitat von JamesTKirk

Zitat:

Zitat von Monien

Die IDE "wrappt" nur den Aufruf der dcc32.exe

Nur ein bisschen Besserwisserei: die IDE selbst verwendet die zur Version passende dcc*.dll, nicht die dcc32.exe... :zwinker: (verifiziert mit ProcessExplorer: keine dcc32.exe zu sehen)

Bei den alten Versionen auch?

[himitsu]

Zitat:

Zitat von mkinzler

Bei den alten Versionen auch?

jupp, also fast ... z.B. Delphi 7 = DCC70.dll

[guinnes]

Dann könnte man ja einfach die DCC32 umbenennen und gut ist

[mkinzler]

Das bezweifle ich mal, denn Dll <> Exe

[guinnes]

Dcc32.exe umbenannt in Dcc32.exeBlaBla
Delphi kompiliert weiterhin. Aber es gibt die Dcc32.exe nicht mehr -> zumindest temporärer Schutz

[mkinzler]

Ok, ich habe deine Antwort anders verstanden

[guinnes]

Zitat:

Zitat von mkinzler

Das bezweifle ich mal, denn Dll <> Exe

Das ist selbst mir schon klar. :wink: Ich denke, die DCC32.exe wird immer die Versionsspezifische *.Dll aufrufen, genau wie Delphi selber. Also : Dcc32.exe irgendwie umbenennen und der Spuk hat ( erst mal ) ein Ende

[himitsu]

und was machen all diejenigen, welche den Komandozeilenkompiler benötigen?
(alle ihre Skripte ändern, oder wie?)

Schreibrechte auf die entsprechenden Verzeichnisse entfernen und nicht mehr ständig mit Adminrechten arbeiten

[jbg]

Zitat:

Zitat von guinnes

Ich denke, die DCC32.exe wird immer die Versionsspezifische *.Dll aufrufen, genau wie Delphi selber.

Das macht dcc32.exe nicht. dcc32.exe enthält den gesamten Compiler plus Kommandozeilen-Interface, wohingegen dccX0.dll den gesamten Compiler mit GUI-Interface enthält.

[Angel4585]

http://www.heise.de/newsticker/Banki...meldung/143755

[MaBuSE]

Zitat:

Zitat von Monien

Zitat:

Zitat von mkinzler

Da wäre aber ein Ansatz per Prüfsumme besser. Also ein Mechanismus, bei dem man Prüfsummen in eine Datenbank ablegen kann, welche dann abgeglichen werden können.

Klar, das ist richtig - das wäre aber letztlich nur vernünftig über ein Delphi Plugin zu lösen. Dieses müßte dann aber natürlich auch bei Delphi Updates mit den aktuellen Prüfsummen versorgt werden.

Ich habe ein kleines Programm geschrieben, das genau das macht.

• Prüfsummen erstellen
• Prüfsummen vergleichen

Das Programm habe ich heute nach Dienstschluss erstellt.

Die Prüfsummen und Dateigrößen aller *.dcu-Dateien in $(DELPHI)\Lib werden in einer Ini-Datei abgelegt. Und können dann beliebig oft verglichen werden.

Nach einem Delphi Update kann man einfach neue Prüfsummen erstellen ;-)

Das macht aber nur Sinn wenn die Prüfsummen auf einem noch nicht infiziertem Delphi erstellt werden.

Das Programm ist OpenSource / Freeware. Damit keiner denkt ich wollte ihm einen Virus unterschieben :megreen:

Ich werde demnächst noch einen Experten erstellen, der das bei jedem Delphi Start prüft.

Ich hoffe das hilft einigen die Angst vor weiteren Mutanten inkl. Schadfunktion zu nehmen.

Viele Grüße
MaBuSE

ps: Ach ja der Link: http://www.delphipraxis.net/internal...t.php?t=163454

[himitsu]

Zitat:

Zitat von Matze

Denn aktuell möchten vermutlich viele Wissen, ob der "Virus" bereits auf dem heimischen PC ist. Gut, das kriegt man über die .bak natürlich auch heraus.

das sollten zwar inzwischen auch genug Virenscanner können, aber bitte (prüft aber nur die SysConst.dcu)

Code:

C:\Programme\Borland\Delphi7\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\Delphi7\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\BDS\4.0\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\Borland\BDS\4.0\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\CodeGear\RAD Studio\6.0\Lib\SysConst.dcu
is probably free of Win32/Induc.*

C:\Programme\CodeGear\RAD Studio\6.0\Lib\Debug\SysConst.dcu
is probably free of Win32/Induc.*

*end*

[toms]

Im delphigl Forum hat jemand ein Open Source Tool Delphi Defender veröffentlicht.

Screenshot

[jaenicke]

Zitat:

Zitat von himitsu

das sollten zwar inzwischen auch genug Virenscanner können

Genau, soeben habe ich bei einem Komplettscan mit Norton festgestellt, dass ich bereits am 15. Mai ein infiziertes Archiv via ICQ erhalten hatte. So lange gibt es den Virus also bereits. Ich habe zwar Delphi 7 auch noch auf dem Rechner, aber da die Programme bei mir keine Adminrechte haben, konnte der Virus nix machen.

Deshalb wurde das Delphi 7 bei mir auch nicht infiziert, das hatte ich ja auch schon kurz geprüft als der Virus bekannt wurde (ohne zu wissen, dass ich den tatsächlich bekommen hatte).

Aber das wurde ja auch schon gesagt, dass es ganz einfach reicht nicht als Admin zu arbeiten bzw. wie bei mir die UAC unter Vista aktiviert zu lassen, damit der Virus nichts bewirken kann.

[MaBuSE]

Zitat:

Zitat von jaenicke

Aber das wurde ja auch schon gesagt, dass es ganz einfach reicht nicht als Admin zu arbeiten bzw. wie bei mir die UAC unter Vista aktiviert zu lassen, damit der Virus nichts bewirken kann.

Das ist sehr kurzsichtig gedacht. Der Quellcode des PoC ist im Umlauf und es dürften einige Programmierer in der Lage sein den Quelltext so zu modifizieren, dass er auch diese Hürden nimmt und vieleicht spendiert er ja auch dem Virus eine Schadroutine ;-/ Durch die veränderte Signatur kann es auch sein, dass Ihn dann die Virenscanner nicht mehr erkennen.

Das sicherste ist alle Delphi dcu-Dateien mit einer Prüfsumme abzusichern. Und beim Delphistart / vor jedem Compile automatisch zu prüfen. (Dauert bei mir ca. 1 bis 2 Sekunden)

[mkinzler]

Wenn die Verzeichnisse aber so geschützt sind, dass ein Überschreiben der Original-Dateien verhindert wird, ist es eigentlich egal, was der Virus sonst macht.

[MaBuSE]

Zitat:

Zitat von mkinzler

Wenn die Verzeichnisse aber so geschützt sind, dass ein Überschreiben der Original-Dateien verhindert wird, ist es eigentlich egal, was der Virus sonst macht.

Es gibt immer Mittel und Wege ;-)
Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen. Wenn die Dateien erst mal mir gehören, dann ich die Zugriffsrechte ändern.
Das Recht "Besitz übernehmen" ist per Default dem Benutzer zugewiesen. Das muß man z.B. durch Systemrichtlienien explizit wegnehmen.

Probier es doch mal unter XP aus:

• Als normaler Benutzer anmelden
• Eine Datei, auf die man keinen Zugriff hat mit rechts anklicken
• Eigenschaften Dialog öffnen
• Sicherheit auswählen
• Erweitert anklicken
• auf Besitzer wechseln
• Besitzer ändern auf "name" anklicken
• übernehmen klicken

-> nun hast Du das Recht Rechte für diese Datei zu vergeben.

Es gibt ja auch noch viele andere Löcher. Wenn diese durch den "Administrator" nicht gestopft werden, bringt es nur eine trügerische Sicherheit. Das ist ja das brühmte Katz und Maus Spiel zwischen Hackern/Virenschreibern und den SystemAdministratoren/Firewall-und Antivirenprogramm-Schreibern

Das bedeutet aber nicht, das ich dagegen bin nur mit Benutzer Rechten zu arbeiten. Das ist absolut sinnvoll!!! Aber man sollte nicht denken, das dann alles sicher ist.

[Sherlock]

Es verlassen sich zu viele auf ihr hohes "ich bin kein Admin" Ross. Eine vernünftige Absicherung des kompletten Netzes ist deutlich mehr Wert als ständiges aufpoppen von nervigen Berechtigungsabfragen, die über kurz oder lang ungelesen weggeklickt werden (und zwar per OK-Knopf).



Sherlock

[GMerg]

Hallo,

Für alle diejenigen, die infizierte Programme jetzt nicht mehr
starten können, weil die Antiviren-Software die Ausführung verhindert
(den schadhaften Code aber nicht entfernt), gibt es unter

GSA Delphi Induc Cleaner

ein Programm, das Ihnen helfen kann.

[jaenicke]

Zitat:

Zitat von MaBuSE

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.

Ich rede nicht von Windows XP. Dass das deutlich unsicherer als Vista ist, ist klar.

Zitat:

Zitat von Sherlock

Eine vernünftige Absicherung des kompletten Netzes ist deutlich mehr Wert als ständiges aufpoppen von nervigen Berechtigungsabfragen, die über kurz oder lang ungelesen weggeklickt werden (und zwar per OK-Knopf).

Wenn du das einfach wegklickst, deine Sache. Ich tue es definitiv nicht einfach so, sondern nur, wenn ich genau weiß warum das gerade kommt und dass ich das auch wollte...

Was die Absicherung angeht hast du aber natürlich Recht und da kümmere ich mich auch bei mir immer drum.

[MaBuSE]

Zitat:

Zitat von jaenicke

Zitat:

Zitat von MaBuSE

Unter XP z.B. kann man meist ohne Administratoren Rechte den Besitz von Dateien übernehmen.

Ich rede nicht von Windows XP. Dass das deutlich unsicherer als Vista ist, ist klar.

Aus diesem Grund habe ich "z.B." geschrieben, das bedeutet "zum Beispiel" und soll zeigen, dass das nur ein Beispiel ist. Auch unter Vista gibt es Lücken.