Juhu, es ist ein Virus!

[flomei]

Na das is ja ne schöne Schei***! :evil:
Ich wollte mir bei meinem Überwachungsprogramm die Arbeit nen bisschen erleichtern und deshalb ServerSocket statt TCPServer nehmen...

Dann hab ich aus diesem Quelltext:

Delphi-Quellcode:

unit ServerUnit;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls, ComCtrls, Sockets, ScktComp;

type
  TMainForm = class(TForm)
    LBxComputers: TListBox;
    PageControl: TPageControl;
    TSInfo: TTabSheet;
    TSProgs: TTabSheet;
    TSScreenshot: TTabSheet;
    TSActions: TTabSheet;
    BtnQuit: TButton;
    GBxPCInfo: TGroupBox;
    GBxUserInfo: TGroupBox;
    LBxProgs: TListBox;
    BtnKillSelected: TButton;
    BtnKillAll: TButton;
    LblDoNotKillAll: TLabel;
    LblDoNotKillExplorer: TLabel;
    GBxNetSend: TGroupBox;
    EdtNetSendText: TEdit;
    BtnSendText: TButton;
    BtnDeleteText: TButton;
    GBxComputer: TGroupBox;
    LblShutdown: TLabel;
    LblRestart: TLabel;
    LblScreenOn: TLabel;
    LblScreenOff: TLabel;
    Label1: TLabel;
    ServerSocket: TServerSocket;
    procedure BtnQuitClick(Sender: TObject);
    procedure StartUp(Sender: TObject);
    procedure DeactivateServer(Sender: TObject; var Action: TCloseAction);
  private
    { Private declarations }
  public
    { Public declarations }
  end;

var
  MainForm: TMainForm;

implementation

{$R *.dfm}

procedure TMainForm.BtnQuitClick(Sender: TObject);
  begin
    Application.Terminate;
  end;

procedure TMainForm.StartUp(Sender: TObject);
  begin
    TCPServer.Active := true;
  end;


procedure TMainForm.DeactivateServer(Sender: TObject; var Action: TCloseAction);
  begin
    TCPServer.Active := false;
  end;

end.

Diesen hier gemacht:

Delphi-Quellcode:

...
procedure TMainForm.StartUp(Sender: TObject);
  begin
    ServerSocket.Active := true;
  end;


procedure TMainForm.DeactivateServer(Sender: TObject; var Action: TCloseAction);
  begin
    ServerSocket.Active := false;
  end;
...

Und was passiert: Mein Virenscanner springt an und erschreckt mich fast zu Tode...
Ich dachte: Naja änderst du das mal wieder um... Hab ich gemacht. Der Virenscanner springt immer noch an. Ich verzweifle hier :cry: Was hab ich getan? :cry: Ich bin echt ratlos! *heul*

MfG Florian :hi:

[EDIT] Hab grad mein System gescannt... War nur meine EXE... Warum? :cry: [/EDIT]

[Gast]

Der ist ja ein Sensibelchen. Ich wuerde empfehlen die Heuristik mal auf ein niedrigeres Level zu setzen.

[MrKnogge]

Zitat:

Zitat von flomei

Hab grad mein System gescannt... War nur meine EXE... Warum? :cry:

Ich hatte auch mal ne Virus-Meldung, allerdings brauchte ich nur mein Programm neu Kompilieren, und schon war's kein Virus mehr.

[MisterNiceGuy]

Hehe, das passiert mir auch öfter :roll: Abär, wenn das dein ganzer Quelltext ist, sollte eigentlich nix passieren :)

Ich hab mal eine Art Trojaner geschrieben, der auf der selben Idee basiert. Es ist eine "Gott" Datei und eine "Opfer" Datei.
Gibts beides auf meiner HP Mister-Nice-Guy.de.vu Muss nur noch irgendwann eine Hilfe schreiben :mrgreen:

[flomei]

Zitat:

Zitat von MrKnogge

Ich hatte auch mal ne Virus-Meldung, allerdings brauchte ich nur mein Programm neu Kompilieren, und schon war's kein Virus mehr.

:lol: Hab ich schon ein Dutzend mal probiert. Hab den Quelltext wieder "zurück geändert" und versucht neu zu kompilieren. Half nix. Musste die alten Dateien wieder laden (mit TCPServer) und die konnte man kompilieren...

Zitat:

Zitat von Assarbad

Ich wuerde empfehlen die Heuristik mal auf ein niedrigeres Level zu setzen.

:wiejetzt:

Zitat:

Heuristik...

die (methodische) Kunst der Wahrheitsfindung; heuristische Prinzipien sind Regeln, Hypothesen, versuchsweise Annahmen, die nur vorläufig, im Hinblick auf das zu Findende aufgestellt, nicht als tatsächlich bzw. endgültig betrachtet werden.

Von: www.wissen.de

MfG Florian :hi:

P.S.: Ich denke (:roll: hoffe), dass Delphi nicht so intelligent ist und sich an den Bezeichnungen der Komponenten stört (BtnKillSelected BtnKillAll...)

P.P.S.: Bei meinem Prog soll es sich laut AntiVir um den Virus "BDS/Mantice.10.Cli" handeln...

...eine kleine Google-Suche ergab, dass es sich dabei um einen Trojaner handelt. Hier gucken :lol: Laut Bild wurde er mit Delphi 6 geschrieben... Ironie des Schicksals? Ausserdem kommen mir einige Label Captions bekannt vor... :lol:

Was kann ich machen?

[Gast]

Heuristik ist bei AVs die Technik verdaechtigen Code von vornherein zu blockieren, statt immer nur schon vorhandene Viren zu erkennen.

"Boeser Code" wird klassifiziert und dann kann man die "Heuristik" entsprechend tunen, so dass sie sehr empfindlich ist, oder eben nicht.

[flomei]

Und was tun? Ich kann ja nicht an alle Virenprogrammhersteller schreiben und sagen, dass mein Programm ungefährlich ist usw.

MfG Florian :hi:

[Gast]

Weise deine Benutzer drauf hin ... siehe:

http://assarbad.net/de/virus.shtml

[Hansa]

Assarbad hat da Recht, mit einem Programm von Sakura gab es so was ähnliches. Da war auch H+B davon betroffen. Frag den mal.

[flomei]

*kopfschüttel* <--- mehr fällt mir nich mehr ein...

MfG Florian :hi:

[Gast]

Das spricht langsam gegen H+B. Man kann auch zu übersensibel mit dem Thema Viren umgehen.

[Hansa]

Zitat:

Zitat von Assarbad

Das spricht langsam gegen H+B.

Nicht unbedingt, Vorsicht ist die Mutter der Porzellankiste. Meine Virensammlung wurde richtig erkannt. Sakura müßte aber mehr wissen. Ich habe ihm den "Fehler" nur gemeldet.

[flomei]

Zitat:

Zitat von Assarbad

...Viren...

Das ist KEIN Virus! Nur ein bisschen "böser" :twisted: Code. Wir wollen hier doch sachlich bleiben ;)

Fräge: Wolle Virus kaufn? :nerd:

MfG Florian :hi:

[Phoenix]

Hi.

Sofern Du AntiVir verwendest, würde ich mal warten bis das Proggy fertig ist, und wenn das dann immer drauf anspringt, das ganze Teil dorthin schicken (besser auf Diskette als per Mail!).

Es gibt für gewisse Virentypen auch Ausschlusskriterien, und es kann sein, daß neuere Versionen dann bei solchen Codeteilen wie Deinen nicht mehr fälschlich anspringen.

Die Entwickler von AntiVirensoftware sind über solche Hinweise im übrigen recht dankbar. Sie wollen schliesslich vor Viren warnen und nicht vor regulären Programmen ;-)

Grüßle,

Sebastian

[flomei]

Naja. Es gibt ja ein (oder mehrere) Backdoor Programme die gleichen ASM Code haben. Ich glaube nich, dass die für ein kleines, privates Freeware Programm etwas rausnehmen und so wirklich gefährlichen Programmen die Tür aufschliessen. :???: Halte ich für recht unwahrscheinlich.

MfG Florian :hi:

[Hansa]

Zitat:

Zitat von flomei

...Frage: Wolle Virus kaufn? :nerd:

Kauf doch nur Virus und gib ihn gleich BKA, ich komm Dich dann mal im Knast besuchen :lol: Wie gesagt, in Bezug auf H+B weiß Sakura mehr.

[flomei]

Zitat:

Zitat von Phoenix

Sofern Du AntiVir verwendest, würde ich mal warten bis das Proggy fertig ist, und wenn das dann immer drauf anspringt, das ganze Teil dorthin schicken (besser auf Diskette als per Mail!).

:lol: Ich kann ja nich mal testen ob es funzt weil der Scanner anspringt. Ich denke es ist das Beste wenn ich noch mal von vorne anfange mit dem Server-Prog... :cry: Traurig das...

MfG Florian :hi:

[Gast]

Zitat:

Ich glaube nich, dass die für ein kleines, privates Freeware Programm etwas rausnehmen und so wirklich gefährlichen Programmen die Tür aufschliessen.

Sehe ich auch so. Mein Keylogger wurde auch als was erkannt, was es nicht ist. Obwohl ... vielleicht hat sich auch ein Hirni meinen Code geklaut und in ein Backdoor eingebaut.

Zitat:

Nicht unbedingt, Vorsicht ist die Mutter der Porzellankiste.

... und der Vater von Massenpanik, wegen Unwissenheit!

[moori]

Zur Sachlage Virus:

Virenprogramme reagieren auf Dateien mit einer bestimmten Dateigröße, die ein Prozess auslösen, der gefährlich sein könnte, oder die Threads verwenden, die von vielen Trojanern auch verwendet werden. (Keylogger, Dateimanipulationen, MBR-Zugriffe, uvm).

Möglicherweisse ist deine Datei genau so gross wie ein bekannter Virus, und versucht auf einen Port zuzugreifen, auf den auch dieser Virus zugreifen wollte. Dann geht der AntiVir schon los. Ein Ändern der Dateigröße und des benutzten Portes, könnte verhindern, das AntiVir anspringt.

Zum Keylogger:
Du hast wohl sicher mit Threads gearbeitet. Da die guten Anti Viren Programme immer einen Thread Scanner haben, werden "billig" programmierte Tastaturabfragen/Loggs fast immer erkannt.

Gruss Moori

[Gast]

LOL ... ich habe sogar ne Window-Class mit einen Teilstring "Keylogger" benutzt. Es handelt(e) sich um eine Demonstration. Wozu sollte ich da was einbauen, was Scriptkiddies dann mit Copy&Paste in ihre eigenen Mistschleudern einbauen. Es war die Demo zu einem Tastaturhook. (inkl. Trayicon ... kein Netzwerk ...).

Aber ich wette, ich kann dir was schreiben, was auch H+B austrickst ;)

[moori]

Viren, Trojaner usw...

Hallo Zusammen,

ich will hier nicht näher auf das Thema "Antiviren Programme umgehen" eingehen, da ich den verdacht habe, das es hier genau um das geht.

Warum auch?!

"Ich habe nicht vor, die jungen Tiere zu Füttern, die möglicherweise im Alter meinen Hof verwüsten werden!" (T. Adams)

Gruss Moori

[flomei]

Zitat:

Zitat von moori

"Ich habe nicht vor, die jungen Tiere zu Füttern, die möglicherweise im Alter meinen Hof verwüsten werden!" (T. Adams)

Wärst du vielleicht so nett uns deine großartigen geistigen Ergüsse zu erklären?
Danke!

MfG Florian :hi:

[Gast]

Zitat:

"Ich habe nicht vor, die jungen Tiere zu Füttern, die möglicherweise im Alter meinen Hof verwüsten werden!" (T. Adams)

So what? Niemand hat dich darum gebeten. Ich wollte nur erläutern, wie es bei mir aussah ... und desweiteren bin ich in den 2 Jahren, die der Keylogger schon online steht, soweit fortgeschritten, daß ich ...

• Mir traue AVs zu umgehen.
• Weise genug bin dieses Wissen nicht weiterzugeben.

Da dich niemand darum gebeten hat Tips zu geben, wie man AVs umgeht (und dies IMHO hier auch niemand im Sinn hat/hatte), zeugt dein Beitrag nur von Ignoranz, statt Respekt vor den Mitdiskutanten.

[flomei]

Danke Assarbad!
Ich werde mich wohl für die Variante mit dem Text entscheiden. Ich möchte und kann (noch) keine Anti-Viren Programme umgehen. Morgen werde ich anfangen, dass Programm noch mal neu zu schreiben. Bleibt zu hoffen, dass ich nicht wieder "bösen" :twisted: Code schreibe.

MfG und Gute N8!
Florian :hi:

[FriFra]

Ich hatte auch einmal ein ähnliches Problem... Mein FTP-Server wurde von InoculateIT (bis Signatur 29.50) fälschlicherweise als Backdoor/InvisibleFTP erkannt.
Nachdem ich von mehreren Usern mehr oder weniger freundlich darauf hingewiesen wurde, dass ich einen Virus verbreiten würde habe ich mich zuerst freundlich per e-Mail an den Hersteller von InoculateIt gewandt, was leider erfolglos blieb...
Ein unfreundlicher Anruf bei der deutschen Niederlassung (inkl. Drohung mit Anwalt -> üble Nachrede etc.) hatte dann aber Erfolg. Nach nur 2 Tagen gab es ein Signaturupdatge ohne diesen Bug. Aber wie geagt, das war ein FTP-Server... bei einem Keylogger sehe ich da auch Probleme...