Testvirus selbst machen

[Die Muhkuh]

Hi,

ihr kennt ja alle Testviren. Diese machen zwar nichts böses, aber die Virenscanner meldet sich.

Ich möchte so einen Testvirus selbst machen. Ich hab absolut nichts bösartiges damit vor. Ich möchte nur, dass mein Virenscanner motzt. Warum -> einfach nur mal so ;) .

Was müsste ich den tun, damit der Virenscanner Alarm schlägt?

*MFG*

Manu

PS: Falls das hier ausarten sollte (illegale Seiten etc.), bitte ich, den Thread sofort zu schließen. Ich habe, wie gesagt, nichts bösartiges damit vor und möchte deswegen auch keine Links zu sollen Seiten.

[fred.reichbier]

auf eicar.org gibt es ja sowas.

könntest ja versuchen an die systemdateien dranzukommen ;)

[Pr0g]

Pack folgendes in Notepad und speichere es als "irgendwas.com", dann sollte ein Scanner Alarmschlagen:

Code:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

[Die Muhkuh]

Hi,

danke. Soweit mit dem Notepad war ich schon, aber ich würde das gerne in Delphi einbauen.

[Ultimator]

Wie wärs damit?

Delphi-Quellcode:

 FS: TFileStream;
str: string;

.
.
.
str := 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
FS.Write(str[1], SizeOf(str));

Ungetestet...

[Die Muhkuh]

Zitat:

Zitat von Ultimator

Wie wärs damit?

Delphi-Quellcode:

 FS: TFileStream;
str: string;

.
.
.
str := 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
FS.Write(str[1], SizeOf(str));

Ungetestet...

Hi,

nein, das geht auch nicht. Ich speichere das als Text weg. Ich versuchs mal mit ner anderen Endung

Ausserdem, muss es Length(Str) heißen ;)

[edit]Mit .com gehts, aber es ist ja wieder nicht mein Prog :-? , sondern die erstelle com-datei. [/edit]
[edit3] Der Virenscanner soll ja meinen, das mein Programm der Virus sei [/edit3]

[nailor]

springt der nicht an, wenn der o.g. string als ressource o.ä. eingebaut ist?

[vlees91]

ja, dass müsste funktionieren

McAffe erkennt eicar übrigens auch bei einer .txt datei^^

aber wieso eigentlich?
ich erkenne in dem wirrwarr nichts^^

[ErazerZ]

mach ein program das "URLDownloadToFileA" aufruft, und die heruntergeladene Datei ausführt, meisten virenscanner (heuristics usw.) sollten das als einen WebDownloader erkennen

[Luckie]

Jupp, tun sie. Gerade bei meinem NetWorkInfo gemerkt. Mail an AntiVir gestern abgeschickt mit Exe und Quellcode und heute kam die Antwort:

Zitat:

In der von Ihnen eingesendeten Datei ist kein Virus enthalten.
Es handelt sich um einen Fehlalarm unserer Heuristik. Dieser Fehlalarm wird mit einem der nächsten Updates von AntiVir beseitigt.

Dass da kein Virus drinne ist, habe ich denen ja gesagt, weil es von mir selber ist. :wall:

[TeronG]

Zitat:

Zitat von Luckie

Dass da kein Virus drinne ist, habe ich denen ja gesagt, weil es von mir selber ist. :wall:

Wer glaubt denn schon dem Author :mrgreen:

[himitsu]

Luckie, das Witzige ist, daß es immernoch erkannt wird, früher war das nicht so (hab was ähnliches) :wall:

[Luckie]

Ich hatte so was schon mal gemeldet, da hat es drei oder vier Updates gebraucht oder so.

[Meflin]

Zitat:

Zitat von vlees91

aber wieso eigentlich?
ich erkenne in dem wirrwarr nichts^^

ich nehme an dass es sich dabei um rein garnichts handelt - aber eicar und die antiviren hersteller sind eben übereingekommen diese zeichenfolge als testvirus zu verwenden. es könnte genausogut jeder beliebige andere string sein...

[MathiasSimmack]

Zitat:

Zitat von ErazerZ

mach ein program das "URLDownloadToFileA" aufruft, und die heruntergeladene Datei ausführt, meisten virenscanner (heuristics usw.) sollten das als einen WebDownloader erkennen

Oder aktuell (Luckie weiß es schon): AntiVir erkennt in der DateTime-Demo aus den Tutorials eine Malware. Die Demo geht nur ins Internet und liest die Zeit von einem Zeitserver. :lol:


@Micha: Ich weiß nicht, ob ich deswegen wirklich an den Hersteller schreibe. Immerhin geht es hier nur um eine Demo, und der Quellcode liegt bei. Insofern kann sich eh jeder selbst davon überzeugen, dass das Ding harmlos ist. Bei deinen Tools sieht das anders aus, weil du die ja richtig veröffentlichst. Da wäre es mir dann auch wichtig, dass die nicht als Viren (v)erkannt werden. Aber bei besagter Demo ist das nicht so wild. Ich ergänze eine kleine Warnung bzw. einen Hinweis im entsprechenden Kapitel, das sollte genügen. :)

[himitsu]

Bleibt nur noch Eines ... die Virenscanner können schon höllig nervig sein :(

[dangerfreak]

Also ich wollte jetzt mal einen Virus schreiben der mir sämtliche informationen des Computers per E-Mail schickt. Nach stundenlangen Nachdenken und Programmieren ist er fertig!
HAb in zum testen an mein kumpel geschickt und siehe da der virenscanner meldete sofort einen bösartigen virus!
Ich selbst hab nie daran gedach da mein "virus" wirklich gescannt wird:-)
aso bitte nicht auf rechtschreib fehler achten(bin 14 jahre)

also postet mal

mfg dangerfreak :firejump:

[Balu der Bär]

Was sollen wir posten? Bist du stolz darauf einen "Virus" geschrieben zu haben? Vielleicht solltest du deine Energie lieber auf sinnvollere Projekte lenken.

P.S.: Auch mit 14 Jahren kann man schon ordentlich schreiben, falls mal die Grundschule halbwegs gut überlebt hat.

[Daniel G]

Zitat:

Zitat von dangerfreak

Nach stundenlangen Nachdenken

Du hast Stunden für so ein simples Etwas gebraucht? Ohhauahauaha....

//Edit: Mit anderen Worten: Programmier' was sinnvolles und verwende deinen Virus nicht als Aushängeschild. Ich persönlich kann solche Script - Kiddies nämlich überhaupt nicht leiden.

[Nils_13]

Zitat:

Zitat von Balu der Bär

Was sollen wir posten? Bist du stolz darauf einen "Virus" geschrieben zu haben? Vielleicht solltest du deine Energie lieber auf sinnvollere Projekte lenken.

:thumb:

Zitat:

Zitat von Balu der Bär

P.S.: Auch mit 14 Jahren kann man schon ordentlich schreiben, falls mal die Grundschule halbwegs gut überlebt hat.

Seh ich genauso :thumb:

[brechi]

Zitat:

Zitat von Daniel G

Zitat:

Zitat von dangerfreak

Nach stundenlangen Nachdenken

Du hast Stunden für so ein simples Etwas gebraucht? Ohhauahauaha....

Kann ja nicht jeder so krass sein wie du. Denk mal bevor du schreibst.


Der String ist ein testvirus den die Scanner alle erkenne sollten. Es macht natürlich nichts.
Selbst wenn man davor nen leerzeichen macht und dann speichert wird der bei meienm AV shcon nicht mehr erkannt.
Da könnt irh mal sehen wie schlecht die Virenscanner sind. Die meisten Scannen nur 2-3 Bytes wenn was übereisntimmt, scannen die weiter usw. bis entweder die signatur stimmt oder nicht. Ändern sich 1-3 Bytes dann wirds schon nicht mehr erkannt.

http://uall.overclock.ch/AntiVir.rar

Für die, die interessiert sind.

[dino]

was ist das denn?

[Daniel G]

Zitat:

Zitat von dino

was ist das denn?

Ein Beispielvideo, wie einfach man einen Virenscanner austricksen kann... :wink:

Zitat:

Zitat von brechi

Denk mal bevor du schreibst.

Sie haben Post.

[Mao]

Der Grund, dass man selbst in diesem "Wirr-Warr" nichts erkennen mag ist, dass dies reiner Assemblercode ist. Inklusive dem Teststring, der ausgegeben wird, falls man das Virus ausführt. Das dem String folgende Dollar-Zeichen markiert das Ende des Strings für die DOS-Interrupt-Funktion 0x09.

Übrigens: AntiVir erkennt die Eicar-Testdatei auch beim Speichern, beim Eigenschaften anzeigen, etc.

Und der ursprüngliche Grund dieser Datei war der, dass man als User wissen sollte, ob der Virenscanner korrekt funktioniert. Es gab durchaus Viren, die direkt in das AV-Programm eingegriffen haben. Würde das Programm die (korrekte) Eicar-Testdatei nicht als Virus erkennen, wäre der Scanner manipuliert.

@brechi:
Die Virenscanner sind deswegen nicht schlecht. Aber bei so einem kleinen Virus (der ja keinen "Verdunkelungscode", wie Verschlüsselungen oder polymorphe Ansätze hat), ist die Signatur natürlich der ganze Virus selbst, nicht nur eine Teilfunktion (wie bei den meisten).

[Balu der Bär]

Zitat:

Zitat von Daniel G

Zitat:

Zitat von dino

was ist das denn?

Ein Beispielvideo, wie einfach man einen Virenscanner austricksen kann... :wink:

Womit spielt man das ab? VLC zeigt nur ein leeres, graues Bild...

[Daniel G]

Zitat:

Zitat von Balu der Bär

Womit spielt man das ab? VLC zeigt nur ein leeres, graues Bild...

WMP mit MPEG 4 Codec... :gruebel: Sonst frag' brechi, womit er das codiert hat... :wink:

[Matze]

Mein WMP spielt's ab. Welchen Codec man benötigt, kann ich dir jedoch nicht sagen. Hast du die MPEG4 (Dateiendung ist hier .avi) Codecs drauf?

Och Daniel, du bist ein flinker Tipper. :tongue:

[Balu der Bär]

Ahja ging, der Windows MediaPlayer lag schon mit 20 cm Staubschicht auf der Festplatte rum. *g*

[ErazerZ]

Zitat:

Zitat von brechi

Zitat:

Zitat von Daniel G

Zitat:

Zitat von dangerfreak

Nach stundenlangen Nachdenken

Du hast Stunden für so ein simples Etwas gebraucht? Ohhauahauaha....

Kann ja nicht jeder so krass sein wie du. Denk mal bevor du schreibst.


Der String ist ein testvirus den die Scanner alle erkenne sollten. Es macht natürlich nichts.
Selbst wenn man davor nen leerzeichen macht und dann speichert wird der bei meienm AV shcon nicht mehr erkannt.
Da könnt irh mal sehen wie schlecht die Virenscanner sind. Die meisten Scannen nur 2-3 Bytes wenn was übereisntimmt, scannen die weiter usw. bis entweder die signatur stimmt oder nicht. Ändern sich 1-3 Bytes dann wirds schon nicht mehr erkannt.

http://uall.overclock.ch/AntiVir.rar

Für die, die interessiert sind.

Benutze mal einen richtigen Virenscanner :), einen mit Heuristics, wie NOD32, VBA32 oder KAV6. Die sollten schwerer auszutricksen zu sein als die "normalen AntiViren Scanner". Also ohne private Execrypter oder Exepacker.

[dino]

staub auf der Festplatte??

dann mach dir mal sorgen :)

[brechi]

http://uall.overclock.ch/cracks/optix.rar so z.b. mit KAV
oder sowas z.b.
http://uall.overclock.ch/asquared.pdf

oder soll ich mal eben nen video fürs nene KAV machen oder sag mir nen AV scanner den ich net in 10 misn umgehen kann.

[dino]

hmm versuchs mal mit avg...

könnten ja mal ein test machen: wie lange brauchst du um etwas bestimmtes über mich herrauszufinden...

[ErazerZ]

lol brechi, bist du dir sicher das du das erste Video gemacht hast? Das mit Optix Pro 1.33?
Das Video ist vom 2005 oder war das 2004, naja auf jeden fall ich sagte KAV6. Nicht die 5er Version, und wenn schon versuche es mit NOD32 Bypassen.

Edit: Der Artikel ist mal interessant.

[brechi]

Ne is net von mir, weil ich kein KAV habe. Aber sowas kann ja wohl jeder machen oder net?

[TKC]

Zitat:

Zitat von brechi

Zitat:

Zitat von Daniel G

Zitat:

Zitat von dangerfreak

Nach stundenlangen Nachdenken

Du hast Stunden für so ein simples Etwas gebraucht? Ohhauahauaha....

Kann ja nicht jeder so krass sein wie du. Denk mal bevor du schreibst.


Der String ist ein testvirus den die Scanner alle erkenne sollten. Es macht natürlich nichts.
Selbst wenn man davor nen leerzeichen macht und dann speichert wird der bei meienm AV shcon nicht mehr erkannt.
Da könnt irh mal sehen wie schlecht die Virenscanner sind. Die meisten Scannen nur 2-3 Bytes wenn was übereisntimmt, scannen die weiter usw. bis entweder die signatur stimmt oder nicht. Ändern sich 1-3 Bytes dann wirds schon nicht mehr erkannt.

http://uall.overclock.ch/AntiVir.rar

Für die, die interessiert sind.

Die Frage ist doch .... war die Heuristik in Antivir an ... wenn ja evtl auf niedrigster Stufe ??

[Zacherl]

Die Heuristik von AntiVir taugt genau so wenig, wie das Programm selbst. Eigentlich sind alle Offset basierten VirenScanner Quatsch.

Editieren von zwei drei Offset Bytes machen die Datei schon undetected ... dazu braucht man noch nichtmal den Quelltext. Wie genau man es machen kann werde ich hier nicht preisgeben, aber es geht ziemlich einfach.

AntiVir erkennt manche eingentlich sehr bekannten Programme, wie Optix oder Bifrost nich mehr, wenn man nur den EntryPoint verschiebt, was eine Sache von 3 Minuten höchstens ist :roll:

Naja anderseits ist es Freeware ;)

Edit: NOD32, etc sind durch private Packer allerdings auch zu täuschen, wobei deren Heuristik um Klassen besser ist, da diese Scanner beispielsweise auch nicht nach Offsets scannen (VBA32). VBA32 ist auch das einzige Programm, was bisher einen mit einem privaten Packer präperierte Datei erkannt, bzw als Heuristik eingestuft hat.

Florian

[dangerfreak]

sry bin her wol nich so auf zustimmung gestoßen, das was ich geschrieben hab solltr krineswegs überheblich sein bzw ich programmiere erst seit 1 monat


mfg dangerfreak

ps. ich lege nicht so viel wert auf rechtschreibung da ich der meinung bin es müssen blos die informatiponen sein die verstaden werden sollen

[EDatabaseError]

Zitat:

Zitat von dangerfreak

sry bin her wol nich so auf zustimmung gestoßen, das was ich geschrieben hab solltr krineswegs überheblich sein bzw ich programmiere erst seit 1 monat


mfg dangerfreak

ps. ich lege nicht so viel wert auf rechtschreibung da ich der meinung bin es müssen blos die informatiponen sein die verstaden werden sollen

solltest aber ein bisschen mehr wert auf die Rechtschreibung legen ;-)

[Luckie]

Zitat:

Zitat von dangerfreak

ps. ich lege nicht so viel wert auf rechtschreibung da ich der meinung bin es müssen blos die informatiponen sein die verstaden werden sollen

Was müssen die informatiponen? Siehst du, da fängt es schon an.

• Korrekte Rechtschreibung oder zumindest der Versuch korrekt zu schreiben, ist für mich eine Form der Höflichkeit.
• Würdest du einen amtlichen Brief ernst nehmen, der mit der Maßen vielen Fehlern daherkommt, dass man den Sinn kaum erfassen kann?
• Korrekte Rechtschreibung, dazu zählt auch Zeichensetzung, erleichtert das Verstehen eines Satzes.
• Wer in einem Bereich unsauber arbeitet, tut dies oftmals auch in anderen Bereichen. Wenn deine Programme genauso aussehen, wie deine Rechtschreibung, dann hoffe ich, dass diese nicht deine Festplatte verlassen und auf die Menschheit losgelassen werden. Gute Programmierer zeichnen sich deshalb auch dadurch aus, dass sie sorgfältig und gewissenhaft arbeiten.

Menschen, wie du, die sich nicht die Mühe machen und sich die Zeit nehmen, sich verständlich auszudrücken und etwas auf die Rechtschreibung achten, empfinde ich als unverschämt, weil wir sollen uns dann aber die Mühe machen und die Zeit nehmen dir zu helfen. Du erwartest ja schließlich auch von uns verständliche Antworten, also können wir auch von dir erwarten, dass du dir selber entsprechend Mühe gibst und dir die Zeit nimmst. Ansonsten sage ich mir, jemand der dazu nicht bereit ist, der will gar nicht verstanden werden.

[dangerfreak]

OK,OK

Ihr habt ja Recht ich werde mich bemühen ordentlich zu schreiben.
Aber dass solten wir lieber in Private Messages fassen, oder?
Ich selbst schreibe zwar im Moment auch im Thread(,) aber ich dachte so kann ich auf alle Member antworten.

Mit freundliche Grüßen, Dangerfreak