Блог Андрея Сорвина

А название его Virus.Win32.Induc.a

Кратко, как он работает:

Для своего размножения Virus.Win32.Induc.a использует механизм двушагового создания исполняемых файлов, реализованный в среде Delphi. Согласно данному механизму, исходный код разрабатываемых приложений сначала компилируется в промежуточные .dcu-модули, из которых затем собираются исполняемые в Windows файлы.

Новый вирус активизируется при запуске заражённого им приложения и проверяет, установлен ли на компьютере пакет среды разработки Delphi версий 4.0-7.0. В случае обнаружения пакета, Virus.Win32.Induc.a внедряется в исходный файл базовых констант Delphi Sysconst.pas и компилирует его, в результате чего получается модифицированный откомпилированный файл базовых констант Sysconst.dcu.

Проблема заключается в том, что ативирусные системы определяют и лечат уже зараженные файлы, в принципе, как и должно быть; но не лечат причину заражения. Я несколько раз безрезультатно пробегался разными антивирусами по файлу Sysconst.dcu, и ни одна сволочь не заикнулась, даже ничего не заподозрила. Наверное, все же лечить причину стратегически не выгодно.

Я посмотрел на размеры файлов до заражения и после, оказалось, что чистенький файл Sysconst.pas весит 10’579 байт, а зараженный – 17’113. Но так как этот видус внедряется в файл *.dcu, то кроме как на размер файла, вирус не ориентируется. Поэтому легко исправить ситуацию, просто дописав пробелы в конец файла Sysconst.dcu, тем самым подогнав размер до 17’113 байт. Файл остается чистым, а вирус думает, что главный модуль распространения уже заражен и повторно его не трогает. Чистый файл естественно, можно взять в установочном дистрибутиве Delphi.

Я сутки потратил на лечение компьютера, блин. Но зато, добился результата =)

Теперь можно пойти на балкон и спокойно покурить, смотря на капающий вечерний дождь =)))))))))))

Посмотрите также и другие записи

• Исходный код вируса Virus.Win32.Induc.a
• I Radio
• С переездом меня! )))
• С переездом меня!
• Меня зовут.. гы-гы
• Поцелуй меня!
• Найди меня на фотках )))