CnPack Forum


 
Subject: [转帖]“Delphi梦魇” 新病毒戏耍软件工程师
kendling (小冬)
高级版主
Rank: 8Rank: 8
MyvNet


Medal No.1  
UID 703
Digest Posts 5
Credits 978
Posts 580
点点分 978
Reading Access 101
Registered 2005-2-18
Location 广东
Status Offline
Post at 2009-9-5 11:06  Profile | Site | Blog | P.M.  | QQ | Yahoo!
[转帖]“Delphi梦魇” 新病毒戏耍软件工程师

“Delphi梦魇” 新病毒戏耍软件工程师
                                          
www.hxhack.com 阅读:38 时间:2009-8-25 16:54:24 来源:华夏黑盟
                                  ------------------------------------------------------------------

                                                                                            
                                     近日国内截获了一个针对计算机程序员、尤其是Delphi使用者的病毒“Delphi梦魇”(Win32.Induc.b.820224 ),简单描述该毒行为,就是:它专门感染Delphi程序员的电脑,一旦成功,程序员今后写出的任何程序,都将带有该毒!
传播特性
1.只会危害安装delphi的电脑,该病毒的潜伏性很强,感染后,不做任何破坏,只是在感染的电脑上编译EXE或DLL程序文件时,将病毒代码植入。
2.在没有安装delphi的电脑上运行植入病毒代码的EXE或DLL程序时,也不会产生任何危害,如果没有检查到本机安装有delphi,病毒也不会继续繁殖和传播。
产生过程
当随着被感染文件进入电脑系统,“Delphi梦魇”就开始检验系统中是否有Delphi环境。它通过循环检测注册表键值的方法查找dephi的安装目录,如果找到dephi这个冤大头,就将恶意代码前排插入SysConst.pas文件,这个文件编译的时候,会生成SysConst.dcu,而这个文件会被添加到每个新的dephi工程中。
于是,程序员们所编写的程序就全部带毒了,一个个隐秘的“病毒兵工厂”就这样诞生,更可怕的是,通过对受感染文件的分析,该毒在全球网络中已经传播了多月,目前已知受感染最早的系统,在2008年的年末就已中招。
貌似无威胁,实则危机四伏
虽说病毒原作者看上去没啥坏心,但在国内广大唯利是图的黑客(病毒作者)眼中,这无疑是一份大大的馅饼。自三月份刑法新条例出台、政府部门对病毒木马编写以及黑客行为加大打击后,不法黑客的生意越来越难做,突然出现这种有助降低犯罪技术门槛的安全事件,他们绝不会愿意放过。目前,“Delphi梦魇”(Win32.Induc.b.820224)的源代码已经在网络中完全公布流传,无法排除国内病毒作者对其进行改造、进化的可能。如果他们对该毒加入下载木马、盗号等恶意行为指令,很难说会DIY出怎样的猛毒。
安全方案
在此提醒习惯手动解决问题的Delphi程序员,这个病毒具有二次感染能力,也就是说原来你编译出来的所有Delphi程序都可以再次感染你机器上的Delphi库文件,如果使用自己编写的查杀工具,请一定要检查你所写出的工具是否也含毒,否则将陷入一个死循环。
要彻底清除该病毒,需做到以下几点
1、使用杀软扫描所有的Delphi编写的可执行文件并清除病毒。(或直接删除所有Delphi编写的可执行文件,包括从网上下载的)
2、将文件 %DelphiInstallPath%\Lib\SysConst.dcu 删掉,然后执行步骤4 或 步骤5和6。
3、将文件 %DelphiInstallPath%\Lib\SysConst.bak 改名为 SysConst.dcu,结束。
4、调用 DCC32.exe 编译出新的 SysConst.dcu ,编译命令如下: %DelphiInstallPath%\bin\DCC32.exe "%DelphiInstallPath%\\Source\Rtl\Sys\SysConst.pas"
5、将新编译的SysConst.dcu(在%DelphiInstallPath%\\Source\Rtl\Sys\目录下)文件复制到 %DelphiInstallPath%\Lib\ 目录,结束。




小冬
http://MyvNet.com
Top
 




All times are GMT++8, the time now is 2024-7-15 16:22

    本论坛支付平台由支付宝提供
携手打造安全诚信的交易社区 Powered by Discuz! 5.0.0  © 2001-2006 Comsenz Inc.
Processed in 0.007828 second(s), 9 queries , Gzip enabled

Clear Cookies - Contact Us - CnPack Website - Archiver - WAP