Осторожно! Новый вирус, специфичный для Delphi

← →
xayam © (2009-08-13 00:28) [40]

> Ega23 © (13.08.09 00:25) [38]
> > Как с этим бороться? Переходить на php :)
> На этом месте аж подавился макаронами... :)

:) ну не надо так прям реагировать. Delphi for php благо на подходе, надеюсь доведут до ума :)

← →
Ega23 © (2009-08-13 00:31) [41]

> Меня просто, как и автора статьи удивляет сочетание бесплатность
> программы/закрытый протокол

А, собственно, почему это удивляет?
Ну вот например. Я разработал 3Д-движок (а-ля Контра). На базе данного движка я сделал игу и выложил её в сеть. Народ на неё подсел (да и движок оказался хорошим).
Я бесплатно распространяю игру, но я же не должен бесплатно распространять движок. Я его продаю всем желающим (за нефиговые деньги).

← →
Ega23 © (2009-08-13 00:32) [42]

> по ночам макароны ешь?

Типа, запоздалый ужин

← →
xayam © (2009-08-13 00:38) [43]

> Ega23 © (13.08.09 00:31) [41]
> А, собственно, почему это удивляет?
> Ну вот например. Я разработал 3Д-движок (а-ля Контра). На
> базе данного движка я сделал игу и выложил её в сеть. Народ
> на неё подсел (да и движок оказался хорошим).
> Я бесплатно распространяю игру, но я же не должен бесплатно
> распространять движок. Я его продаю всем желающим (за нефиговые
> деньги).

не тот случай, протокол они же не продадут, пока не изменят идеологию своего продукта.

← →
Ega23 © (2009-08-13 00:45) [44]

> не тот случай, протокол они же не продадут

Ты ещё очень молод. Когда я в "Дедале" работал, у нас протокол обмена данными был запатентован (номер патента сейчас не скажу, но если сильно надо - через старые связи справки наведу. Обращаться в частном порядке).
Было это связано с какой-то "политической" подковёрной борьбой, когда (на тот момент) мы были дочерним предприятием и головное требовало от нас открыть исходники, дабы свой продукт с нашей системой со своей стороны интегрировать.
А это - бабло. Очень большое бабло. Такое бабло, что лично мне бы хватило до конца жизни (да и внукам бы осталось).

← →
Кто б сомневался © (2009-08-13 00:47) [45]

А че вирус то делает? Высылает логи клавы и пароли и данные кред. карты? форматирует диск? Отсылает мои секретные документы?
Что?
Или это просто показуха вирмейкера?

← →
Кто б сомневался © (2009-08-13 00:48) [46]

Кстати, этому вирусу уже месяцев 5.

← →
xayam © (2009-08-13 00:58) [47]

> Ega23 © (13.08.09 00:45) [44]
> Ты ещё очень молод.

может быть, может быть через десять лет я стану еще моложе. Может быть наконец надо начать задумываться не только о собственной выгоде, а об общем деле, если таковое имеется, а если нет, то может быть есть смысл поискать. Но не мне конечно Вас наставлять, просто часто непонятно что люди пытаются скрыть, ведь "тайное рано или поздно станет явным", так не проще ли сразу начинать свою деятельность с чистого листа или это уже нормой стало и ничего не поделаешь с этим. Это засело в наших умах настолько глубоко, что кажется уже ничего не проймет. Или это мне только снится и, как сказал Дэвид Айк, реальность всего лишь иллюзия :)

← →
Дмитрий Белькевич (2009-08-13 01:11) [48]

> http://habrahabr.ru/blogs/im/66209/

1. Нет, я конечно понимаю, все кушать хотят. Но зачем менять без ведома поисковики/странички? Ну хоть бы отключаемую фичу сделали.
2. Я не думаю, что проект потребляет такие уж запредельные ресурсы, которые нельзя было бы покрыть посещаемостью и рекламой на сайте.

Ну а если проект действительно материально несостоятелен - то пускай продают бренд.

Короче резюме: квип окончательно скурвился. Есть ли для того причины меня, как юзера, мало волнуют. Я уж лучше на обычной аське сидеть буду (благо что реклама запросто закрывается).

← →
Дмитрий С © (2009-08-13 04:15) [49]

А я както делал трояна для PHP :) чтото вроде того:
@eval($_POST(md5(-1)));

← →
brother © (2009-08-13 07:49) [50]

блин, словил(

← →
Ega23 © (2009-08-13 07:51) [51]

> Может быть наконец надо начать задумываться не только о
> собственной выгоде, а об общем деле

Нету никакого общего дела. Нету.
И выгода есть всегда. Абсолютно всегда. Даже если ты написал какую-то супер-пупер штуку, выложил её со всеми исходниками - выгода есть. Разрабатывая её ты получил level up. Соответственно, потом ты сможешь "предложить себя" работодателю за более крупные деньги.
Всегда есть выгода.
А песни о "духовности", "всеобщем деле", "Вселенском знании" и т.п. очень быстро пропадут, когда ребёнок попросит игрушку ему купить. А у тебя денег нет, т.к. ты "общим делом" занимаешься.
Спустись с небес на землю, жизнь штука сложная.

← →
Григорьев Антон © (2009-08-13 08:48) [52]

> Кто б сомневался © (13.08.09 00:47) [45]
> А че вирус то делает?

По ссылке в [0] есть код этого вируса на Delphi. Все желающие могут самостоятельно разобраться, что он делает.

← →
oxffff © (2009-08-13 09:08) [53]

> Rouse_ © (13.08.09 00:10) [33]
>
> > xayam © (12.08.09 23:45) [29]
>
> Не нужно разводить панику :) Защита скайпа достаточно примитивна
> и подход очень стандартен для более менее желающего казаться
> защищенным приложения, ты бы посмотрел какие трюки выкидывают
> реально защищенные программы, старфорс тот-же как пример
> :) Ну или например несколько наших продуктов используют
> прямые вызовы sysenter/int2e в обзод кернела и нтдлл (что
> само по себе достаточно чревато в руках непонимающего что
> он творит программиста), применяет недокументированные аналоги
> опкодов (ну например вместо опкода int3 выглядящего как
> CCh можно использовать байткод CDh,03h), те-же call в середину
> инструкций, запутывающие анализатор дизассемблера, контроль
> DR регистров для определения факта отладки, рассчет энтропии
> шифрованных секций кода для определения факта распаковки
> части программы.

Еще есть трюки с

#UD Invalid Opcode (Undefined Opcode)
Fault No UD2 instruction or reserved
opcode

P.S. Но на wasm есть соответствующие статьи противодействия. :)

← →
Anatoly Podgoretsky © (2009-08-13 09:34) [54]

> antonn (13.08.2009 00:14:35) [35]

Как же ты сам то работаешь?

← →
Rouse_ © (2009-08-13 09:36) [55]

> xayam © (13.08.09 00:24) [37]
> а Вы, что разрабатываете? Если не секрет :)

Сметное ПО, но дорогое, поэтому массовое пользование неликвидной версии данного ПО для нас будет не рентабельно. Приходится изобретать :)

> oxffff © (13.08.09 09:08) [53]

Ну ты же сам понимаешь что на каждый такой трюк есть контртрюк, для которого тоже найдется контр и далее-далее :) Выиграет в итоге тот, кто менее ленив и более усидчив :)
(а вообще параною тут поймать можно на раз) :))

← →
Anatoly Podgoretsky © (2009-08-13 09:46) [56]

> Ega23 (13.08.2009 00:45:44) [44]

> Ты ещё очень молод.

Он исправится.

← →
Anatoly Podgoretsky © (2009-08-13 09:54) [57]

> xayam (12.08.2009 23:45:29) [29]

С тех пор появились новые факты.
В одно время сразу после включения скайпа начиналась некоторая очень подозрительная активность, попытки сотен соединений на порт 443, при выключение активность прекращается. Такое продолжалось пару недель, после активность пришла в норму.
Скайп был на ХР, файрвол на Линуксе, пробиться все равно у них не было надежды.

← →
antonn © (2009-08-13 10:21) [58]

>
> Как же ты сам то работаешь?

молча :)
права на чтение каталогов и файлов остались, этого хватает, а на папку project я не сбрасывал прав

← →
Полиграф Полиграфович (2009-08-13 10:26) [59]

А можно первый пост перевести на английский, если кому не сложно.

← →
RWolf © (2009-08-13 12:10) [60]

> А можно первый пост перевести на английский, если кому не
> сложно.

A new virus infects Delphi installations.
Infected program searches for installed versions of Delphi and modifies SysConst.dcu in each of them; old version is saved as SysConst.bak.
After infection all Delphi projects compiled on this computer start infecting Delphi at every computer they are launched on. The virus does not cause any harm except “Runtime error 3” exception which appears when infected program is launched if registry key HKEY_LOCAL_MACHINE\SOFTWARE\Borland\Delphi\x.0 (x =4–7) contains wrong RootDir value.

Check your Delphi versions and if you find SysConst.bak then do the following:
1. Remove SysConst.dcu
2. Copy SysConst.bak to SysConst.dcu. The remaining SysConst.bak keeps system from repeated infections.

← →
Григорьев Антон © (2009-08-13 15:59) [61]

Вот ещё два интересных поста по теме:
http://gunsmoker.blogspot.com/2009/08/delphi-delphi.html
http://habrahabr.ru/blogs/virus/66937/

← →
Andy BitOff © (2009-08-13 16:27) [62]

Мне больше всего понравилось это:
http://forum.cheatengine.org/viewtopic.php?t=416093&sid=d687c80980b69695658c403c0a65cbc5
Датированное, кстати, Apr 21, 2009

← →
TIF © (2009-08-13 17:38) [63]

> Забыл сказать: заражаются только версии Delphi с 4 по 7.

Ещё один плюс к моему мнению, что по жизни надо идти в ногу со временем )

← →
Пит (2009-08-13 18:34) [64]

> Rouse_ © (13.08.09 00:10) [33]

то есть, ваш основной продукт работает исключительно под правами администратора. И вызвано это только необходимостью защиты?

← →
Eraser © (2009-08-13 19:29) [65]

> [55] Rouse_ © (13.08.09 09:36)

> Сметное ПО, но дорогое, поэтому массовое пользование неликвидной
> версии данного ПО для нас будет не рентабельно. Приходится
> изобретать :)

а не рассматривали вариант онлайн-версии, по примеру гугла? вроде бы браузера вполне должно хватить для реализации UI такого рода софта.

← →
Piter © (2009-08-13 22:24) [66]

Eraser © (13.08.09 19:29) [65]

Ты хочешь лишить Розыча работы? Ирод ))

← →
Rouse_ © (2009-08-13 22:35) [67]

> Пит (13.08.09 18:34) [64]
> то есть, ваш основной продукт работает исключительно под
> правами администратора.

Чем вызван столь сумбурный вывод?

> Eraser © (13.08.09 19:29) [65]
> а не рассматривали вариант онлайн-версии

Зачем, если есть полноценный триал?

> вроде бы браузера вполне должно хватить для реализации UI
> такого рода софта.

Увы, врятли...

← →
Eraser © (2009-08-13 22:45) [68]

> [67] Rouse_ © (13.08.09 22:35)

> Зачем, если есть полноценный триал?

так взломают же, особенно если кто-нибудь задастся целью и выделит на это деньги. а с web-версией и взламывать то нечего.
ну я не в курсе специфики софта, просто если есть возможность сделать онлайн версию, то почему бы и нет? раз вопрос защиты поставлен на столько серьезно. или хотя бы часть логики вынести на сервер.

Eraser © (13.08.09 22:45) [68]

> ну я не в курсе специфики софта, просто если есть возможность
> сделать онлайн версию, то почему бы и нет? раз вопрос защиты
> поставлен на столько серьезно

Вот у MS-овских продуктов тоже вроде не абы как вопрос о защите поставлен (я имею в виду активацию), однако ж ломают. И онлайн версии они не делают.

> однако ж ломают

Слишком большое количество заинтересованных. Не думаю, что сметная программа столь популярна.

> [69] Игорь Шевченко © (13.08.09 23:07)

> И онлайн версии они не делают.

пока что не делают )

ну а вообще разве сравнить ОС и программу для работы с документацией и бухгалтерией, какой бы сложной она не была.

> И онлайн версии они не делают.

А вот это уже устаревшая информация :)

Microsoft продемонстрировала Office 2010
http://microsoft.com/rus/news/issues/2009/07/Office_2010.mspx

Корпорация также анонсировала три варианта доступности веб-приложений Office. Более 400 миллионов пользователей получат бесплатный доступ к новому сервису через Windows Live. Более 90 миллионов корпоративных клиентов смогут воспользоваться сервисом в рамках программ приобретения Office в рассрочку либо по годовой подписке. Кроме того, сервис будет доступен через веб-сайт Microsoft Online Services, где можно будет приобрести подписку на услугу.

Office "уходит в облака". Скорее весго онлайн-версия будет располагаться на домене office.com, который Microsoft на днях выкупила (сумма сделки скрывается)

Eraser © (13.08.09 23:26) [71]

> ну а вообще разве сравнить ОС и программу для работы с документацией
> и бухгалтерией, какой бы сложной она не была.

а речь не только об ОС, активация и в офисе была.

По сабжу - баян, давно уже были такие вирусы, которые залазили в системные юниты, в sysconst в частности.

Да — Касперский уже ловит сабж.

DrWeb уж дня три как ловит :)

странно, у меня был этот вирус, вроде сделал всё по инструкции, но eset теперь ругается на win32/delf.oqx и удаляет любой скомпиленный exe

это уже нечто другое или как?

> это уже нечто другое или как?

Это другое, видать последователи появились у вируса. Тот в ESET был WIN32/Induc.A

> это уже нечто другое или как?

погуглить не ё?
с касперского:
26 сентября 2008 Trojan-Downloader.Win32.Delf.oqz 12:09 15:38 Trojan-Downloader.Win32.Delf.oqy 12:08 15:38 Trojan-Downloader. Win32 >.< Delf >.< oqx 12:08 15:38
старье...и явно не к делфи)

xayam © (13.08.09 0:24) [37]
допустим конкретика есть, но нет так нет. Меня просто, как и автора статьи удивляет сочетание бесплатность программы/закрытый протокол, все эти противоотладочные действия и т.д. Неужели нас только двое?
По-моему, закономерно. Главное - конкурентов не будет (в отличие от аськи). Ну и мне кажется, что защита от вирусов тоже повышается.

Ega23 © (13.08.09 0:31) [41]
Ну вот например. Я разработал 3Д-движок (а-ля Контра). На базе данного движка я сделал игу и выложил её в сеть. Народ на неё подсел (да и движок оказался хорошим).
А че за игра?

Осторожно! Новый вирус, специфичный для Delphi Найти похожие ветки