induc.2

← →
Anatoly Podgoretsky © (2011-08-12 22:36) [0]

http://news.drweb.com/?i=1829&c=23&lng=ru&p=0

← →
TUser © (2011-08-12 23:24) [1]

Давно когда-то думал, почему нет вирусов, заражающих сырцы стандартных библиотек. Ну вот, есть.

← →
DVM © (2011-08-12 23:26) [2]

> TUser © (12.08.11 23:24) [1]

Так он уже давно есть (года 4), вон уже вторая версия вышла :)
А вообще идея красивая.

← →
Inovet © (2011-08-12 23:34) [3]

> [1] TUser © (12.08.11 23:24)
> Ну вот, есть.

Как-то QIP им заражён был, первой версией.

← →
alexdn © (2011-08-12 23:35) [4]

> DVM © (12.08.11 23:26) [2]
> Так он уже давно есть (года 4), вон уже вторая версия вышла
Да, точно, я даже эту гадину своими глазами видел.. через qip подхватил.

← →
TUser © (2011-08-12 23:38) [5]

С одной стороны потенциальных жертв меньше, чем у обычного трояна - машины программистов на конкретном языке, кроме того, можно предполагать, что программисты в среднем продвинутее домохозяек, и у них есть антивирус. С другой стороны, зараженный пользователь раздает свои программы (т.е. копии вируса).

В массово продаваемую программу у такого вируса все-таки очень немного шансов залезть, имхо. Скорее это вирмейкерство, как искусство.

← →
alexdn © (2011-08-12 23:47) [6]

> TUser © (12.08.11 23:38) [5]
> В массово продаваемую программу у такого вируса все-таки
> очень немного шансов залезть, имхо.
Как это.. первой версией именно qip был заражен, довольно громкое дело было, они даже извинились.. qip-овцы всмысле.

← →
Rouse_ © (2011-08-12 23:53) [7]

> TUser © (12.08.11 23:38) [5]
> В массово продаваемую программу у такого вируса все-таки
> очень немного шансов залезть, имхо. Скорее это вирмейкерство,
> как искусство.

Угу, а в массово не продаваемую (QIP например) по всей логике легко...
Вообще смех и грех, батонокидатели негодуют...

← →
alexdn © (2011-08-13 00:24) [8]

> Anatoly Podgoretsky © (12.08.11 22:36)
Вот, это о первой версии, отголоски, так сказать.. http://vesti.kz/internet/22958/

← →
Юрий Зотов © (2011-08-13 06:33) [9]

Предусмотрительно я когда-то придумал, оказывается. Сразу после установки Delphi всем ее стандартным исходникам и DCU ставлю Read Only. Сделано это было еще до появления индюков, для подстраховки от случайной порчи - а оказалось, что и в антивирусном смысле тоже полезно. Не 100%, конечно, но все же лучше, чем ничего.

← →
Anatoly Podgoretsky © (2011-08-13 07:59) [10]

> TUser (12.08.2011 23:38:05) [5]

Да ты что, первая версия просуществовала 4 года, прежде чем ее стал
обнаруживать антивирус. QIP это массиовый продукт или нет?

← →
Anatoly Podgoretsky © (2011-08-13 08:02) [11]

> Юрий Зотов (13.08.2011 06:33:09) [9]

Все хорошо, для защиты от случайной порчи, но ничего не дает для вирусов,
если водку не ключница делала, то защита будет отключена до записи.

← →
antonn © (2011-08-13 13:57) [12]

> Предусмотрительно я когда-то придумал, оказывается. Сразу
> после установки Delphi всем ее стандартным исходникам и
> DCU ставлю Read Only.

а я вот средствами ntfs запрещаю запись, и только для "учетки-инсталлятора" разрешаю, что-то не сильно верю в флаг RO...

← →
Дмитрий Белькевич (2011-08-14 14:49) [13]

Интересно на предмет потенциального заражения линукса через открытые сырцы.

← →
Anatoly Podgoretsky © (2011-08-14 15:01) [14]

> Дмитрий Белькевич (14.08.2011 14:49:13) [13]

Так там и заражают, поскольку бинарники там мало распространимы.

← →
_alex (2011-08-16 01:52) [15]

> Сразу после установки Delphi всем ее стандартным исходникам
> и DCU ставлю Read Only.

Индюк файлы переименовывает, так что атрибут не поможет.

А вот устанавливать программу в Program Files и работать не под администратором - вполне.

← →
Дмитрий С © (2011-08-16 02:07) [16]

Спорный вопрос насчет антивируса у программистов:)

← →
Омлет © (2011-08-16 07:53) [17]

Первой версией был заражен не только qip, а ещё и aimp, как минимум.

← →
Inovet © (2011-08-16 11:07) [18]

Название индюк от слова индукция?

← →
Омлет © (2011-08-16 12:17) [19]

> Название индюк от слова индукция?

Нет. in dcu -> induc

> Омлет (16.08.2011 12:17:19) [19]

In Delphi Unit Code

> In Delphi Unit Code

Не надо придумывать. Касперские сами писали, что индюк - игра слов от in dcu, они же дали это название.

Так вирус dcu или pas файлы заражал?

← →
Полвторого (2011-08-19 14:27) [24]

> [24] Полвторого (19.08.11 14:27)
> А я почему-то сразу подумал об индусах…

Тогда бы проект в Делфи не собрался или не запустился без ошибок.

> Так вирус dcu или pas файлы заражал?

"Если он обнаруживает, что Delphi установлена и версия правильная, он копирует из папки Source в папку Lib нужный ему .pas-файл, в данном случае это был sysconst.pas и дописывает в него свой код. Переименовав в .bak старый dcu-файл, зловред компилирует зараженный pas-файл и получает новый sysconst.dcu, который содержит зловредный код. Зараженный pas-файл больше не нужен, и он его удаляет." (c)

> Inovet © (19.08.11 14:33) [25]
> Тогда бы проект в Делфи не собрался или не запустился без ошибок.

Ну нашли-то его именно благодаря ошибке в коде вируса )

induc.2 Найти похожие ветки