डेल्फी के लिए इंडस अभी भी एक खतरा है

इस पेज पर सभी को बधाई!

आज, मेरे दोस्त, अन्य चीजों के साथ, डेल्फी पर 2 डी गेम विकसित करने के लिए, मुझे अपनी अगली छोटी चीज भेज दी। भरोसा करें लेकिन सत्यापन करें! - मैंने सोचा, और अच्छी पुरानी परंपरा के अनुसार, मैंने फ़ाइल को VirusTotal को भेजा। परीक्षण के परिणामों की प्रतीक्षा करने के बाद, खिलौने को जल्दी से किसी तरह गायब करने की इच्छा गायब हो गई ... परीक्षण के परिणामों की तालिका की कुछ कोशिकाओं में, पहले से ही परिचित शब्द "इंडुक" सुंदर लाल रंग में लिखा गया था। मैं एक चीख़ की कमी पर थोड़ा हैरान था (ओह, ऐसा लगता है कि वह मेरे एंटीवायरस के लंबे समय से ऐसा नहीं कर रहा है), मैं इसे हल करने के लिए गया था। लेकिन एंटीवायरस कंपनी के प्रतिनिधियों के साथ नहीं, बल्कि संक्रमित फ़ाइल के उपकरण के साथ।

2009 की गर्मियों के अंत को याद करते हुए, जब इंडुक न केवल डेल्फी प्रोग्रामिंग के प्रति उत्साही, बल्कि कई लोकप्रिय कार्यक्रमों, जैसे क्यूआईपी और एआईएमपी को संक्रमित करने में कामयाब रहा, और यह देखते हुए कि मैं पहली बार अपने दोस्त की फाइलें लॉन्च नहीं कर रहा था, मैंने पहली बार फैसला किया। अपनी स्थापना की जाँच करें। एक खाली प्रोजेक्ट संकलित करने के बाद, मैंने उसे उसी VirusTotal में भेजा - कोई टर्की नहीं है!
थोड़ा शांत होने के बाद, मैं वर्चुअल मशीन शुरू करता हूं और डेल्फी को स्थापित करना शुरू करता हूं। भूलने के लिए कोई समय नहीं है, मुझे 2009 की गर्मियों का अंत याद है और कई इंटरनेट मंचों पर चर्चा करता है कि यह मूक कैसे काम करता है, गुणा करता है, और मैं समझता हूं कि आपको Google जैसी किसी चीज़ का उपयोग करने की आवश्यकता है। हालांकि, आलस्य अधिक मजबूत है, और इसके अलावा, इंस्टॉलर ने आईडीई की स्थापना के सफल समापन पर सूचना दी।
मेरे लिए पहली चीज़ यह थी कि प्रोसेस मॉनीटर को शुरू किया जाए और देखें कि संक्रमित फ़ाइल कहाँ पर पॉप अप हुई है। जल्दी से नहीं कहा!



स्क्रीनशॉट से पता चलता है कि SysConst.pas फ़ाइल में बार-बार कुछ लिखने के बाद, खिलौना डेल्फी कंपाइलर (dcc32.exe) की ओर मुड़ता है, जाहिर है कि इस पीएएस फ़ाइल को संकलित करने के प्रयास के साथ।
आगे की हलचल के बिना, डेल्फी को स्थापित करने के बाद वर्चुअल मशीन की प्रारंभिक स्थिति में वापस आ गया, मैं अपने exe-shnik को DCC32.EXE फ़ाइल के बजाय इस सामग्री के स्रोत कोड के साथ पर्ची करता हूं:



और इसलिए, copy.pas फ़ाइल में, यहाँ pastebin.com/QT0tEVJb क्या है
मूल SysConst.pas के साथ तुलना करते हुए , हम देखते हैं कि यह दुर्भावनापूर्ण लाइनों के साथ पूरक है।

थोड़ी खुदाई के बाद, मुझे एक फॉर्मेटेड सोर्स कोड pastebin.com/KpmuSii9 (मेरी टिप्पणियाँ) मिला।

जैसा कि आप देख सकते हैं, स्टार्टअप पर, सबसे पहले, यह किसी तरह से चेक किया जाता है कि क्या प्रोग्राम डिबगर के तहत है (क्यों?) और NT-सिस्टम पर लॉन्च किया गया है या नहीं, अन्यथा निष्पादन बंद हो जाता है।
अगला, डेल्फी के स्थापित संस्करण और उसके फ़ोल्डर के पथ की तलाश में रजिस्ट्री में वायरस क्रॉल करता है।
फिर एक प्रक्रिया कहा जाता है कि मूल SysConst.pas फ़ाइल को पढ़ता है, इसमें हानिकारक लाइनें जोड़ता है और इसे lib फ़ोल्डर में बचाता है, अर्थात, उसी स्थान पर जहां SysConst.dcu फ़ाइल स्थित है। उसके बाद, वही प्रक्रिया संकलक शुरू करती है, जिससे संक्रमित फ़ाइल SysConst.dcu प्राप्त होती है। यह दुर्भावनापूर्ण स्रोत को भी हटाता है और नई SysConst.dcu फ़ाइल के निर्माण, अंतिम उपयोग और संशोधन का समय निर्धारित करता है क्योंकि यह अपने पूर्ववर्ती के साथ था।
और लाइन 'कार्पेथियन फ़ॉरेस्ट CF1.3 बॉन्डेडबायब्लड' SysConst.p फ़ाइल पर लिखी गई है

ऐसा लगता है कि सभी को, Induc ने अपना काम किया ... लेकिन अभी भी कुछ अप्रयुक्त प्रक्रियाएं हैं जो कम हानिकारक कार्यक्षमता को लागू नहीं करती हैं। इसलिए चेक प्रक्रिया शुरू करते समय, यह जाँच की जाती है कि यह 13 अक्टूबर 2010 है या अधिक, यदि यह है, तो एनालाइज प्रक्रिया शुरू की गई है। यह प्रक्रिया पहले hal.dll, urlmon.dll, userinit.exe, logoff.exe, rasapi32.dll, explorer.exe, ntdetect.com फ़ाइलों को अधिलेखित करती है, फिर C: Z से ड्राइव पर सभी फ़ाइलों की खोज करती है और ठीक इसी तरह से वे चक्रीय रूप से स्ट्रिंग 'कार्पेथियन फ़ॉरेस्ट CF1.3 बॉन्डेडबायब्लड' लिखकर खराब कर दिए गए हैं, जो शून्य वर्णों के किलोबाइट के साथ पतला है। इस सब के अंत में, एक विंडो खुलता है जिसके शीर्षक ' TODAY IS A NICE DAY TO DIE' है। 'और' कारपैथियन वन CF1.3 बॉन्डेडबायब्लड 'पाठ।
हालांकि, लेखक ने इन सभी विशेषताओं को छिपाने के लिए चुना (या बस कनेक्ट करना भूल गया)।

यह भी उल्लेखनीय है कि वायरस थोड़ा पुराना है (दिनांक 2010-10-13 के बाद से स्रोत में दिखाई देता है), और सबसे लोकप्रिय एंटीवायरस हैं जैसे कि न तो एक सपना और न ही एक आत्मा ... इस तरह के एक साधारण वायरस का पता लगाने में कठिनाई क्या है?