Induc, o File infector inovador

A kaspersky em nota informou sobre um novo tipo de file infector, o qual é direcionado para usuários Delphi, a Kaspersky ainda disse que este virus não leva risco para que não tenha o Delphi instalado, ao que tudo indica este file infector é direcionado apenas para desenvolvedores.

Leia abaixo nota da Kaspersky

Recentemente acrescentamos a detenção de um file infector os nossos bancos de dados, para algo que chamamos o Vírus. Win32. Induc.a. Desde então, tivemos uma grande carga de perguntas sobre ele. Ele não tem atualmente uma carga de praga maliciosa, e ele não infecciona diretamente arquivos.exe. Em vez disso, ele verifica se Delphi é instalado na máquina de vítima, procurando versões 4.0, 5.0, 6.0 e 7.0.

Se o malware realmente encontrar uma destas versões Delphi, ele copia SysConst.pas a \Lib e escreve-lhe o seu código. Ele então faz um apoio de SysConst.dcu, chamando-o SysConst.bak (dcu arquivos são guardados em \Lib). Ele então compila \Lib\SysConst.pas que dá uma versão infeccionada de SysConst.dcu. O arquivo.pas modificado é eliminado.

"uses windows; var sc:array[1..24] of string=('uses windows; var sc:array[1..24] of string=(', 'function x(s:string):string;var i:integer;begin for i:=1 to length(s) do if s[i]', '=#36 then s[i]:=#39;result:=s;end;procedure re(s,d,e:string);var f1,f2:textfile;', 'h:cardinal;f:STARTUPINFO;p:PROCESS_INFORMATION;b:boolean;t1,t2,t3:FILETIME;begin', 'h:=CreateFile(pchar(d+$bak$),0,0,0,3,0,0);if h<>DWORD(-1) then begin CloseHandle', "

O resultado – qualquer programa Delphi compilado no computador é infeccionado. (Já tivemos uma companhia que em contato conosco para queixar-nos de algo que eles pensavam ser um positivo falso.) Talvez este determinado vírus não é tão a maior a ponto de uma ameaça: não é a primeira vez que vimos este método de propagação, o próprio código é primitivo, não há nenhuma outra carga paga, e há modos muito mais fáceis de infeccionar máquinas. Mas no passado vimos que as novas rotinas de infecção são apanhadas, torcidas, e tomadas além disso. Estaremos vigiando este, a título de prevenção

Nota traduzida por mim, link'>http://www.viruslist.com/en/weblog?weblogid=208187826"]link para o conteúdo original