24. August 2009

Die Virenanalysten von Doctor Web haben Mitte August in die Dr.Web Virendefintionsdatei ein Dateivirus hinzugefügt, welches Delphi infiziert. Der Schädling nennt sich Win32.Induc. Er verbreitete sich aktiv innerhalb von mehreren Monaten, war aber für Anwender wegen schwacher Funktionalität unsichtbar. Wenn man aber eine Riesenzahl von infizierten PCs und potenzielle Varianten des Schädlings berücksichtigt, trügt der Schein eines harmlosen Wesens.

Win32.Induc infiziert eine von Dateien, die bei der Projektkompilation in Delphi verwendet werden. Die kompilierten Projekte verbreiten dann das Virus weiter. Der digitale Schädling infiziert nur die Anwender, die installierte Delphi-Versionen von 4 bis 7 haben. Er modifiziert die Bibliothek SysConst.dcu, die bei der Projektkompilation verwendet wird. Bei der Kompilation jedes einzelnen Delphi-Projektes, das die modifizierte Bibliothek verwendet, entsteht eine Anwendung, die eine Funktionalität eines authentischen Virus besitzt.

Das Virus erfüllt nur einen Zweck: es soll sich vervielfältigen. Es gibt keine anderen Funktionen. Dr.Web Antivirenlösungen detektieren und desinfizieren Win32.Induc, weil er für Anwender eine offensichtliche Gefahr darstellt. Die Ausgangstexte dieses Virus sind frei verfügbar. So können sich deshalb andere Interessenten und Virenschreiber entsprechende Techniken zunutze machen.

Die in Delphi entwickelten Programme wurden zum Virenträger und lösten bei der Verbreitung eine Kettenreaktion. Infizierte Dateien konnten bei hunderttausenden Anwendern detektiert werden. Solche beeindruckenden Zahlen sind darauf zurückzuführen, dass Win32.Induc vielen Anwendern keinen Schaden zufügte. Die Verbreitungsplattform für Malware boten beliebte Softportale und CDs, die verschiedenen PC-Magazinen angehängt waren.

Neben lizenzierter Software wurden auch die Anfertigungen der Virenschreiber infiziert. Solche Trojaner wie Trojan.PWS.Banker.30321, Trojan.DownLoad.44695, die in Delphi entwickelt wurden, sind selbst von Win32.Induc infiziert.

Dieses Virus verbreitet sich ähnlich wie DOS-Viren. Solche Techniken wurden beim unschädlichen HLLP.BeginPas eingesetzt, der Ausgangstexte der Programme in der Programmierersprache Pascal infizierte.

Nachdem wir einen Algoritmus zur Desinfektion von Win32.Induc erarbeiteten, ging seine Aktivität sofort zurück.

Wenn Ihr System infiziert wurde, empfehlen wir Ihnen das Desinfektionstool Dr.Web CureIt zu benutzen. Die mit Dr.Web geschützten Anwender sind von Win32.Induc nicht gefährdet.