Вирус в Delphi-плагинах

[ProgMan13]

В моих двух есть (в ICLRead и в ICLView).
Вирус не опасный и селиться в SysConst.dcu в папке Lib, т.е. владельцы Delphi (4-7 версий), возможно, уже с этой заразой.

http://www.kaspersky.ru/news?id=207733037
http://gunsmoker.blogspot.com/2009/08/d ... elphi.html
http://habrahabr.ru/blogs/virus/66937/

[Alextp]

NOD32 от него лечит?

[Tol!k]

Здесь http://gunsmoker.blogspot.com/2009/08/d ... elphi.html пишут:
> поищите строчку “closefile(f2);” (без кавычек, разумеется) ... Таким же образом можно проверить и собранный exe-файл.
В ICLRead 1.4 и ICLView 5.5.2009 эту строку не нашёл. Эти версии не заражены или всё-таки строку нужно искать в исходнике?

[Avada]

Tol!k
Похоже — заражены. У меня Avast! на них ругается, а при онлайновой проверке на www.virustotal.com заразу обнаруживают от трети до половины антивирусов.

[Tol!k]

Avada
Да, обнаруживают.

[DrShark]

Аддоны CopyToTabs и Tc_But_Exe, а также плагин Mover.wcx заражены. Успешно лечатся как минимум Касперским с последними базами, так что обновляйте базы вашего антивируса.
Обсуждение Delphi-вируса на ghisler.ch

[Avada]

Поскольку не все пользуются Касперским, можно ли куда-то выложить пролеченные версии плагинов и аддонов?

[DrShark]

2Avada
http://www.multiupload.com/24CLO0IRS4
Здесь пролеченные дистрибутивы последнего mover.wcx, CopyToTabs 4.2.6.5 и 5.0, а также TC_But_Exe (трудно сказать, какой версии).

[Avada]

DrShark
Спасибо. А как в этом смысле дела с ICLRead и ICLView?

[DrShark]

DrShark
Спасибо. А как в этом смысле дела с ICLRead и ICLView?

В тех версиях, что есть у меня, Касперский ничего не находит.
В любом случае, лучше дождаться обновлённых версий от ProgMan13.

[Avada]

DrShark
В ICLRead 1.4/1.4.1 и ICLView от 5.05.09 Avast! и CureIt видят вирус, но не могут вылечить файлы. Касперский при онлайновой проверке не видит ничего. Так что действительно лучше всего ждать правильных версий от разработчика.

[ProgMan13]

Про NOD32 ничего сказать не могу.
Файлы пакованные, поэтому строки в них не найти.
А бяка SysConst.bak и SysConst.dcu была у меня.
Старый, получается, уже вирус
В течение недели обновлю.

[CJ Flash]

DrShark
Спасибо. А как в этом смысле дела с ICLRead и ICLView?

Вирус в плагинах есть однозначно — достаточно снять пакер (UPX), да и автор уже это признал. Жду обновления, а пока что отправил посылку Касперским… :)
UPD: С базами от 21.08.2009 9:07:00 вирус в указанных плагинах обнаруживается Касперским. К сожалению, без возможности лечения.

[Athlon-XP]

Скачал вчера ICLView 5.5.2009 а сегодня NOD32 v2.37 обнаружил Win32/Induc.A Пришлось вернуться на версию 3.10.2006
Результат на VirusTotal = 17/41 (41.47%)
К сожалению NOD32 v2.37 и DrWeb v5.0 (CureIt!) его определяют, но не лечат, а Kaspersky v7.0 (AVPTool) и AVZ (отправил им в базу) его даже не определяют.
Спасибо автору плагина, что хоть догадался убрать его с WinCmd.ru, а вот то что выставил на раздачу зараженный файл - это большой минус
Надо всё таки понимать, что плагин очень популярный, а также что WinCmd.ru очень популярный и надежный ресурс и получать оттуда такую гадость очень неприятно.
Надеюсь уважаемый автор этого (и других) хороших плагинов сделает для себя выводы...

[Avada]

Athlon-XP
Надеюсь, уважаемый новый участник форума обратит в свою очередь внимание, что в этой теме:
а) часть информации его поста повторяет уже сказанное;
б) никто из форумчан до этого не пытался читать нотации (даже с оговорками и реверансами) автору плагинов, который, кстати, сам же эту тему и создал.