Einzelnen Beitrag anzeigen
Alt 10.03.2010, 18:09   #57 (Direktlink)
AHT
Super-Moderator
 
Registriert seit: 15.02.2009
Beiträge: 10.768
Standard

Als erstes habe ich den an die EXE angehängten XProfan-PRC-Quellcode "untersucht". Das, was man als Code geschrieben hat, wird scheinbar beim Linken als PRC an die Runtime hinter die Resource angehängt. An dem Codewort RGH-PROFANF DATEI kann man erkennen, wo der angehängte "Quelltext" anfängt (bitte korrigieren, wo irgendwas nicht stimmt).
Als erstes habe ich den Bereich mit einem Hexeditor überschrieben, in em sich vermutlich der Quelltext befindet, der die intgrierte DLL erzeugt. Verwendet habe ich hierzu NOPs (Opcode)

Auf das Ändern dieser Sequenz reagierten
  • McAfee+Artemis
  • Panda
Die zeigten dann keine Virenmeldung mehr.

Auf das Überschreben des gesammten Codes reagierten keine weiteren Scanner.

Der Grund für diese Meldungen scheint darin zu liegen, das Profan bei der Erzeugung der EXE den Quelltext codiert und damit eine größere Wahrscheinlichkeit schafft, das daraus sinnvolle Opcode-Sequenzen entstehen. Das einfügen der DLL ist (scheinbar) nicht direkt der Grund, erhöht aber leicht die Wahrscheinlichkeit, das es zu solchen Meldungen kommt.
Es ist damit zu rechnen, das auch EXE Dateien, die mit reinem Profan erzeugt wurde, früher oder später vereinzelt solche Virenmeldungen hervorrufen.
__________________
______________

Bitte Schnelltest durchführen: Neuer Virus, ahnungslose User seit Monaten infiziert!

Mfg

AHT
AHT ist offline   Mit Zitat antworten