Virus/Win32.Induc.a是這是Delphi感染型病毒,通過感染Delphi庫文件中的SysConst.dcu文件,進而使Delphi編寫的所有文件染毒,目前尚不知其危害,網上說其沒有危害。 該病毒實際上并不具有危害性,只是其更改了庫文件后使編譯生成的所有程序均帶有不正常代碼,而其代碼行為即為以上描述。 這個病毒具有二次感染能力,也就是說原來你編譯出來的所有Delphi程序都可以再次感染你機器上的Delphi庫文件
win32/induce.a病毒的解決方法。
1、不要運行任何Delphi編寫的程序。
2、使用殺軟掃描所有的Delphi編寫的可執行文件并清除病毒。(或直接刪除所有哦的Delphi編寫的可執行文件,包括從網上下載的)
3、將文件 %DelphiInstallPath%/Lib/SysConst.dcu 刪掉,然后執行步驟4 或 步驟5和6。
4、將文件 %DelphiInstallPath%/Lib/SysConst.bak 改名為 SysConst.dcu,結束。
5、調用 DCC32.exe 編譯出新的 SysConst.dcu ,編譯命令如下: %DelphiInstallPath%/bin/DCC32.exe "%DelphiInstallPath% //Source/Rtl/Sys/SysConst.pas"
6、將新編譯的SysConst.dcu(在%DelphiInstallPath%/Source/Rtl/Sys/目錄下)文件復制到 %DelphiInstallPath%/Lib/ 目錄,結束
如何區分病毒
如果你的DELPHI安裝目錄里的Lib/SysConst.dcu,有17K,就說明中招了
正常大小是12K左右, 修復這個文件再重新編譯程序就不會有問題了
病毒特性:
Win32/Induc.A 病毒的目標文件是使用Borland Delphi匯編的程序。
當被感染文件運行時,病毒通過以下注冊表的"RootDir"值查詢Borland Delphi安裝的根目錄:
HKLM/Software/Borland/Delphi/4.0
HKLM/Software/Borland/Delphi/4.0
HKLM/Software/Borland/Delphi/5.0
HKLM/Software/Borland/Delphi/6.0
HKLM/Software/Borland/Delphi/7.0
一旦找到,它就會從%DELPHI_RootDir%/source/rtl/sys/SysConst.pas復制到%DELPHI_RootDir%/lib/SysConst.pas,并添加惡意腳本代碼到新的文件上。
隨后它使用CreateProcessA API包括Delphi Pascal Compiler可運行程序(%DELPHI_RootDir%/bin/dcc32.exe),運行并編譯修改的"SysConst.pas"文件。
最后,位于%DELPHI_RootDir%/lib文件夾的"SysConst.dcu"文件將被修改。因此,所有的Delphi程序被編譯后都被感染。
原始的"SysConst.dcu"文件被保存為"SysConst.bak"文件,在%DELPHI_RootDir%/lib/目錄中被復制和修改"SysConst.pas"文件將被刪除。
|
新聞熱點
疑難解答
圖片精選