AutoIt-Programme aufspüren

Hallo allerseits!

Diesmal komme ich (ihr werdet es kaum glauben ) mit einer Idee, statt einer Frage, die ich nirgendwo im Forum als passend befinden konnte:

Da die "AutoIt-Kriminalität" zunimmt, heißt gerne Keylogger, Bots etc. geschrieben werden, dachte ich mir, ein "AutoIt-Antiviren-Programm" zu programmieren, dass halt auf dem Computer nach komiliereten Exes, die auf AutoIt zurückzuführen sind, in den Autostarts, Diessten etc. sucht, und darauf hinweist. Auf Wunsch kann das Skript dann Decompiliert und eingesehen werden. Eventuell sollte auch eine Art "Quarantäne" intengriert sein...

Außerdem sollten Skripts zum Analysieren an Freiwillige "eingesendet" werden können...

Was haltet ihr davon?

Ich fand die Idee in sofern gut, als dass man sich dann besser vor fremden Exes schützen kann...

Gut, das werde ich morgen sofort in Angriff nehmen!

Ich bin nur auf die Idee gekommen, da ich schon auf meinem Computer 2 Keylogger als Dienste gefunden hab...

Einen Freiwilligen hätte ich ja schon

Edit: Ich hab mir das angeschaut, verstehe es nur leider nicht ganz...

Ich habe jetzt erst mal alles "strukturiert":

Das Programm soll Downloads "abfangen", dann überprüfen, ob es sich um ein AutoIt-Projekt handelt.
Wenn ja, soll es wie folgt verfahren:
Eine Md5-Checksumme dürfte sich ja bei jedem veränderten Buchstaben auch verändern...
Also sollte die Md5-Checksumme verglichen werden mit welchen aus der Datenbank.

Wird kein Vergleich gefunden, bzw. einer der neagitv ist, wird eine Meldung ausgegeben, man sollte doch bitte das Programm einsenden.
Das kommt dann an mich, ich frage den Autor, ob ich mehr Infos bekommen darf...
Falls nicht, muss das Programm zwischen weiße und schwarze Liste aufgeschireben werden...

Ist das so ein "gesundes" Konzept?

Kann mir jemand wegen den einzelnen Punkten etwas "Starthilfe" geben?

Ich möchte mich noch einmal genauer zu meiner Begründung äußern, damit klar wird, warum ich dieses Projekt verwirklichen will:

Immer mehr Neulinge fragen nach Bots, Keyloggern usw. Sogar Trojaner sind möglich, was jeder AutoIt-Skripter mit etwas Erfahrung bestätigen kann! Von Viren wollen wir gar nicht erst sprechen! Mindestens 5% der Threats im Hilfeforum werden aus solchen Gründen gepserrt, das sind genau 5% zu viel!

Warum tun es immer mehr Leute

Weil AutoIt die Möglichkeit bietet

Ich finde, auch wenn nicht jeder meine Meinung unterstützen wird, dass wir als Community mit dafür verantwortlich sind, was mit AutoIt gemacht wird.

Schon aus reinen Gewissensgründen habe ich mich für dieses Projekt entschlossen. Immerhin geht jeder, der Fragen beantwortet, das Risiko ein, dass er bei so einem Programm mithilft... Ich habe vor dieses Projekt durchzubringen, wenn es sein muss, mach ich es alleine. Die exes werden nicht ohne Zustimmung des Autors dekompiliert! Es wird immer erst der Autor angeschrieben, und amn wird um Inforamtionen zum Skript gefragt...

Ich würde mich über weitere Meinungen sehr freuen, auch wenn diese gegen meinen Vorschlag sind...

Hallo!

Erstmal danke für deine Atnwort! Ich erlaube mir mal, zwischen den Zeilen zu ziteieren!

> Die Lizenzbedingungen von AutoIt verbieten Dekompilierung
Wie geseagt, ich hole mir eine Genehmigung.

> Theoretisch Computersabotage
Wieso Computerabotage?

> Kein böser Programmierer würde dich dekompilieren lassen
Eben deshalb werden diese Programme dann auf die "Warn-Liste" bei konkretem Verdacht sogar auf die "Block-Liste" geschrieben

> Jeder verwendet einen (im Zweifel modifizierten) Obfuscator, was den "Quellcode" wertlos macht
Dann werde ich mit dem Autor genauer reden müssen...

> Jeder Virenscanner macht es besser als es in AutoIt möglich ist (Behavioural Blocking z.B.)
Ich benutze Eset NOD32, und der blockt jede AutoIt-Exe (es gibt einen sog. AutoIt-Wurm)
Dieses Programm würde Klarheit verschaffen...

> Jeder Virenscanner ist schneller als du
Es geht nicht um Performance, sondern um Sicherheit.
Außerdem kontrolliert das Programm nur kurz die Downloads...

Nein, mir den Source-Code zusenden lassen, eine Lösung wird sich finden...

Edit: Sonst kommt mir folgende Idee, den Source Code kompiliere ich auch und vergleiche dann die Md5-Checksummen...

Wie gesagt, durch solche illegalen Programme verliert AutoIt Tag für Tag an "Ansehen". Mein Virenscanner blockt alles was mit AutoIt zu tun hat ab, sogar Gandela...

Ich versuche dem entgegenzuwirken...

Achso, und wenn das Decompilieren verboten ist, warum ist dann im AutoIt-Paket ein Decompilierer enthalten, wenn auch nicht für die aktuelle Version?

Ja, das mit dem Ausnehmen ist klar, aber wer garantiert mir, dass da doch nicht was ist?

Wenn ich eine exe testen will, dann gehe ich immer ein Risiko ein...

Das meine Idee auf solchen Widerstand stößt wusste ich nicht, ich wollte nur eine Maßnahme gegen die illegallen "Produkte" machen. Was ist, wenn ich mir eine exe ganz wo anders her ziehe? Es kann isch trotzdem um einen Keylogger etc. handeln...

Nein, sie würden nicht auf die schwarze Liste kommen....

Ich übertreibe keineswegs.

Außerdem ist mein Antivirenprogramm nicht das einzige. Ich denke, dass die Betreiber nur schlechte Erfahrung mit AutoIt-Programmen gemacht haben...

Aber wenn ihr diese Idee für so unötig haltet, könnt ihr den Thraet ja löschen...

Es war nur eine Idee...

Also, die Sandbox hatte ich bereits installiert, die hat aber leider zu unsichere Schutzmechnamismen, die man umgehen kann (soweit habe ich es verstanden, wenn ich falsch liege, tut mir Leid )

Virtuelle Pcs hab ich auch (Virtual Box), doch leider funktioniert da nichts, was die CPU stark beanspruchen würde, da der Arbeitsspeicher ja nur ein Drittel so groß ist, wie der echte und eine gute Grafikkarte wird auch nicht imitiert...

Naja, eigentlich hat sich das Thema ja mehr oder weniger erledigt...

Zitat von Xenobiologist

1) alle exe Dateien untersuchen und feststellen ob es ein AutoitSkript ist. (sollte klappen)
Man muss daran denken, dass unter Windows das Skript auch hugo.autoit heißen kann und trotzdem ausgeführt werden kann. auch ohne .exe.

Das könnte dann ja ausgeweitet werden

Zitat von Xenobiologist

2) Du hast nun die Liste aller Dateien die Autoit Quellcode enthalten. Und nun?

Dann würde die Md5-Checksumme ermittelt werden und mit der aus der Datenbank verglichen werden, falls das mit der Md5-Checksumme geht...

Ansonsten würde dann eine Meldung ausgegeben werden...

Theoretisch ja, nicht alles würde auch sofort auf die Blacklist kommen, sondern mehr auf die Grey-List, beid er nur eine Warnung ausgegeben wird.