# Virus oder Packer?



## Aka-Aka (5 Februar 2006)

Antivir7 überschlägt sich in meinem Dialeraquarium mit einer Warnmeldung, Dateien seien mit "PCK/Yodacrypt" gepackt. Was ist das? 
Kann man sich diesen Packer irgendwo gefahrlos besorgen und weiss jemand, wie man den einsetzt? (DAU aka ist schon stolz, mit UPX einigermassen klar zu kommen  )


----------



## Captain Picard (5 Februar 2006)

Aka-Aka schrieb:
			
		

> Antivir7 überschlägt sich in meinem Dialeraquarium mit einer Warnmeldung, Dateien seien mit "PCK/Yodacrypt" gepackt. Was ist das?


http://www.viruslist.com/en/viruses/encyclopedia?virusid=94432


> Net-Worm.Win32.Bozori.i (Kaspersky Lab) is also known as: W32/Bozori.worm.gen (McAfee), *  PCK/YodaCrypt (H+BEDV),*   Exploit.Based.Worm.Gen (SOFTWIN),   Worm.Mytob.Crypt.Gen (ClamAV)
> Detection added 	Sep 23 2005
> Behavior 	Net-Worm
> 
> Currently there is no description available for this program.


die  Meldung ist wohl  etwas irreführend, es ist ein wunderschöner  Wurm...

cp

PS: http://vil.mcafeesecurity.com/vil/content/v_135511.htm


> W32/Bozori.worm.gen
> Aliases
> Name
> no known aliases


Mcafee kennt sich mit den Namen  der Konkurrenten wohl nicht so gut aus..


----------



## Aka-Aka (5 Februar 2006)

Also die Meldung kommt z.B. bei einem Dialer, der früher gar nicht erkannt wurde (sonst hätte ich die exe bereits umbenannt)

Ist ein Dataline-Dialer (siehe Dataline/global-acces/Dialerplatform), den ich über Google fand. Warum wird der plötzlich als "Yodacrypt"-gepackt erkannt und - mit Warnmeldung versehen?

Wenn yodacrypt ein packer wäre, den man sich besorgen könnte, könnte ich ein paar weitere Fische sezieren... wenn's ein Wurm ist, wird halt umbenannt


----------



## Devilfrank (5 Februar 2006)

Yodascript ist in dem eigentlichen Sinne kein Packer sondern ein Crypter. Soll heißen: 
Mithilfe von Yodascript wird verschleiert, dass es sich um ein UPX-gepacktes Programm handelt. Damit wurden/werden Antivirenprogramme übertölpelt, die dann mit ihren Entpackungsroutinen nicht zugreifen konnten/können. 

Wenn Du Yodascript finden willst, nimm eine Taschenlampe mit. Es wird sehr dunkel sein - da, wo Du suchen musst...


----------



## Aka-Aka (5 Februar 2006)

Devilfrank schrieb:
			
		

> Es wird sehr dunkel sein - da, wo Du suchen musst...


Wird wohl ein Fall für mein geliebtes Internetcafè "Machbaldpleite" ... Wunderschönes Ambiente, gute Getränke, immer leer, immer ungestört 
Aber wenn ich das so lese, was ich bisher fand, würde es eher ein Wettrennen: Habe ich einen Hauch von Ahnung, ehe der Laden pleite ist?


----------



## Heiko (5 Februar 2006)

Kannst Du mir die Datei mal zuschicken?
Die, die der Scanner bemängelt?


----------

