Ändern Sie die Größe der ausführbaren Datei (* .exe), während Sie Dateien von einem PC auf einen anderen übertragen

Ich habe ein seltsames Problem mit einer ausführbaren Datei. Wenn ich diese ausführbare Datei mit IP Messenger von PC A auf PC B übertrage, ändert sich ihre Größe. Funktionell verhält es sich immer noch genauso. Wenn ich die Datei weiter von PC B auf PC C übertrage, wird die ausführbare Datei wieder auf die ursprüngliche Größe zurückgesetzt. Ich habe versucht, diese beiden ausführbaren Dateien unterschiedlicher Größe mit HEX compare zu vergleichen, und es gibt ziemlich viele Bytes, die sich geändert haben.

Was könnte der Grund dafür sein?

HINWEIS: Alle diese Systeme verwenden das Windows-Betriebssystem.

windows

— Saurabh Gandhi
quelle

Haben Sie in letzter Zeit Ihre Virendefinitionen aktualisiert? Können Sie auch bestätigen, dass sich auch der Hash (wie CRC32) ändert?

— Gleno

Unterschiedliche Blockgrößen können zu einer geringfügigen Änderung der tatsächlichen Dateigröße führen, der Inhalt der Datei sollte sich jedoch nicht ändern.

— user55325

@Gleno: Nur zu Ihrer Information, aber CRC32 ist kein echter "Hash" und leicht zu kollidieren. Für die Dateiintegrität sind MD5 oder SHA besser.

— user1686

@grawity, die Wahrscheinlichkeit, dass zwei verschiedene Dateien denselben CRC32 ausgeben, ist niedrig genug. Sie haben Recht damit, dass es bessere Hashes gibt, aber CRC32 ist eine sehr häufige Überprüfung der Dateiintegrität.

— Gleno

@Gleno: Ja, aber nur gegen versehentliche Beschädigung, keine Malware. (Nicht verwandt, aber interessant: Viele von Microsoft verteilte ISOs haben FFFFFFFF als CRC32.)

— user1686

Antworten:

In der Vergangenheit habe ich Probleme mit CR / LF -> CR-Konvertierung oder Konflikten im ASCII / Binärübertragungsmodus in zahlreichen Dateiübertragungskontexten festgestellt. Wenn die Virennutzlasttheorie nicht funktioniert, sollten Sie diesen Weg gehen, um zu sehen, ob dies in Ihrem Fall geschieht.

— baitisj
quelle

Wenn die Übertragung einer ausführbaren Datei von System A auf System B sie auf irgendeine Weise ändert und die Rückübertragung auf System A sie anscheinend wieder ändert, würde ich sagen, dass dies ein häufiges Zeichen für eine Virusinfektion ist. Das heißt, die EXE-Datei ist infiziert. Auf dem ursprünglichen System (A) ist dieser Virus jedoch aktiv und bewirkt, dass die Dateigröße wie ursprünglich gemeldet wird. Wenn Sie jedoch die kopierte Datei auf einem "sauberen" System (B) überprüfen, können Sie den Unterschied erkennen.

Mein Rat ist, die EXE-Datei von System B (wo die Datei größer zu sein scheint) auf VirusTotal hochzuladen, wo sie innerhalb weniger Minuten mit vielen Antivirenprogrammen gleichzeitig überprüft wird. Wenn die Datei infiziert ist, wissen Sie es höchstwahrscheinlich.

— haimg
quelle

Können Sie erläutern, warum ein Virus eine Datei auf einem System größer erscheinen lässt? Theoretisch könnte ich sehen, wie sich dies auf die Anzeige eines Dienstprogramms als Größe auswirken könnte. Vermisse ich eine andere Möglichkeit?

— Belmin Fernandez

Wenn ein Virus eine Datei infiziert, fügt er ihre Nutzdaten hinzu, sodass die Datei wächst. Um eine Erkennung zu vermeiden, wird auf einem infizierten System (auf dem der Virus resident und aktiv ist) die Dateigröße wie vor der Infektion angezeigt. Wenn Sie diese Datei jedoch auf ein sauberes System kopieren, sehen Sie die wahre Größe, die sie vor der Infektion hatte, sowie die Größe der Virennutzlast.

— Haimg

Neugier: Wissen Sie, wie ein Virus steuern kann, welche Größe für eine Datei gemeldet wird?

— Belmin Fernandez

Ja. Ich habe vor vielen Jahren in einem Antiviren-Unternehmen gearbeitet. Grundsätzlich schreiben Sie einen Dateisystem-Filtertreiber ... Dann können Sie alle Arten von "lustigen"

— Dingen ausführen

Danke für den Einblick! +1, interessantes Zeug. Entschuldigung für die Tangente :-)

— Belmin Fernandez