Портативная мах.версия, подозрение трояна в плагине QSearch

Russian main discussion
Post Reply
  • Author
  • Message
Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Портативная мах.версия, подозрение трояна в плагине QSearch

Post by Helium »

Возможно ли освежить или дополнить плагины портативного лучшего текстового редактора Akelpad v4.9.8 в лучшей сборке ТС-10.50-Power-220707 SamLab лучшего командера, с помощью плагинов сайта Akelpad? Почти нет. Исследование.

Сохранил оригинальный Akelpad.ini сборки в Akelpad.ini0.
1. С сайта Akelpad загрузил все файлы. Версию x32, а не x64. Ибо x32 имеет больше плагинов, компактнее, быстрее грузится и работает, традиционнее. Из четырёх мест – http://akelpad.sourceforge.net/ru/download.php, сборку плагинов и отдельные плагины из http://akelpad.sourceforge.net/ru/plugins.php, и http://akelpad.sourceforge.net/files/. С датой модификации UTC-0/NTFS на их сервере, с точностью кажется 100 наносекунд. Лишь FireFox v25 2012г с плагинами 2012г умеет с датой. Новые броузеры утеряли много функций навсегда, а обрели лишь функцию IPv6. Удалил дубли за 5 минут автоматом, оставляя свежее по дате.

2. Загрузил файлы Akelpad из последней сборки TC, где даты модификации утеряны отчасти. Удалил дубли за ночь, оставляя свежее по тексту или дате. Неисполняемых больше на сотни, но половина наверно лишняя. С всеми языками, включая киргизский, и подсветкой синтаксиса даж descript.ion. Взял Akelpad с русским по умолчанию, потому включение опции русского (Russian.dll) лишь замедлит работу. Взял из ТС, ибо кажется он чуть новее русского Akelpad из сайта Akelpad.

3. Отключена автозагрузка плагина автосохранения файлов сессии? Включил – Настройки-Плагины-Sessions:Main, плюс поставил галочки Плагины-Сессии-Открыть-Настройки-Сессия – открыть при запуске OnExit, Сохранить при выходе OnExit. Ибо неудобно при запуске Akelpad каждый раз вручную грузить 100 текстовых файлов рабочего пространства для контекстных замен.

4. Отключена автозагрузка плагина отображения специальных символов? Не видны все спецсимволы, включая грязь – пробелы и табуляции на концах строк. Ошибёшься и с контекстными заменами концов строк, разных в Линуксе и Винде. Включил все спецсимволы – Настройки-Плагины-Sessions:SpecialChar:Main, плюс Плагины-Специальные символы-Включить все.
Мало заметны чёрные спецсимволы в чёрном тексте. Раньше было их выделение синим цветом (#3333CC = 51-51-204) в Akelpad v4.8.3 в сборке TC801-Power (2013) SamLab. Вернул цвет – Плагины-Специальные символы-Настроить.
Пробелов слишком много. Выделение многих пробелов спецсимволом 'Точка' шокирует глаза. Поставил белый цвет спецсимвола 'Точка', чтоб не шокировало. Тогда он виден лишь при выделении. Меняйте его цвет на умолчание, если надо видеть всегда.
Колонка номеров строк дублирует символы концов строк и число в строке статуса. Колонка лишняя. Отключить? Неизвестно. Пусть пока будет, пока не надоест. Изменился файл AkelPad.ini, возник файл Plugs\SpecialChar.ini.
Image

5. Можно донастроить опции Akelpad по советам инета:
А. Тот же размер буфера для для определения кодировки.
Б. 'Новый файл в формате UTF-8', чтоб редактор не надоедал сообщением о невозможности сохранить данные.
В. В новом файле 'Перенос строки Unix' одним символом, а не Win/MsDos двумя, чтоб легче делать контекстные замены, и лишние символы не мозолили глаза, и файл был компактнее, и не надо менять на Unix каждый раз.
В. 'Сохранение в Akelpad.ini', чтоб не сорил в реестр.
Г. 'Запоминать позицию каретки', чтоб переводил курсор туда, где было закончено редактирование в предыдущем сеансе.
Д. 'Запоминать кодировку', чтоб быстрей открывался файл без распознавания кодировки. Актуально при запуске на 100 файлов.
Е. 'Последние файлы' – в 4 раза увеличил с 5 до 20.
Ж. 'История поиска' – в 4 раза увеличил с 10 до 40.
З. Убрал запрос достижения конца документа и желаете ли продолжить поиск с начала документа. Раздражает.
И. Чёрный маленький курсор трудно увидеть в чёрном тексте. Хорошо бы выделить курсор красным цветом, миганием, тд. Поставил – 'Показывать активный столбец, активную строку с границей'. Не добавил в Akelpad.ini переменные HighLight_CaretColor=#FF0000 HighLight_ColumnColor=#FF0000 HighLight_LineBorderColor=#FF0000, ибо не влияют.
Сами добавляйте желаемое прочее.

6. Добавил запуск AkelPad.exe в загрузку с виндой, вернее в прогу PStart (с e:\PortableApps\ вместо c:\Program Files (x86)\), запускаемой у меня при старте винды. Тогда следующие запуски Akelpad откуда угодно в ноуте будут работать с этой версией AkelPad.

7. Запаковал старым Rar v4.20 с всеми датами UTC-0 (модификации, создания, чтения), для возможности распаковки легко. Ибо 7z не умеет с датой создания, по переписке с разработчиком 7z. А zip не умеет тож, и плохо понимает даты по UTC-0.

8. Как закинуть Rar на Яндекс? Теперь облако Яндекса требует номер мобилы, смс-уведомление, установку обновления KB4474419 на Win7-64. Если мобилы нет, то всё. Не закинешь Rar. Цифровизация? Боюсь скоро всем оденут западные ошейники и вставят чипы в головы. Актуально рыть себе могилку заранее или линять в пустыню Африки без цифровизаций.

9. Яндекс нашёл троян в Rar, отказался дать ссылку. Перебором нашёл заражённый файл AkelFiles\Plugs\QSearch.dll v7.9 2022-05-20 19:53:36. Содержится в QSearch.zip и сборке PlugsPack.zip плагинов. Кажется разработчик словил троян с мая 2022г. Лучше брать 5 главных исполняемых файлов из 2021г – из сборки ТС10.50 220707, включая QSearch.dll (v7.7 210517), Sessions.dll (211227), XBrackets.dll (v7.8 220513). Потому вернул исполняемые файлы Akelpad к сборке TC. Троян пропал. Тогда Яндекс дал ссылку http://yadi.sk/d/IU_9V_mT9lqoLA

Типа портативный максимальный Akelpad x32. Сфоткал скриншоты Png8 – разница с Akelpad ТС10.50, проверка троянов, выделение спецсимволов. Оптимизировал Png8 до предела.

10. Зарегистрировался тут. Сообщил подозрение на троян, на всякий случай.

Примечание. Разве обновления Win7 поддерживаются Микрософтом? Микрософт после внезапного запрета Win7, спустя 10 лет на днях вдруг продлила поддержку Win7 на пару лет. Ибо в мире людей с Win7 оказалось больше, чем с новой Win8-10-11 и новыми ноутами дороже в 10 раз политически. Ноуты с инетом становятся роскошью лишь для олигархов. Лучше бы они дали обновление инет-сертификатов Win7. Без них все броузеры слабы открыть 50% сайтов инета с июня-ноября 2021г (конец срока сертификатов Win7), кроме свежего FF с встроенными сертификатами.
Last edited by Helium on Fri Jul 29, 2022 9:26 pm, edited 13 times in total.

Offline
Posts: 39
Joined: Thu Aug 20, 2020 11:19 am

Post by texter »

только что проверил QSearch.dll на VirusTotal и лучше бы не обновлял...

https://prnt.sc/ojpg1NkT-oyg

кто подскажет как исправить эту ошибку, после даунгрейда? https://prnt.sc/4K4H39vQye1V

сам отвечу на свой вопрос:
нужно зайти в Options -> Plug-ins ... и найти QSearch::SelFindNext и убрать галочку и тогда ошибка исчезнет :x

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

texter, ещё лучше не убирать галочку, а сменить новый QSearch.dll на нормальный, чтоб на hdd не было таких файлов, для порядка.
Last edited by Helium on Fri Jul 29, 2022 9:50 pm, edited 8 times in total.

Offline
Posts: 39
Joined: Thu Aug 20, 2020 11:19 am

Post by texter »

Helium wrote: ещё лучше не убирать галочку, а сменить новый QSearch.dll на нормальный, чтоб на hdd не было таких файлов, для порядка.
Я нашёл у себя нормальную версию QSearch.dll и проверил её через VirusTotal, так как, извините, я вас тоже не знаю :) и потом просто непонятно было откуда исходила ошибка.

Helium wrote: У меня все проги портативны. 500 прог в стандартной папке e:\PortableApps.
PortableApps уже не доверяю, так как в LibreOffice находил трояна...

Вообще ужас какой-то, у меня больше нет времени заниматься виндой... Если пострадаю от малвари, то буду вынужден попрощаться с AkelPad и с виндой - навсегда.

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

texter, сборки TC SamLab тут. Выбирайте любую с любым Akelpad и QSearch.dll, проверяйте как хотите.
Last edited by Helium on Fri Jul 29, 2022 9:38 pm, edited 3 times in total.

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

Примечания. При регистрации на этом форуме, у меня спросили какова вторая и третья буква моего email. Но я в инете с 1980-х. Мои email-ы состоят из 1-2 букв. Пришлось заводить email с много букв, чтоб ввести третью букву и зарегистрироваться.
Last edited by Helium on Fri Jul 29, 2022 9:41 pm, edited 1 time in total.

DV
Offline
Posts: 1291
Joined: Thu Nov 16, 2006 11:53 am
Location: Kyiv, Ukraine

Post by DV »

Более месяца назад (конкретнее, 10.06.2022) отправил некоторым разработчикам антивирусов письмо про false-positive в файлах
https://github.com/d0vgan/AkelPad-Plugs ... es/tag/v79
По предыдущему опыту, разработчику антивируса требуется как минимум 3 месяца на то, чтобы: 1) рассмотреть заявку про false-positive 2) проанализировать свои алгоритмы и сделать соответствующие изменения 3) выпустить обновление с исправлением. И это в том случае, когда разработчик антивируса берёт заявку в работу.
Чтобы увеличить шансы рассмотрения заявки, можете написать про false-positive в этих файлах разработчику антивируса, которым пользуетесь.
Почему я уверен, что это false-positive? Потому что любой может скачать исходники, проанализировать их, собрать с помощью Visual Studio - и получить false-positive. Представленные здесь версии собирались с помощью Visual Studio 2005 и Visual Studio 2017:
https://github.com/d0vgan/AkelPad-Plugs ... es/tag/v79

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

DV, папка QSearch? Сколько антивирусов заметили троян? Проверяю:
22-05-20 19:53:36 v7.9 - 32 шт.
22-02-24 09:13:09 v7.8 - 1 шт.
21-05-17 18:59:27 v7.7 - 1 шт.
20-05-24 14:37:37 v7.6 - 1 шт.
Значит последняя нормальная версия v7.8.
А в v7.9 слишком много антивирусов заметили троян. Врядли это случайное ложное срабатывание.
Что произошло меж v7.8 (22-02-24 09:13:09) и v7.9 (22-05-20 19:53:36)?
Интересно, что в всех других dll, например XBrackets.dll (v7.8 22-05-13), трояна нет.
Либо троян появился только у вас, либо троян появился после 22-05-13, и до 22-05-20, то есть за эти 7 дней.

Видать ктото запустил завирусованный код на вашем ноуте.
Если на ноуте лишь винда и cpp, то завирусовался cpp или винда или всё.
Когда вы пишите прогу, то вызываете функции из include библиотек.
Когда вы компилите dll, то cpp прилепляет библиотеки с вашими вызываемыми функциями – свои и виндовые.
Если библиотеки завирусованы, то они попадают в ваш код dll автоматом, даж в случае без активного распространения вируса.

Скомпилируйте старые версии QSearch, типа v7.8, и вы получите новый код v7.8, завирусованный как v7.9.
Тогда вы поймёте, что это не ложное срабатывание антивирусов.

Как бороться против вирусов? Можно неделями искать антивирусы, проверять винду и cpp. Слишком долго, и врядли вылечишь завирусованные файлы.
Пробуйте удалить cpp, инсталить cpp заново. Но если троян попал в винду, то троян опять завирусует cpp. Тогда надо переустанавливать всё – винду+cpp. Пора готовить еду с песнями, кушать, спать, смотреть сны о мирах интереснее, и может не просыпаться тут больше никогда.

v7.8 стоит закинуть на сайт в QSearch.zip и сборку PlugsPack.zip плагинов, вместо QSearch v7.9, чтоб миллионы людей не пострадали от трояна, скачивая этот плагин QSearch. В x64 наверно также.

Вы ещё можете попросить знакомых с чистой системой и cpp скомпилить свежее v7.9, проверить на вирусы, и закинуть v7.9 на сайт, пока вы очищаете свою винду и cpp.

Offline
Posts: 1873
Joined: Mon Aug 06, 2007 1:07 pm
Contact:

Post by Infocatcher »

Любопытства ради и к вопросу о качестве работы современных антивирусов.
Оригинальный QSearch.dll v. 7.9:
https://www.virustotal.com/gui/file/cca ... 14d26439e3
После сжатия с помощью UPX и с сохранением всей функциональности:
https://www.virustotal.com/gui/file/c81 ... 3a96b3b46c
Уже всего 5 антивирусов видят что-то подозрительное.

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

Infocatcher, это обычное дело. Антивирусы лишь ищут в коде цепочки байт/команд по базе данных полгигабайта. Если запаковать код, то ничего не найдут. Не все антивирусы умеют распаковывать zip, rar, 7z. Тем более UPX. Потому проверять стоит на каждом этапе распаковки, или держать постоянно работающий тормозящий антивирус, проверяющий в памяти каждый код перед запуском. Вдобавок лишь редкие антивирусы умеют находить троян. Потому большинство антивирусов не срабатывает на троян никогда. Какой антивирус применяют корпорации Сша? Вспомнил McAfee, работающий постоянно.

DV
Offline
Posts: 1291
Joined: Thu Nov 16, 2006 11:53 am
Location: Kyiv, Ukraine

Post by DV »

Первый пошёл! Остальные пока молчат, но даже один шаг - это уже продвижение вперёд!
Image

DV
Offline
Posts: 1291
Joined: Thu Nov 16, 2006 11:53 am
Location: Kyiv, Ukraine

Post by DV »

Ответ от Microsoft:

Image

Offline
Posts: 7
Joined: Sat Jul 23, 2022 3:07 am

Post by Helium »

DV, на вашем месте, я бы не очень надеялся на трекер. Работал в таких фирмах. Если ошибка массовая или критический customer типа Microsoft, Boeing, то исправят за месяц. Это если остались опытные прогеры, чтоб найти ошибку и исправить. В ином случае исправят за 2-4 мес. Это если ошибка простая. В остальных случаях ошибка уходит в долгий ящик. В долгом ящике Microsoft 500 тысяч трекеров официальных, и 500 тысяч неофициальных. Не исправить за 200 лет. Быстрее и дешевле написать новое с нуля. Но у монополистов всё слишком консервативно и заорганизовано.
Делайте что хотите. Но возможно в Akelpad быстрее както сделать так, чтоб нынешние антивирусы не срабатывали на плагин QSearch-v7.9.dll.

DV
Offline
Posts: 1291
Joined: Thu Nov 16, 2006 11:53 am
Location: Kyiv, Ukraine

Post by DV »

Дело потихоньку движется.

Состояние на 04 сентября: 31/68
Image


Состояние на 20 сентября: 25/69
Image


На данный момент подтвердили false positive следующие антивирусы:
Microsoft Defender, ESET, VBA32, Fortinet, Sophos, Avira, Symantec.

Продолжаю "обхаживать" McAfee (поддержка постоянно требует или новые данные или уже предоставленные ранее).
Никакого ответа от Elastic.
Антивирусу Panda могут сообщить про false positive только зарегистрированные пользователи.
Антивирус K7 - нужно разбираться. Одни источники говорят, что только для зарегистрированных пользователей, другие предлагают отправить на support e-mail.
Alibaba - не нашёл информации про этот антивирус.
Google - не нашёл информации про этот антивирус.
Post Reply