Modifica delle dimensioni eseguibili (* .exe) durante il trasferimento di file da un PC a un altro

Riscontro uno strano problema con il file eseguibile. Quando trasferisco questo eseguibile dal PC A al PC B usando IP Messenger, le sue dimensioni cambiano. Funzionalmente, si comporta ancora allo stesso modo. Ancora una volta, quando trasferisco ulteriormente il file dal PC B al PC C, l'eseguibile torna alle dimensioni originali. Ho provato a confrontare entrambi questi file eseguibili di dimensioni diverse usando HEX Compare e ci sono molti byte che sono cambiati.

Quale potrebbe essere la ragione di ciò?

NOTA: tutti questi sistemi che utilizzano il sistema operativo Windows.

windows

— Saurabh Gandhi
fonte

Hai aggiornato le definizioni dei virus di recente? Inoltre, potresti confermare che anche l'hash (come CRC32) cambia?

— Gleno,

Differenti dimensioni dei blocchi potrebbero causare una modifica minore delle dimensioni effettive del file, ma il contenuto del file non dovrebbe cambiare.

— user55325

@Gleno: FYI, ma CRC32 non è un vero "hash" ed è facile scontrarsi. Per integrità dei file, MD5 o SHA sono migliori.

— user1686

@grawity, la probabilità che due file diversi producano lo stesso CRC32 è abbastanza bassa. Hai ragione nel dire che esistono hash migliori, ma CRC32 è un controllo molto comune per l'integrità dei file.

— Gleno,

@Gleno: Sì, ma solo contro la corruzione accidentale, non il malware. (Non correlato, ma interessante: molti ISO distribuiti da Microsoft hanno FFFFFFFF come CRC32.)

— user1686

Risposte:

In passato ho riscontrato problemi con CR / LF -> conversione CR, o conflitti di modalità di trasferimento binario ASCII / in numerosi contesti di trasferimento file. Se la teoria del payload del virus non viene visualizzata, potresti voler seguire questo percorso per vedere se questo sta accadendo nel tuo caso.

— baitisj
fonte

Se il trasferimento di un eseguibile dal sistema A al sistema B lo modifica in qualche modo, e il trasferimento di nuovo al sistema A apparentemente lo cambia di nuovo, allora direi che è un segno comune di un'infezione da virus. Cioè, il file EXE è infetto. Tuttavia, sul sistema originale (A) questo virus è attivo e rende la dimensione del file da segnalare com'era in origine. Tuttavia, controllando il file copiato su un sistema "pulito" (B) è possibile vedere la differenza.

Il mio consiglio è, caricare il file EXE dal sistema B (dove il file sembra essere più grande) su VirusTotal , che lo farà controllare con molti antivirus contemporaneamente, nel giro di pochi minuti. Se il file è infetto, molto probabilmente lo saprai.

— haimg
fonte

Puoi spiegare perché un virus dovrebbe far apparire un file più grande su un sistema? Teoricamente, immagino di poter vedere come potrebbe influenzare ciò che un'utilità potrebbe visualizzare come dimensione. Mi sto perdendo un'altra possibilità?

— Belmin Fernandez,

Quando un virus infetta un file, aggiunge il suo payload ad esso, quindi il file cresce. Per evitare il rilevamento, su un sistema infetto (in cui il virus è residente e attivo), mostra la dimensione del file com'era prima dell'infezione. Ma se copi quel file su un sistema pulito, vedi la sua vera dimensione, che è quello che era prima che fosse infettato più la dimensione del payload del virus.

— haimg

Curiosità: sei a conoscenza di come un virus è in grado di controllare quali dimensioni sono riportate per un file?

— Belmin Fernandez,

Sì. Ho lavorato in un'azienda di antivirus molti anni fa. Fondamentalmente scrivi un driver di filtro del filesystem ... Quindi puoi fare tutti i tipi di cose "divertenti", ad esempio restituire file di dimensioni diverse a seconda di chi lo sta chiedendo, ecc.

— haimg

Grazie per la comprensione! +1, cose interessanti. Scusate la tangente :-)

— Belmin Fernandez,