Zmiana rozmiaru pliku wykonywalnego (* .exe) podczas przesyłania pliku z jednego komputera na inny

Mam dziwny problem z plikiem wykonywalnym en. Kiedy przesyłam ten plik wykonywalny z komputera A na komputer B za pomocą komunikatora IP, zmienia się jego rozmiar. Funkcjonalnie nadal zachowuje się w ten sam sposób. Ponownie, gdy przesyłam dalej plik z komputera B na komputer C, plik wykonywalny powraca do pierwotnego rozmiaru. Próbowałem porównać oba te pliki wykonywalne o różnych rozmiarach za pomocą porównania HEX i zmieniło się całkiem sporo bajtów.

Co mogłoby być tego przyczyną?

UWAGA: Wszystkie te systemy używają systemu operacyjnego Windows.

windows

— Saurabh Gandhi
źródło

Czy ostatnio zaktualizowałeś definicje wirusów? Czy możesz również potwierdzić, że hash (jak CRC32) również się zmienia?

— Gleno,

Różne rozmiary bloków mogą spowodować niewielką zmianę rzeczywistego rozmiaru pliku, ale zawartość pliku nie powinna się zmienić.

— user55325

@Gleno: Po prostu FYI, ale CRC32 nie jest prawdziwym „hashem” i łatwo go zderzyć. W celu zapewnienia integralności plików MD5 lub SHA są lepsze.

— user1686

@ grawitacja, prawdopodobieństwo, że dwa różne pliki generują ten sam CRC32, jest wystarczająco niskie. Masz rację, że istnieją lepsze skróty, ale CRC32 jest bardzo częstym sprawdzaniem integralności plików.

— Gleno,

@Gleno: Tak, ale tylko przed przypadkowym uszkodzeniem, a nie złośliwym oprogramowaniem. (Niepowiązane, ale interesujące: wiele ISO dystrybuowanych przez Microsoft ma FFFFFFFF jako CRC32.)

— 1686

Odpowiedzi:

W przeszłości miałem problemy z konwersją CR / LF -> CR lub konfliktami w trybie przesyłania plików ASCII / binarnych w wielu kontekstach przesyłania plików. Jeśli teoria wirusów nie działa, możesz pójść tą ścieżką, aby sprawdzić, czy tak się dzieje w twoim przypadku.

— baitisj
źródło

Jeśli przeniesienie pliku wykonywalnego z systemu A do systemu B zmienia go w jakiś sposób, i przeniesienie go z powrotem do systemu A, najwyraźniej zmienia go z powrotem, to powiedziałbym, że jest to powszechny objaw infekcji wirusowej. Oznacza to, że plik EXE jest zainfekowany. Jednak w oryginalnym systemie (A) wirus ten jest aktywny i sprawia, że rozmiar pliku należy zgłaszać tak, jak był pierwotnie. Jednak sprawdzając skopiowany plik w „czystym” systemie (B) widać różnicę.

Moja rada to przesłanie pliku EXE z systemu B (gdzie plik wydaje się większy) do VirusTotal , który sprawi, że zostanie sprawdzony za pomocą wielu programów antywirusowych jednocześnie, w ciągu kilku minut. Jeśli plik jest zainfekowany, najprawdopodobniej go znasz.

— haimg
źródło

Czy możesz wyjaśnić, dlaczego wirus sprawia, że plik wydaje się większy w systemie? Teoretycznie wydaje mi się, że widziałem, jak może to wpłynąć na to, co narzędzie może wyświetlić jako rozmiar. Czy brakuje mi innej możliwości?

— Belmin Fernandez

Gdy wirus infekuje plik, dodaje do niego swój ładunek, więc plik rośnie. Aby uniknąć wykrycia, w zainfekowanym systemie (gdzie wirus jest rezydentem i jest aktywny), pokazuje rozmiar pliku taki, jaki był przed infekcją. Ale jeśli skopiujesz ten plik do czystego systemu, zobaczysz jego prawdziwy rozmiar, jaki był przed zainfekowaniem, plus rozmiar wirusa.

— haimg

Ciekawość: czy wiesz, w jaki sposób wirus może kontrolować, jaki rozmiar pliku jest zgłaszany?

— Belmin Fernandez

Tak. Wiele lat temu pracowałem w firmie antywirusowej. Zasadniczo piszesz sterownik filtra systemu plików ... Następnie możesz robić wszelkiego rodzaju „śmieszne” rzeczy, np.

— Zwracać

Dzięki za wgląd! +1, ciekawe rzeczy. Przepraszam za styczną :-)

— Belmin Fernandez