Virus infects Delphi

[hoika]

Hallo,
ab dem 01.01.2016 bringt der Internet Explorer eine Warnung, wenn eine Exe
ohne SHA-256 Signierung heruntergeladen wird.

Lade die Datei doch mal testweise mit Firefox herunter.


Heiko

[Burki]

Hat nichts mit dem Herunterladen selbst zu tun.
Ich kompiliere die Datei auf dem XP Rechner, dort startet diese auch so wie sie soll.
Dann kopiere ich die neue Exe auf einen Win7 Rechner, und ersetze die aktuelle Version.
Daraufhin kommt nur die Sanduhr und wenn ich in die Prozessliste schaue, steht die Anwendung dort 3x als Prozess und tut nichts mehr. Verwende ich die Vorgängerversion dann geht es. Die Änderungen zwischen den beiden Versionen ist nur eine Veränderung einer Eigenschaft an einem Grid gewesen...

[hoika]

Hallo,
OK,
und wenn die diese Änderung wieder zurücknimmst?

Wir signieren unsere Exe'n immer per SignTool mit einem Code-Sign-Zertifikat (ab 01.01. mit SHA-256).

Damit meldet sich auch kein Virenscanner mehr und sagt "Delphi-Trojan" (oder ähnlich).


< Öffne ich eine andere komplilierte Datei die schon seit Jahren bei mir auf dem Win7 Rechner ist, tut die auf einmal das gleiche... >
Das wäre ja eine 2. Baustelle.
Passiert das auch auf einem anderen Win7-Rechner?
Hast du mal einen Neustart geamcht und dann nur diese "die schon seit Jahren bei mir auf dem Win7 Rechner ist"-Datei gestartet?

Virenscanner ausschalten/deinstallieren wurde ja bereits gesagt (?).



Heiko

[Burki]

Ähm, aktueller Stand: Ich glaubs ja nicht.
Es liegt am Avast Virenscanner. Ich habe diesen mal deaktiviert und dann die Anwendung noch mal ausgeführt.
Dann ging es! Avast hat mir aber nicht mal eine Meldung gegeben das er aktuell etwas blockiert!
Es wurden wie gesagt 3 Prozesse meiner Anwendung angezeigt, aber es ist nichts weiter passiert...
Bei Virustotal ist meine Exe auch sauber?!?!? Hä??? (habs zwar jetzt in die Ausnahmeliste aufgenommen, aber das kann doch nicht sein?!)

[Burki]

Die Vorgängerversion ist übrigens gelaufen ohne das ich dafür eine Ausnahme erstellen musste.
Aber bei einem alten Editor (den ich mal vor Jahren programmiert habe und auch seit Jahren auf dem Win7 Rechner liegt, ging es auch nicht). Der ging aber vor ein paar Wochen noch.
Also entweder ist ein Virenupdate von Avast daran Schuld oder ich habe keine Erklärung!

[Darlo]

Auch wenn es jetzt mehrfach geschrieben wurde: Signierst Du mit SHA 256?!?
Falls nicht wird das sehr wahrscheinlich Dein Problem lösen. Avast hat bei uns auch seit diesem Jahr exen die nur mit SHA1 signiert waren geblockt. Ohne Meldung.

[Burki]

Nein, ich signiere nicht. Ich weiß ehrlich gesagt auch gar nicht wie das geht.
Da brauch ich wohl ein Zertifikat z.B. von VeriSign oder so ähnlich? Oder ist das ganz einfach?
Die Vorgängerversion die nicht signiert war lief auch problemlos, ich habe keine Ahnung warum auf einmal ein paar Anwendungen geblockt werden, und dann auch noch ohne Meldung...