Wenn Konsolen-App unsichtbar dann heuristischer Virenfund

[larsk81]

Hi Leute,

um eine Konsolenanwendung unsichtbar laufen zu lassen entferne ich immer das "{$APPTYPE CONSOLE}" aus dem Code. Was seinen Zweck bisher auch gut erfüllte.

Bei einer winzigen Konsolenanwendung, die lediglich per CreateProcess eine harmlose exe-Datei ausführt (an der exe wird es wohl nicht liegen, da ich testweise verschiedene ausprobiert habe), habe ich plötzlich Warnungen durch Avira Antivir Personal, die Datei sei evtl. gefährlich.
Sobald ich die Zeile

//{$APPTYPE CONSOLE} zu
{$APPTYPE CONSOLE} ändere, erscheinen die Warnungen nicht mehr.
Ich habe die Datei auf http://www.virustotal.com testen lassen. Die Version die nicht unsichtbar ist wird von keinem Scanner bemängelt. Die unsichtbare wird heuristisch von 3/42 Scannern (7,32%) als potentiell gefährlich verdächtigt.

Hat jemand evtl. einen Rat für mich, wie ich das oben genannte verhindern kann bzw. wie ich eine Anwendung korrekt unsichtbar machen kann (wenn es eben geht ohne dass ganz kurz ein DOS-Fenster erscheint und die Anwendung erst dann unsichtbar wird)? Herzlichen Dank.

[himitsu]

Das ist dann aber auch keine Konsolenanwendung mehr, sondern eine nur fensterlose GUI-Anwendung.
Und dieses kann für den Scanner schon ein Grund zur Warnung sein.


Wieso muß diese Anwendung denn "unsichtbar" sein?
Geh doch einfach den normalen Weg ... binde eine Form ein und eige diese nicht an,
aber normaler Weise macht man dann wenigstens noch ein TryIcon mit rein, zum Bediehnen der Application.

[larsk81]

Gibt es denn einen korrekten Weg eine Anwendung unsichtbar zu starten, oder ist das generell verdächtig?
Unsichtbare Anwendungen können doch manchmal sehr nützlich sein, und man möchte sie ja nicht immer als Dienst laufen lassen...

[himitsu]

joar, gibt es ... hab's oben grad dazueditiert
(da reicht es übrigens auch, wenn nur Application gestartet wird (da ist schon ein "unsichtbares") Steuerungsfenster drinnen.

PS: wenn du kein Fenster in der Anwendung verwaltest und es auch keine Consolenanwendung ist, dann sollte Windows dein Programm, wenn es "länger" läuft und keine Windowsbotschaften verarbeitet, auch als "hängend" ansehn.


Und ja, ich würde auch eine Anwendung erstmal als "verdächtig" ansehn, wenn sie einfach so (vielleicht noch ohne mein Wissen) im Hintergrund laufen würde.

[larsk81]

Super danke, läuft.

mein jetziger Weg: Neue VCL-Formularanwendung -> in dpr-Datei wie unten stehend auskommentiert

Delphi-Quellcode:

//Application.Initialize;
//Application.MainFormOnTaskbar := True;
//Application.CreateForm(TForm1, Form1);
//Application.Run;

und statt dessen Code eingefügt. So wie ich Dich verstanden habe meintest Du das mit "binde eine Form ein und eige diese nicht an"

Jedenfalls ists laut virustotal.com jetzt unbedenklich

[himitsu]

also wenn nicht zufällig eine der zusätzlich eingebundenen Units was geändert hat ... auskommentiertet Code landet nicht im Compilat und ist somit nutzlos


Application.Initialize; und dann ab und zu mal die Nachrichtenschleife abarbeiten ... sowas hätte ich vorgeschlagen.

[Apollonius]

Die VCL-Units haben so einiges im Initialization-Abschnitt, das reicht anscheinend.