1 und 1 verhindert email Annahme mit Delphi EXE attachment (erledigt)

[jobo]

Hallo,

ich habe hier schon öfter gelesen, dass irgendwelche Virenprogramme Fehlalarm schlagen bei Delphi Exen.
Nun habe ich es selbst erlebt.
Eine Email wurde zurückgewiesen. Der Anhang ist ein gezipptes Delphi5 Programm.
Die Email kommt zurück mit dem Text: contains a virus (13:CLAMAVUA.Win32.Packer.BorlandDelphi-14 ())

Mein AVG zuckt weder bei der gezippten noch bei der ungezippten Datei.
Ist das nun so ein Fehlalarm?

Die Exe habe ich selbst kompliliert.

Wäre nett, wenn dazu jemand was sagen kann.

[Bernhard Geyer]

Lade es mal bei Virustotal.com hoch und schau ob da alle Scanner zuschlagen.
Wenn es nur 1-2 sind ist die Wahrscheinlichkeit eines False-Positive sehr hoch.

Nimmst du evtl. auch einen Exe-Packer? Falls ja lass das. Diese Exe-packer werden öfter mal angemeckert.

[himitsu]

Wobei die unveränderten/originalen großen Packer inzwischen bei vielen AV-Scannern keine Probleme mehr bereiten.

z.B. nahezu alle größeren/bekannteren Virenscanner erkennen UPX, entpacken es und schauen nochmals rein.

[jobo]

Das ist mit der Windowssystemfunktion/context menu zu .zip gepackt.
Virustotal werde ich mal ausprobieren.

Mir fällt grad ein, ich kann es ja zur Probe auch unverpackt schicken. (Falls es an dem Packer liegen sollte)

Danke für die Tippse.

[hoika]

Hallo,

auf Arbeit signieren wir unsere Exen mit einem Zertifikat.
Dann ist dieser Delphi-Trojaner-Warnungskram sofort weg.


Heiko

[jobo]

Die ungezippte Exe bringt die gleicher mailer Antwort.
virustotal zeigt aber Detection ratio: 0 / 41, keiner zuckt!
Wobei ich die grafische Anzeige rot/grün mit Teufel und Engel 0:0 nicht verstehe. Aber vielleicht gilt das für bereits bekannte Dateien.

Dann ist vielleicht der ClamAV scanner auf der Gegenstelle veraltet.

Danke nochmals!

@hoika: Das ist eine gute Idee. Da ich nun aber das erste mal in die Verlegenheit gekommen bin, werde ich erstmal abwarten, wie sich das entwickelt.

[Dalai]

Einfachste Lösung: ZIP-Archiv mit Passwort schützen. Dann können die Scanner nicht mehr ins Archiv schauen. Wichtig bleibt aber: niemals ein Executable (ganz gleich welcher Art, ob EXE, DLL, VB*, CMD usw) direkt an eine Mail hängen, sondern immer in ein Archiv (RAR, ZIP, 7Z oder sonstwas) packen!

MfG Dalai

[implementation]

Zitat von Dalai:

Wichtig bleibt aber: niemals ein Executable (ganz gleich welcher Art, ob EXE, DLL, VB*, CMD usw) direkt an eine Mail hängen, sondern immer in ein Archiv (RAR, ZIP, 7Z oder sonstwas) packen!

Begründung?

[jobo]

Passwortschutz:
Es geht mir ja nicht darum, einen Scanner auszutricksen.
Wenn er richtig analysiert, ist doch alles bestens.

Es ging mir eher darum, wie ich die Scanneranalyse bewerten bzw prüfen kann.
Falls das jeden Tag 20x passiert, wär es natürlcih wieder was anderes.

[himitsu]

Das Bewerten wurde ja nun schon erwähnt, vorallem wenn man (s)einem Scanner nicht ganz traut und es nochmal gegenprüfen/vergleichen will:
> virustotal.com und seine Freunde

Wenn die EXE aber OK ist, dann gibt es nur Einen/Zwei, an welchen du dich wenden kannst.
- dich > einfach keine EXEn (potentiell gefährliche Dinge) per Mail verschicken ... für Thunderbird und Co. gibt es sogar Plugins, welche (gewisse) Dateiangänge irgendwo hochladen (z.B. eigener FTP oder ein Hoster) und den Link in die Mail einfügen

- den, welcher hier rumzickt ... hier also den Mailprovider



Wenn dir das Essen nicht bekommt, dann versuchst du doch auch nicht dich, bzw. deinen Magen/Gaumen dafür anzupassen, damit dir nicht wieder schlecht wird, wenn du's nochmal tust.