Virus im Projekt?

[Schlingel]

Hallo

vor ca.1 Jahr hatte ich auch laufend Virus-Warnungen wenn mein Projekt den Namen Projekt1.exe" hatte sobald ich den Namen änderte war alles ok. Eine Rückfrage bei Avira ergab dass "Projekt1" in irgendeiner Viren-Signatur enthalten sein und daher der Virenschutz ansprang.

- Probier einfach mal das Projekt1 auf Projekt oder einen anderen Namen umzubenennen.

Schlingel

[Erutan]

Vielen Dank für den Tipp.

Hat aber leider nicht geholfen
https://www.virustotal.com/de/file/2...is/1395481554/

[himitsu]

Zitat von Erutan:

Hat aber leider nicht geholfen
https://www.virustotal.com/de/file/2...is/1395481554/

Kann man sehen, wie man will ...

86% Der Scanner sagen es ist OK
und vorallem die großen/bekannten Scanner haben da nichts zu bemängeln.

Lösung: Schick dein Programm an die Hersteller der Scanner, welche rummeckern, und bitte sie um Prüfung/Berichtigung.


Hatte das auch einmal bei Avira gemacht.
Programm und Quellcode (war eh OpenSource und nichts Hochgeheimes) an die geschickt und keine halbe Stunde späte war mein Programm plötzlich doch virenfrei, da der Fehlalarm repariert wurde.

[Erutan]

Unglaublich: Das Ergebnis wird besser wenn man das Programmicon auswechselt.

https://www.virustotal.com/de/file/c...is/1395481973/

Dagegen schein der Name nicht mal so wichtig zu sein.
Hier ein älteres Spielzeug von mir, einen "Telekinesetester", den ich nie umbenannt habe, dem ich aber ein anderes Programmicon gegeben habe:
https://www.virustotal.com/de/file/b...is/1395481821/

Erkennungsrate: 0

Langsam beginnt mein Herzchen wieder langsamer zu schagen...denn mir war zwischenzeitlich dann noch noch was Fieses aufgefallen. Einer der Viren, die immer wieder angezeigt wurden stammt laut f-secure von einer Seite namens cad-portal.com. Und...nunja....3D-Design ist neben Dephi mein zweites Steckenpferd. Nicht ausgeschlossen, daß ich auf der Seite schon mal war und nach Modellen gestöbert habe.

Ich möchte Euch trotzdem bitten, das mal zu verifizieren falls Ihr Delphi 7 habt.

[jaenicke]

Neues leeres Projekt in einem virtuellen PC mit Delphi 7:
https://www.virustotal.com/de/file/d...is/1395484040/
mit XE5:
https://www.virustotal.com/de/file/b...is/1395484396/

[cookie22]

Das liegt an zu schlechten Signaturen, die auf Delphi 7 Programme anspringen.

Hier mein Ergebnis für ein Delphi 7 Projekt mit einem Button.

https://www.virustotal.com/de/file/f...is/1395484783/

Sogar mit Wiedererkennungswert, da ist dein Banload auch dabei.

Definitiv False-Positives.

Edit:

Gleiches Projekt: Umbenannt, anders Icon und ohne Debug Infos.

https://www.virustotal.com/de/file/b...is/1395485457/

[Erutan]

Vielen Dank für Eure Hilfsbereitschaft.

Nun kann ich endlich wieder beruhigt schlafen. Ist also doch kein Virus. Daß mein eigener Virenscanner (Kaspersky) vorgestern bei dem Versuchsbeispiel angesprungen und einen Dropper gemeldet hatte, wird mit 99%iger Sicherheit daran geleen haben, daß Kaspersky in dieser speziellen Programmkonstellation dann eben auch was gefunden zu haben glaubte. Vielleicht hatte ein früheres Virus mal einen ähnlichen Code verwendet. Dieser Dropper wurde damals definitiv mit Delphi kompiliert.

Na denn....alle mal aufatmen

[Garfield]

Erutan bei sieht es mit D7PE unter Win8.1 bei dem Button auf dem Formular ähnlich aus. https://www.virustotal.com/de/file/2...is/1395512881/

Habe hier Norton CBE als Virenscanner drauf. Der blockiert und löscht ab und zu ein Projekt. So auch die Demos zur Fritzboxkomponente. Mittlerweile scheint er gelernt zu haben, dass es kein Virus ist.

[CHackbart]

Die meisten Probleme verursachen die Heuristikalgorithmen in Virenscannern. Bietet man eine Software an die für eine breite Masse gedacht ist, ist das besonders ärgerlich. Delphi 7 hat noch den Vorteil kleine Binaries zu erstellen und mit etwas Tricks bekommt man auch eine klitzekleine Binary raus.

Beispiel:

Delphi-Quellcode:

program Project1;
uses
  ShellAPI;

begin
  ShellExecute(0, 'open', 'http://www.dvbviewer.tv/forum', nil, nil, 1);
end.

Liefert https://www.virustotal.com/de/file/8...is/1395648348/. Nutze ich anstelle eines Shellexecutes gleich mal Wininet gibts wohl kaum einen Scanner der nicht sofort anspringt:

Delphi-Quellcode:

program Project1;
uses
  Windows, WinInet;

  procedure DownloadFile(URL:AnsiString;Path:AnsiString);
Var
  InetHandle:Pointer;
  URLHandle:Pointer;
  FileHandle:Cardinal;
  ReadNext:Cardinal;
  DownloadBuffer:Pointer;
  BytesWritten:Cardinal;
begin
  InetHandle := InternetOpen(PAnsiChar(URL),0,0,0,0);
  URLHandle := InternetOpenUrl(InetHandle,PAnsiChar(URL),0,0,0,0);
  FileHandle := CreateFile(PAnsiChar(Path),GENERIC_WRITE,FILE_SHARE_WRITE,0,CREATE_NEW,FILE_ATTRIBUTE_NORMAL,0);
  Repeat
    InternetReadFile(URLHandle,DownloadBuffer,1024,ReadNext);
    WriteFile(FileHandle,DownloadBuffer,ReadNext,BytesWritten,0);
  Until ReadNext = 0;
  CloseHandle(FileHandle);
  InternetCloseHandle(URLHandle);
  InternetCloseHandle(InetHandle);
end;

begin
 DownloadFile('http://www.google.de/robots.txt','test.txt');
end.

Was dabei hilft und das klingt jetzt etwas blöd ist die Dateien künstlich aufzublähen. Ein riesen Icon einbinden, ein Bild als Ressource dranhängen oder irgendetwas ähnliches machen. Ein hochladen zu dem jeweiligen AV-Anbieter bringt meist nicht viel und es passiert dann oftmals das nach geraumer Zeit die Anwendung wieder als Virus erkannt wird. Ärgerlich ist das insbesondere, wenn dann Leute verbal entgleisen was einem einfällt. Gut Casualprodukte sind halt eher anfälliger für so etwas als Industrieanwendungen.