Idhttp verursacht Virenerkennung durch Avira

[MHaitz]

Hallo allerseits,

Ich benutze Rad Studio Berlin und die Indy-Version 10.6.2.5341.
Sobald ich in einem neuen Projekt (VCL-Application) die Unit Idhttp in die uses clause schreibe, wird die erzeugte exe von Avira als Virus erkannt und in Quarantäne gestellt (Meldung: TR/ATRAPS.Gen). Dazu genügt es wie gesagt, nur die Unit in die uses clause zu schreiben, ohne die Klassen der Unit zu benutzen.

Weiß da jemand Abhilfe?

[nahpets]

Ja, manchmal hilft es, einfach weiter zu programmieren und weitere Units einzubinden, damit sich an der Exe was ändert und sie somit nicht mehr als potentiell virusverseucht erkannt wird.

Das Problem, dass Virenscanner mal ein Delphiprogramm als virusinfiziert erkennen, hab' ich im Laufe der Jahre schon mit mehreren Delphiversionen erlebt. In der Regel half es, am Programm weiter zu arbeiten.

Alternative:

Bei mir landen alle Exen in einem einzigen Ausgabeverzeichnis und dem Virenscanner habe ich gesagt, dass er dort gefälligst nicht zu scannen habe. Seit dem ist Ruhe.

Fertige Programme werden aus dem Verzeichnis an andere Stellen verschoben, an denen der Scanner weiterhin prüfen darf / muss. Falls dann beim Verschieben noch mal ein Alarm kommen sollte, muss ich mir eventuell dann doch Sorgen machen. Allerdings ist mit das in den letzten 10 Jahren noch nicht passiert.

[Schwedenbitter]

Ich entwickle in solchen Situationen auch weiter. Wenn mich Avira zu sehr nervt, wird der Echtzeitschutz vorübergehend deaktiviert. Das ist eigentlich für alles typisch, was auf das Netzwerk zugreift.
Am Ende kann man die fertige exe-Datei notfalls auch zu Avira einsenden. Die sind nett und nehmen sehr schnell das Programm in ihre WhiteList auf. Guckst Du hier.

[Zacherl]

Mit einem gültigen Zertifikat zu signieren unterdrückt auch bei den meisten Virenscannern die Heuristik bzw. setzt den Schwellwert für einen Alarm drastisch nach unten.

[Bernhard Geyer]

Melde den False-Postive-Fall unter https://analysis.avira.com/de/submit

[MHaitz]

Ok Danke an alle.
Der Tipp, einfach weiter zu arbeiten, war zunächst mal hilfreich.

[mensch72]

bei TCP,UDP&ICMP ist Avira noch/doch sehr zugänglich

Wir wurden mal wegen erkannten "getunnelten" Protokollen&Informationen bei Symantec in deren teils hardwarebasieren ContentFilterSachen "aussortiert" oder mal wegen sehr trickreicher shared Memory IPC Kommunikation zwischen Hooks und Systemservices als "böse" eingestuft... beides hat Monate gedauert, bis es eine per Signatur zertifizierte Lösung für den Einzelfall gab.

Nur für ganz bestimmte 100% realtime optimierte Sachen machen wir sowas auch heute noch, aber ich würde z.B. bei dem Indy Zeug mich mal ganz locker etwas in den Sourcen umtun. Hier und da eine Unterfunktion zu einer For/While-Schleife und ein paar zusätzliche/veränderte ExeptionHandler, schon sollten so einfache "Probleme" gelöst sein.

[jaenicke]

Bei Avira besteht das Problem mit IdHttp seit vielleicht 10 Jahren? Seitdem kenne ich es zumindest, ganz genau weiß ich nicht mehr seit wann. Ich habe immer wieder false positve Meldungen geschickt, nach Änderungen an der Anwendung wurde sie wieder erkannt, ...
Ich habe aufgegeben mich darüber aufzuregen, weil es nix bringt. Es ist zum Glück der einzige Virenscanner, der so lange immer und immer wieder solche Probleme hat. Ich rege mich eher über diejenigen auf, die es trotzdem einsetzen.

[Zacherl]

Zitat von mensch72:

aber ich würde z.B. bei dem Indy Zeug mich mal ganz locker etwas in den Sourcen umtun. Hier und da eine Unterfunktion zu einer For/While-Schleife und ein paar zusätzliche/veränderte ExeptionHandler, schon sollten so einfache "Probleme" gelöst sein

Glaube ich nicht dran. Was erkannt wird sind ziemlich sicher die Winsock Imports. Das Problem hat man bei AntiVir auch nicht nur mit den Indys, sondern mit so ziemlich jeder Socket Lib, die sich für Delphi finden lässt.

[Assarbad]

Ich würde es auch melden und deine Beobachtungen gleich mitteilen. "Gen" weist auf eine Heuristik hin. Code-Signaturen werden heutzutage leider oft zur Pflicht erhoben, während manche Firmen nicht einmal Zertifikate an Privatpersonen verkaufen.