Virustotal meldet Virus

[zeras]

Zitat von zeras:

Ich habe dann bei Behavior geschaut und bei Highlighted Actions folgende Info gefunden:
Call Highlighted
GetTickCount

Hier scheint es doch in einer der TMS Bibliotheken Async Aufrufe wegen GetTickCount zu geben.
Aber einen Aufruf von "C:\Windows\system32\cmd.exe" finde ich bis jetzt noch nicht.
Müsste ich den Aufruf nicht auch per Hexeditor in der Exe finden?

[Bernhard Geyer]

Willst du diese Aufrufe jetzt Eliminieren weil ein blöde Heuristik angeschlagen hat?
Ein Großteil der Anwendungen wir GetTickcount verwenden.
Ein "C:\Windows\system32\cmd.exe" ist eher schon was, was man untersuchen sollte wieso sowas drin ist.
(Im Hexeditor nach Ansi und Unicode-String suchen, auch in den Ressourcen könnte das stehen)

[zeras]

Zitat von Bernhard Geyer:

Ein "C:\Windows\system32\cmd.exe" ist eher schon was, was man untersuchen sollte wieso sowas drin ist.
(Im Hexeditor nach Ansi und Unicode-String suchen, auch in den Ressourcen könnte das stehen)

Danke für die Hinweise.
Eigentlich habe ich nur die Exe. Alles andere (TMS Async, TMS UI, Onguard) sind eincompiliert.
Mittels HxD habe ich noch nichts gefunden.
Muss ja aber was sein. Das ärgert mich, dass ich noch nichts gefunden habe.
Suche aber weiter.

[hoika]

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

[zeras]

Zitat von hoika:

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

Nein, darum habe ich mich noch nicht gekümmert.
Ich möchte nur ausschliessen, dass nichts auf meinem Rechner ist.
Alle Zusatzkomponenten, die ich installiere, scanne ich erst mal mit GDATA, aber weiß man, ob nicht doch bei der Installation einer Komponente "etwas" mit dazu installiert wird, das nicht dazugehört?
Ich habe zwar nicht viele Kompos, aber weiß mans?
Als Beispiel die Kompo Onguard von Getid wird ja dann automatisch installiert. Da hat man ja keine Möglichkeit mehr, noch selber zu scannen oder?

[Bernhard Geyer]

Zitat von hoika:

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

Bei uns wurde eine DLL (trotz Signatur) von 5 Scannern (vermutlich 2 Engines) als False-Positive gemeldet.
Dummerweise auch der Scanner der vom Arbeitgeber eingesetzt wurde ...

Meldung bei einem Hersteller lößste nach 2-3 Tagen alle Falschalarme auf.

[zeras]

Zitat von Bernhard Geyer:

Dummerweise auch der Scanner der vom Arbeitgeber eingesetzt wurde ...

So war es auch heute bei mir.
Beim Start Setup "InnoSetup" hat Bitdefender zugeschlagen und das Setup gleich gekillt.
Nun habe ich die eigentlich Exe scannen lassen und dann kam das oben beschriebene heraus.
Werde dieser Tage weitersuchen und berichten, wenn ich noch etwas zum cmd.exe finde.