Virustotal meldet Virus

[zeras]

Beim Setup eines meiner Programme meldet Virustotal bei einem Scanner, dass das Programm Viren enthalten würde.
Trapmine Suspicious.low.ml.score.

Ich habe dann bei Behavior geschaut und bei Highlighted Actions folgende Info gefunden:
Call Highlighted
GetTickCount

Highlighted Text
"Der Programmname"
C:\Windows\system32\cmd.exe

Ich kann aber in meinen Quellen (Suchen in Dateien) keinen GetTickCount finden und auch keinen Aufruf von cmd.exe.

Zusatztools sind einige Objekte von TMS und Onguard von TurboPower.

Was kann ich machen, damit der Scanner nicht mehr anschlägt?

[Bernhard Geyer]

Melde es beim Hersteller als False-Positive.
Wo und wie genau ist von Hersteller zu Hersteller unterschiedlich.

[zeras]

Zitat von zeras:

Ich habe dann bei Behavior geschaut und bei Highlighted Actions folgende Info gefunden:
Call Highlighted
GetTickCount

Hier scheint es doch in einer der TMS Bibliotheken Async Aufrufe wegen GetTickCount zu geben.
Aber einen Aufruf von "C:\Windows\system32\cmd.exe" finde ich bis jetzt noch nicht.
Müsste ich den Aufruf nicht auch per Hexeditor in der Exe finden?

[Bernhard Geyer]

Willst du diese Aufrufe jetzt Eliminieren weil ein blöde Heuristik angeschlagen hat?
Ein Großteil der Anwendungen wir GetTickcount verwenden.
Ein "C:\Windows\system32\cmd.exe" ist eher schon was, was man untersuchen sollte wieso sowas drin ist.
(Im Hexeditor nach Ansi und Unicode-String suchen, auch in den Ressourcen könnte das stehen)

[zeras]

Zitat von Bernhard Geyer:

Ein "C:\Windows\system32\cmd.exe" ist eher schon was, was man untersuchen sollte wieso sowas drin ist.
(Im Hexeditor nach Ansi und Unicode-String suchen, auch in den Ressourcen könnte das stehen)

Danke für die Hinweise.
Eigentlich habe ich nur die Exe. Alles andere (TMS Async, TMS UI, Onguard) sind eincompiliert.
Mittels HxD habe ich noch nichts gefunden.
Muss ja aber was sein. Das ärgert mich, dass ich noch nichts gefunden habe.
Suche aber weiter.

[hoika]

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

[zeras]

Zitat von hoika:

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

Nein, darum habe ich mich noch nicht gekümmert.
Ich möchte nur ausschliessen, dass nichts auf meinem Rechner ist.
Alle Zusatzkomponenten, die ich installiere, scanne ich erst mal mit GDATA, aber weiß man, ob nicht doch bei der Installation einer Komponente "etwas" mit dazu installiert wird, das nicht dazugehört?
Ich habe zwar nicht viele Kompos, aber weiß mans?
Als Beispiel die Kompo Onguard von Getid wird ja dann automatisch installiert. Da hat man ja keine Möglichkeit mehr, noch selber zu scannen oder?

[Bernhard Geyer]

Zitat von hoika:

Hallo,
ist die Exe signiert?

Das löst bei uns schon viele Probleme.

Bei uns wurde eine DLL (trotz Signatur) von 5 Scannern (vermutlich 2 Engines) als False-Positive gemeldet.
Dummerweise auch der Scanner der vom Arbeitgeber eingesetzt wurde ...

Meldung bei einem Hersteller lößste nach 2-3 Tagen alle Falschalarme auf.

[zeras]

Zitat von Bernhard Geyer:

Dummerweise auch der Scanner der vom Arbeitgeber eingesetzt wurde ...

So war es auch heute bei mir.
Beim Start Setup "InnoSetup" hat Bitdefender zugeschlagen und das Setup gleich gekillt.
Nun habe ich die eigentlich Exe scannen lassen und dann kam das oben beschriebene heraus.
Werde dieser Tage weitersuchen und berichten, wenn ich noch etwas zum cmd.exe finde.

[himitsu]

Zitat von zeras:

Ich kann aber in meinen Quellen (Suchen in Dateien) keinen GetTickCount finden ...

REST, TComboBox, VCL-Hints (THintWindow), TMonitor, TStopwatch, TThreadPool, WinHelpViewer, WinXCalendars, WinXPickers, ...

Ich weiß ja nicht was an GetTickCount so schlimm sein soll, aber das ist überal drin,
und die Strings CMD bzw. CMDFILE kommen auch oft im Delphi vor.

Wie schon gesagt wurde, ist die einzige Lösung es dem Hersteller des Antivirusdingens den False-Positive zu melden und die Sinaturen bereinigen zu lassen.