Anwendung als Malware erkannt

[venice2]

Warum wird meine Anwendung GDIPClock als Malware erkannt?
Wenn ich mit Malwarebytes mein System Scanne warum wird meine Anwendung als Malware identifiziert.

Diese geht nicht ins Internet verwendet keinerlei Ports oder dergleichen Trotzdem Malware?
Nach welchen Kriterien wird sonst noch gesucht?

Oder liegt es schlicht an Delphi?

[DeddyH]

Da hat die Heuristik wohl irgendetwas als "böse" erkannt. Du kannst Dein Programm aber normalerweise irgendwo beim AV-Hersteller zur Prüfung hochladen und zu dessen Whitelist hinzufügen lassen.

[venice2]

Zitat von DeddyH:

Da hat die Heuristik wohl irgendetwas als "böse" erkannt.

Zitat:

Prozess: 1
MachineLearning/Anomalous.96%, C:\USERS\BREWIDEAS\DOCUMENTS\SOURCEMEIN\GDIPCLOCK_ V164\_BUILD\GDIPCLOCK.EXE, Keine Aktion durch Benutzer, 0, 392687, , , , , 111654C3A8F3A616E28AE9802E3713B0, 3286ED11FD21C9B10C48D37C0D611B8D4E5A99EB47A3C19F78 D1D2C79B3B6DF2

Modul: 1
MachineLearning/Anomalous.96%, C:\USERS\BREWIDEAS\DOCUMENTS\SOURCEMEIN\GDIPCLOCK_ V164\_BUILD\GDIPCLOCK.EXE, Keine Aktion durch Benutzer, 0, 392687, , , , , 111654C3A8F3A616E28AE9802E3713B0, 3286ED11FD21C9B10C48D37C0D611B8D4E5A99EB47A3C19F78 D1D2C79B3B6DF2

Registrierungsschlüssel: 1
PUP.Optional.GoHD, HKU\S-1-5-21-446908827-4200042028-1358881088-1001\SOFTWARE\-, Keine Aktion durch Benutzer, 3127, 238796, 1.0.40200, , ame, , ,

Registrierungswert: 3
MachineLearning/Anomalous.96%, HKU\S-1-5-21-446908827-4200042028-1358881088-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN |GdipClock, Keine Aktion durch Benutzer, 0, 392687, , , , , ,

Was soll da böse sein?
Außer das ich es beim Windowsstart Automatisch starten lasse.

Na ja hat mich mal interessiert.

Zitat:

Du kannst Dein Programm aber normalerweise irgendwo beim AV-Hersteller zur Prüfung hochladen und zu dessen Whitelist hinzufügen lassen.

Danke aber das mache ich nicht. Denke dann ist deren Heuristik einfach nur schrott.

[DeddyH]

Zitat von venice2:

Was soll da böse sein?

Woher soll ich das wissen? Ich habe gelegentlich auch Probleme mit übereifriger AV-Heuristik in an sich harmlosen Programmen. Wenn ich die ausschließlich privat benutze, füge ich eine Ausnahme hinzu, ist es dagegen ein kommerzielles Programm, muss ich halt den beschriebenen Upload-Weg gehen.

[venice2]

Zitat:

Woher soll ich das wissen?

Deshalb meine Quote dachte man könnte da etwas erkennen warum das Teil da rum muckt.
Danke.

[himitsu]

Leider wurden zubiele "böse" Progrämmchen mit Delphi geschrieben
und die Muster zur Erkennung sind oftmals leider auch sehr ungünstig, so dass sie schnell auch andere Delphiprogramme erwischen.

Du kannst deine EXE auf www.virustotal.com hochladen und mal schauen, ob es nur dein Virenscanner ist, oder ob auch mehrere Andere den Fehler bemängeln.
(natürlich könnte es auch sein, dass dein Rechner befallen ist und die EXE wirklich richtig erkannt wurde)

Ansonsten kannst du deine EXE auch irgendwo auf der Webseite deines Virenscanner-Herstellers melden (geht bei den Meisten) und ihn bitten das zu Prüfen.
Wenn negativ, wird/sollte er seine Signaturen anpassen, damit deine EXE nicht mehr erkannt wird.
Manchmal kann man es auch im Virenscanner direkt zur Prüfung vorlegen.

[venice2]

Zitat:

ob es nur dein Virenscanner ist

Defender mein Viren-Scanner meldet diesbezüglich nichts.

[himitsu]

Ja, bei sich kann man solche Fehler leicht ignorieren (eine Ausnahme hinzufügen),
aber bei anderen Benutzern ist es bissl blöd.

Entweder er vertraut dir vollkommen, wenn du es ihm erklärst und z.B. den Report von VirusTotal zeigst, und er richtet bei sich eine Ausnahme ein,
oder du hast Pech und mußt entweder eine Kleinigkeit an deiner EXE ändern (und hoffen es wird dann nicht mehr erkannt) oder eben das bei dem entsprechendem Hersteller als False-Positive melden. (geht leider nicht immer)

Nur kurz gesucht und ich fand bei Malwarebytes kein solches Formular. (übersehn oder es gibt Keines)
Malwarebytes false positive



Ach ja, wenn nur einer/wenige/kein Virenscanner da etwas erkennt (VirusTotal), dann ist die Chance groß, dass da nichts ist,
aber es kann auch sein, das ist neu und die Anderen waren noch nicht schnell genug und haben es noch nicht in ihren Definitionen.


Wenn die EXE absolut nicht an Fremde raus darf (NDA oder sowas), dann bleibt dir nur die Wahl deinen Scanner zu tauschen, oder eine VM mit diesem Scanner aufzusetzen, und selbst zu prüfen.
Manche Virenscanner haben auch eine OnlineAPI, wo man es direkt beim Hersteller prüfen kann, ohne es installiert zu haben.

[TiGü]

Virenscanner sind in der Regel nur Schlangenöl und zur Beruhigung des guten Gewissens, dabei oft mehr Schaden bringend als helfend.

Wenn du drei Bytes (ja, ist ne Hausnummer) an deinen Programm änderst, schon wird es nicht mehr als False Positive detektiert.

Zum nachlesen (english):
https://blog.malwarebytes.com/detect...anomalous-100/

Alle anderen mit deinen Problem:
https://www.google.com/search?q=Mach...4dUDCA4&uact=5

[venice2]

Danke für die Infos.