EXE wird auf Zielrechner als Virus erkannt

[joacim]

Hallo,
meine mit DELPHI 6 erstellte EXE wird auf dem Zielrechner als Virus erkannt.
Ich arbeite seit einiger Zeit an einem Programm, das einen OPC-Server abfragt.
Der Kunde bekommt die neusten Versionen über einen Telekom-Sever von mir zur
Verfügung gestellt. Die letzten paar Wochen gab es auch keine Probleme. Jetzt wird
die neuste Version auf seinem PC (WIN 10 Pro) nach dem Entpacken des ZIP-Files
als Virus erkannt und sofort gelöscht. Eine Prüfung mit VirusTotal liefert eine(!)
Meldung von einem Scanner mit dem Namen „Malicious“. Auf zwei meiner
Entwicklungsrechner (beide auch WIN 10 Pro) kann ich die ZIPs problemlos entpacken.
Verschiedene Einstellunegn der Compiler-Optionen bringen keine Änderung.

Ich bin für jeden Tip dankbar.

[philipp.hofmann]

Kann du vielleicht jede neue Exe-Version bei dem Virenscanner-Hersteller jeweils zur Prüfung vorlegen (Whitelisting).
Dies erfolgt normalerweise per Ablage auf einem SFTP-Server des Virenscanner-Herstellers und verzögert die Auslieferung dann um einen Tag.
Manchmal helfen auch Zertifikate, weiß jetzt nicht, ob du eines nutzt.

[joacim]

Ein Zertifikat wird nicht genutzt, war in 25 Jahren noch nie erforderlich.
Windows 10 selber löst den Alarm aus, aber nur auf dem Zielrechner. Wie soll
ich da einen Eintrag in einer whitelist erzeugen? Etwas in dieser Art?

https://praxistipps.chip.de/windows-...estlegen_41994

[Uwe Raabe]

Zitat von joacim:

ich da einen Eintrag in einer whitelist erzeugen?

Gemeint war, dein Programm seitens des Herstellers der Antivirensoftware in seine interne White List aufzunehmen.

[Incocnito]

Hast du mal versucht die Quellen auf einem anderen Rechner kompilieren zu lassen?
Nicht dass dein Entwickler-Rechner verseucht ist! -.-
Mein Vorschlag wäre die Quellen über ein GIT-Repository an den zweiten Entwicklungs-Rechner zu übertragen um eine Übertragung des Virus auf den anderen Entwicklungs-Rechner so unwahrscheinlich wie Möglich zu halten. Einen USB-Stick o.ä. würde ich auf jeden Fall nicht empfehlen. Und vorher alle Updates auf den zweiten Entwicklungs-Rechner einspielen um einem dort auftauschenden Virus auch das Leben so schwer wie möglich zu machen. Just saying.

[joacim]

danke für die Tips.
Gerade hat der Anwender angerufen und berichtet, dass beim erneuten Entpacken
plötzlich alles lief.

[Bernhard Geyer]

Sehr häufig schlagen hier Heuristiken zu.
Wenn diese fehlerhaften Heuristiken nicht korrigiert werden kann es sein das nach 2-3 Tagen deine Exe dann von 5-10 Virenscannern als verseucht erkannt wird.
Also Entwickler der Geld mit seinen Exen verdient, sollte man diese immer mit einer digitalen Signatur versehen.
Das sorgt dafür das dies Heuristik weniger häufig zuschlägt als ohne Signatur (Leider aber auch schon signierte DLLs/Exe gehabt, welche trotzdem geblockt wurde).

[Andreas13]

In der Vergangenheit konnte ich ähnliche Fehlalarme manchmal dadurch beheben, daß ich Kleinigkeiten am Code geändert hatte: z.B. die Reihenfolge von Variablen bei der Deklaration etc. Aber es hat nicht immer funktioniert.
Gruß, Andreas

[Bernhard Geyer]

Zitat von Andreas13:

In der Vergangenheit konnte ich ähnliche Fehlalarme manchmal dadurch beheben, daß ich Kleinigkeiten am Code geändert hatte: z.B. die Reihenfolge von Variablen bei der Deklaration etc. Aber es hat nicht immer funktioniert.
Gruß, Andreas

Bringt nur was, wenn die problematische Signatur an der entsprechenden Stelle ist.
Des öfteren wurden schon die normalen "Exe-Start-Code" der Delphi-VCL als böse erkannt und reihenweise Delphi-Anwendungen geblockt.

[Frickler]

Zitat von Bernhard Geyer:

Des öfteren wurden schon die normalen "Exe-Start-Code" der Delphi-VCL als böse erkannt und reihenweise Delphi-Anwendungen geblockt.

Naja was man so liest, ist Delphi das Werkzeug der Wahl bei etlichen Virenprogrammierern.