"leeres" Projekt = 4x Malware

[luke2]

Hallo,
Da ich häufiger Probleme habe, dass meine Programme als Virus erkannt werden, habe ich heute mal folgendes tolles Programm bei Virustotal hochgeladen.

Delphi-Quellcode:

program Project1;
begin
end.

Ergebnis: 4 Antivirus-Produkte erkennen das "Programm" als Malware, darunter auch AntiVir.
Was ist nur los, wie soll man überhaupt noch Programme schreiben, die nicht erkannt werden, wenn schon ein "leeres" Programm erkannt wird? :?:
Man kann doch schlecht jedes Programm bei denen einschicken.
:cry::evil:

[Bernhard Geyer]

Zitat:

Zitat von luke2 (Beitrag 1042557)

Was ist nur los, wie soll man überhaupt noch Programme schreiben, die nicht erkannt werden, wenn schon ein "leeres" Programm erkannt wird? :?:
Man kann doch schlecht jedes Programm bei denen einschicken.
:cry::evil:

Doch. Mach es. da ist mal wieder ein richtiger Virus unterwegs und die Signaturen von den Scannern sind zu ungenau.

[luke2]

Das bringt aber nichts, jedenfalls nicht bei AntiVir.
Die schreiben dann einfach nur, dass sie die Signatur nicht ändern können/wollen und das man die Datei zu den Ausnahmen hinzufügen soll.
Und das darf man dann jeden erklären, der das Programm bekommt, das ist natürlich sehr vertrauenswürdig :evil:

[mkinzler]

AntiVir hilft Embarcadero Delphi zu zerstören.
Alle paar Wochen, wird jedes Programm, welches in Delphi entwickelt wurde, als Malware erkannt. Das würde sich kein AntiViren-Programm mit der VC-Signatur erlauben.

[Bernhard Geyer]

Zitat:

Zitat von luke2 (Beitrag 1042560)

Die schreiben dann einfach nur, dass sie die Signatur nicht ändern können/wollen und das man die Datei zu den Ausnahmen hinzufügen soll.

Kann ich mir nicht vorstellen. Wenn das uns passieren würde (bzw. einer anderen Firma) so wäre innerhalb kurzer Zeit eine entsprechende Klage wegen Geschäfts und Rufchädigung am Hals.

[HeikoAdams]

Zitat:

Zitat von luke2 (Beitrag 1042560)

Die schreiben dann einfach nur, dass sie die Signatur nicht ändern können/wollen und das man die Datei zu den Ausnahmen hinzufügen soll. :evil:

<sarkasmus>Dann schreib doch mal zurück, ob es eine Möglichkeit gibt, das automatisch zu bewerkstelligen :twisted:</sarkasmus>
Wenn Deine Anwendung eine Setup-Routine hat, füge einfach einen entsprechenden Hinweis in Dein Setup ein, der auf die Unfähigkeit der AntiVir Entwickler hinweist. Am besten packst Du den Hinweis in rot und Fettschrift auch auf die Donwload-Seite Deiner Software.

Zitat:

Zitat von Bernhard Geyer (Beitrag 1042563)

Kann ich mir nicht vorstellen. Wenn das uns passieren würde (bzw. einer anderen Firma) so wäre innerhalb kurzer Zeit eine entsprechende Klage wegen Geschäfts und Rufchädigung am Hals.

Leider hat aber nicht jeder Entwickler das nötige Kleingeld, um sämtliche Antivirenhersteller, die False-Positives für sein(e) Programm(e) erzeugen, zu verklagen :sad:

[Daniela.S]

tztz, gerade bin auch darüber gestolpert.

Muss nur eine kleine EXE erstellen, die eine andere mit Parametern aufruft. Also nicht ganz leer, nur eine Zeile mit ShellExec drinnen. Eigentlich ganz simpel sollte man denken :gruebel:

Erst wenn ich die Datei signiere (mit signtool.exe) wird sie nicht mehr als Virus erkannt. Allerdings meint Windows nachher, dass das Programm womöglich nicht richtig installiert wurde? Eh nicht, gibt ja auch nichts zu installieren *ggg* Keine Ahnung wie man diese Meldung dann wegbringt.

[fkerber]

Hi!

Heißt deine exe zufällig was mit install oder setup oder ähnlichem?


Liebe Grüße,
Frederic

[Bernhard Geyer]

Zitat:

Zitat von HeikoAdams (Beitrag 1042564)

Leider hat aber nicht jeder Entwickler das nötige Kleingeld, um sämtliche Antivirenhersteller, die False-Positives für sein(e) Programm(e) erzeugen, zu verklagen :sad:

Es geht ja nicht um die False-Positive-Meldungen die mal passieren (Wer ohne Fehler ist möge den ersten Stein schmeißen) sondern um die Aussage:

Zitat:

Die schreiben dann einfach nur, dass sie die Signatur nicht ändern können/wollen ...

Bei einem False-Positive der mal passiert hat man mit sicherheit keine Chance bei einer Klage.

[littleDave]

Ich habe mir auch mal das Problem mit dem DR/Delphi.Gen - Virus von AntiVir gehabt. Es war auch ebenfalls ein fast leeres Projekt (keine Forms, nur 2 oder 3 WinAPI-Aufrufe. Was AntiVir beruhigt hat war folgendes: Mit einem Resource-Editor alle Resourcen entfernen. Danach einfach ein kleines Icon als ICON-Resource hinzufügen und fertig. Seitdem meckert AntiVir nicht mehr. Ist zwar nicht die feine Art, aber es geht.

[haentschman]

Hallo...:hi:

so... nun muß ich auch mal AntiVir in Schutz nehmen. Mit jedem Rechner (Entwicklungsrechner, Laptopp) hatte ich noch nie irgend welche Meldungen bezüglich meiner Programme. Wenn das System verseucht ist und der Virus sich an jede EXE hängt sind solche Meldungen logisch...nur so als Denkanstoß :zwinker:

[Ende]... mein Senf.

[himitsu]

Zitat:

Zitat von littleDave (Beitrag 1042582)

keine Forms, nur 2 oder 3 WinAPI-Aufrufe

Es ist auch selten, daß ein böses Programm eine Form anzeigt, ala "hey, ich mach grad was böses", sondern einfach etwas macht (meißt muß man ja dafür irgendwie Windows sagen was, also die WinAPI nutzen. :roll:

[HeikoAdams]

Zitat:

Zitat von haentschman (Beitrag 1042618)

Wenn das System verseucht ist und der Virus sich an jede EXE hängt sind solche Meldungen logisch...nur so als Denkanstoß :zwinker:

Bevor Du Deinen Senf dazu gibst, les doch bitte mal die vorherigen Posts aufmerksam durch. Es geht hier nicht um stumpfes AntiVir-Bashing sondern darum, das sich sich die Entwickler von AntiVir schlicht und einfach weigern, ihre Signaturen so anzupassen, dass es bei einem Programm des OP keine False-Positives mehr gibt.

[himitsu]

Das Verweigern kann ich so nicht bestätigen.

Hatte selbst mal dieses Problem.
Eine Mail und knapp eine 1/4 Stunde später war das Problem beseitigt (ist jetzt aber auch schon über 2 Jahre her)

[HeikoAdams]

Zitat:

Zitat von himitsu (Beitrag 1042642)

Das Verweigern kann ich so nicht bestätigen.

Hatte selbst mal dieses Problem.
Eine Mail und knapp eine 1/4 Stunde später war das Problem beseitigt (ist jetzt aber auch schon über 2 Jahre her)

Ich kann es mir auch nicht so ganz vorstellen. Aber im sinne der Unschuldsvermutung gehe ich mal bis auf weiteres davon aus, das der OP die Wahrheit schreibt. Vielleicht hat er sich auch einfach ein wenig undeutlich ausgedrückt oder der zuständige bei AntiVir hat irgendwas in den falschen Hals bekommen. Wir werden es wahrscheinlich nie zweifelsfrei klären können.

[Daniela.S]

@fkerber:
Ja, die Anwendung heißt "InstallAdditionalSoftware" und stellt nur einen Link zur Verfügung. Gibt es da vielleicht einen Workaround?

[ralfschwalbe]

@Daniela.S

Sobald (ab Vista) im Exe-Namen Setup oder Install gefunden wird, denkt das BS sofort es ist ein Installer, startet die UAC und fragt nachher ob richtig installiert wurde. Hier hilft nur umbenennen der Exe.

[Bernhard Geyer]

Zitat:

Zitat von ralfschwalbe (Beitrag 1042664)

Sobald (ab Vista) im Exe-Namen Setup oder Install gefunden wird, denkt das BS sofort es ist ein Installer, startet die UAC und fragt nachher ob richtig installiert wurde. Hier hilft nur umbenennen der Exe.

Müsste doch bei Vista-Aware Manifest nicht mehr der Fall sein:gruebel:

[HeikoAdams]

Zitat:

Zitat von ralfschwalbe (Beitrag 1042664)

Sobald (ab Vista) im Exe-Namen Setup oder Install gefunden wird, denkt das BS sofort es ist ein Installer, startet die UAC und fragt nachher ob richtig installiert wurde.

Wobei man dazu sagen muss, das dieses Verhalten eigentlich nur der Abwärtskompatibilität zu älteren Setups dient, die zwar Admin-Rechte benötigen, diese aber nicht explizit vom OS anfordern.

[mkinzler]

Das Visat-Manifest macht das Selbe, alledings unabhängig vom Namen

[ralfschwalbe]

ja, aber da der Name nunmal "InstallAdditionalSoftware.exe" ist, ist es völlig egal ob das Teil ein Manifest hat oder nicht. Hier gilt die Regel von Windows: Ich erkenne einen Installer am Namen. Würde genauso passieren, wenn die Exe "SetupAdditionalSoftware.exe" heißt. Insofern ist es richtig, dass dieses Verhalten der Abwärtskompatibilität dient. Wie gesagt: hier hilft nur umbenennen, damit die Frage nach dem geglückten Setup nicht mehr kommt.

[Daniela.S]

Nun in den meisten Fällen wird das mit dem Namen sicher passen. Aber was ist wenn die Datei "Installationshilfe", "Hilfe zur Installation", "Setup-Information" oder was weiss ich heisst?

Selbst wenn im Dateinamen kein "Install" vorkommt, reicht es wenn das Wort unter Applicaiton.Title vorkommt.

Für Kunden ist diese Meldung sehr verwirrend...

[ralfschwalbe]

Da hast Du recht. Aber da ist das Windows eisern! Du musst also kreativer bei der Namensgebung sein :lol:

[Bernhard Geyer]

Zitat:

Zitat von ralfschwalbe (Beitrag 1042680)

ja, aber da der Name nunmal "InstallAdditionalSoftware.exe" ist, ist es völlig egal ob das Teil ein Manifest hat oder nicht. Hier gilt die Regel von Windows: Ich erkenne einen Installer am Namen.

Hier schlägt aber Ober den Unter. Das Manifest schlägt die Regel des Dateinamens (Gerade unter Win7 ausprobiert).
Hat die Exe ein Manifest das keine Adminrechte anfordert kann der Exename 1000* InstallXY heißen - Es erscheint kein UAC-Dialog.

[ralfschwalbe]

Das wusste ich auch noch nicht...:oops: Wieder was gelernt...

[Daniela.S]

Danke, wusste ich auch noch nicht :roll: