Adware im eigenen Programm

[Brainstalker]

Nach einer längeren Zeit von ca. 3 Monaten hab ich mal wieder einen kompletten Virenscan gemacht. Und ich dachte mir "oh nein hast dir gleich 6 Viren eingefangen".
Aber dem war nicht so. Als die Zusammenfassung am Ende kam fand ich eben 6 Einträge vor. Und nun kommt das schlimme Alle 6 Einträge waren ein Programm das ich selbst geschrieben habe. :evil:
Angeblich hätte ich Adware in meinem Programm. Das ding schimpft sich AdBlaster. Eine Beschreibung findet man zB. hier: AdBlaster
Das Ding öffnet angeblich zwischendurch Popups mit Werbung.
Hallo?!?!?!! ich hab das Programm selbst geschrieben. Ich würde doch wohl wissen wenn ich da Adware reingepackt hätte, bzw. Wenn da Popups aufgehen würden. Was soll der scheiß? Wie können denn solche Falschmeldungen zustandekommen?
Achja 6 Meldungen sind es weil es entweder noch ältere Versionen sind bzw. Backups.

[Rastaman]

Das kommt schon mal vor :wall:
Das Thema gabs schon sehr oft :wink:

[Arnulf]

naja - ich hab mir norton aus developer gründen installiert.
hab aber nach ein paar monaten aufgegeben und das ding von der platte verbannt.
Warum?
wenn du genau ließt, schreibt symatec, daß es sich hier um ein security risk handelt und nicht um einen gefundenen virus.
Leider macht das kein user - der nimmt immer das schlimmste an und glaubt das ist ein Virus.

Als Programmierer muß man jetzt damit leben.
Was es genau ist, daß norton hier als risk einstuft kann ich dir nicht sagen, nur ein paar beispiele geben.

1. Indy wird als adware erkannt - für Indy mußt du die signatur ändern dann gehts.
2. wenn du pe header scrambler oder ähnliches verwendest ( morphine als beispiel ) erkennt norton einen trojaner.
Allein aufgrund der signatur des pe header crypters - egal was das programm macht - und wenns ein hallo world ist.

Symantec geht hier einen sehr agressiven weg, der meinerseits schon für einige Verärgerung gesorgt hat.

Vielleicht bekommst ja noch raus was das problem bei dir ist, aber ich denke auch in deinem fall wurde keine adware erkannt, sondern nur ein secure risk oder wie die das nochmal nennen.

Arnulf

[Brainstalker]

Hab mir schon gedacht das es nur son komisches secure risk is. Adware ist es auf jeden Fall nicht. Das müsste ich ja sonst wissen. Möglicherweise wirds an irgend ner Kompo liegen.
An sich störts mich ja nicht da sich der Scanner ja so nicht meldet sondern nur wenn man das System scannt. Muss sagen das ich die Weise von Norton auch ein bisschen blöd finde, aber wie soll mans ändern. Thx für die info. Werd mich dadurch nicht vom programmieren abhalten lassen. :stupid:

[klaus.meyer]

Zitat:

Zitat von Arnulf

1. Indy wird als adware erkannt - für Indy mußt du die signatur ändern dann gehts.

da muss ich jetzt doch direkt nachfragen, wie du das meinst die "Signatur" der Indys ändern.
Meinst du im Virenscanner oder im Programm??

Gruß Klaus

[mkinzler]

Das gabs auch schon bei UPX usw. Es reicht dabei schon aus, das ein Viren-/trojanerentwickler INDY, UPX usw verwendet und schon werden alle Programme, die INDY,UPX, ... verwenden von manschen Virenscannern erkannt.

[klaus.meyer]

Also werd ich es nicht vermeiden könne, dass mein Programm (IRC-Bot) von
Virenscannern als Malware erkannt wird??

[J.P.]

ähm, tut mir leid wenn ich hier jetzt so reinplatze, aber was meinst du mit signatur? Und wie kann man die ändern? Einige meiner Freunde beklagen sich bei mir auch, dass ihre Virenscanner losgehen, sobald sie meinen Messenger oder Email Programm benutzen.

[mkinzler]

-Schreib den Virenscannerhersteller an und schicke ihnen ein Sample.
-Versuche es mit einen Exepacker
-Benutze ne INDY-Alternative
...

[klaus.meyer]

Danke für die Tipps, werde mich mal an den Hersteller meines AV-Progs wenden.

[J.P.]

Kann man die Indys nicht verändern? So weit ich weiß kann man den Quellcode doch einsehen, oder nicht? Dann müsste man ihn an den entsprechenden stellen ändern...
Obwohl, ich lass das lieber.

Da bleibt mir wohl leider auch nichts anderes über. :-(

[Rakshasa]

Ich hatte das selbe Problem mit meinem Programm. Allerdings haben hier nur zwei ziemlich unbekannte Antivirenprogramme (Namen schon wieder vergessen) angeschlagen. Die Folge: Zahlreiche Kunden haben sich bei mir gemeldet und beschwert, ich würde "Viren" verkaufen. Den AV-Hersteller habe ich kontaktiert und bis heute (ca. 12 Monate her) keine Antwort erhalten... die Falschmeldungen treten natürlich immer noch auf.

Mein Glück war, dass "namhafte" AV keine Falschmeldungen geliefert haben, nur diese "Billigprogramme" (eines davon gabs mal bei Aldi glaub ich).

[klaus.meyer]

Das Problem nur ist, dass es sich bei mir um den Aktuellen Bitdefender mit den neuesten Signaturen
handelt.
Den verwenden doch etwas mehr, als diese "ALDI-AV-Programme"

Gruß Klaus :mrgreen:

[Kuster Peter]

Ich arbeite mit AVAST Antivirus und mit AntiVir Classic.

Wenn man von beiden die kostenlose Version installiert hat, dann unterbricht AntiVir die Routine vom Avast, die das System langsam macht. Beide laufen perfekt miteinander und seither habe ich keine Viren mehr und auch werden keine blöden Meldungen erstellt.

Mit Norton arbeite ich seit Jahre nicht mehr.

Euer
Peter

[agm65]

check dein progg mal mit Virus-Total durch, bin mal gespannt was es meldet

[Olli]

Okay, ich gehe mal davon aus, daß du den Source zu dem Programm hast. Unser Virenlabor (bzw. dessen Besatzung) freut sich immer über Rückmeldungen. Egal ob da eine Signatur oder eine Heuristik gegriffen hat - die muß angepaßt werden. Das wäre eine Sache des Virenlabors von Symantec. Leider weiß ich deren URL für das Übermitteln von FPs (False Positives) nicht, so daß du wohl selber auf die Suche gehen mußt. Stelle sicher, daß du genau beschreibst was das Programm macht - notfalls biete an eine Kopie des Programms zu übermitteln (das wäre der letzte Ausweg). Insofern dein Programm also nicht Adware ist, werden die es auch rausnehmen.

Peter, mehrere AVs sind ein gewagtes Spiel. Ich kenne keinen AV-Hersteller, welcher Garantien darüber abliefert wie sein Programm mit anderen AVs zusammenarbeitet. Aus Sicht eines Treiberentwicklers macht das auch komplett Sinn - es mag einerseits sicherer werden, andererseits aber auch langsamer. Wenn du unbedingt sichergehen willst, benutze ein AV-Programm mit 2 oder mehr Engines - das sollte immernoch ein Stück schneller sein als zwei verschiedene AV-Programme. Meines Wissens nach enthält bspw. F-Secure zwei Engines (unsere Engine und die von Kaspersky, wenn ich nicht irre).

[J.P.]

So, hier das Result nix bei rausgekommen, ausser bei Panda.
komisch.
AhnLab-V3 2007.4.10.0 04.10.2007 no virus found
AntiVir 7.3.1.48 04.10.2007 no virus found
Authentium 4.93.8 04.09.2007 no virus found
Avast 4.7.936.0 04.08.2007 no virus found
AVG 7.5.0.447 04.10.2007 no virus found
BitDefender 7.2 04.10.2007 no virus found
CAT-QuickHeal 9.00 04.09.2007 no virus found
ClamAV devel-20070312 04.10.2007 no virus found
DrWeb 4.33 04.10.2007 no virus found
eSafe 7.0.15.0 04.09.2007 no virus found
eTrust-Vet 30.7.3557 04.10.2007 no virus found
Ewido 4.0 04.10.2007 no virus found
FileAdvisor 1 04.10.2007 no virus found
Fortinet 2.85.0.0 04.10.2007 no virus found
F-Prot 4.3.1.45 04.08.2007 no virus found
F-Secure 6.70.13030.0 04.10.2007 no virus found
Ikarus T3.1.1.3 04.10.2007 no virus found
Kaspersky 4.0.2.24 04.10.2007 no virus found
McAfee 5004 04.09.2007 no virus found
Microsoft 1.2405 04.10.2007 no virus found
NOD32v2 2175 04.09.2007 no virus found
Norman 5.80.02 04.10.2007 no virus found
Panda 9.0.0.4 04.09.2007 Suspicious file
Prevx1 V2 04.10.2007 no virus found
Sophos 4.16.0 04.06.2007 no virus found
Sunbelt 2.2.907.0 04.07.2007 no virus found
Symantec 10 04.10.2007 no virus found
TheHacker 6.1.6.088 04.09.2007 no virus found
VBA32 3.11.3 04.09.2007 no virus found
VirusBuster 4.3.7:9 04.09.2007 no virus found
Webwasher-Gateway 6.0.1 04.10.2007 no virus found

[Olli]

Wenn da "suspicious" steht, ist das irgendeine Heuristik. Abgesehen davon benutzt VirusTotal natuerlich die neuesten Signaturen zusammen mit den Kommandozeilen-Scannern der Produkte und bestimmten Einstellungen. Kann sein, dass du einfach nur die Heuristik von Norton AV zu scharf eingestellt hast. Wenn man dort rumstellen kann, nimm einfach eine Stufe runter und scanne nochmal das entsprechende Verzeichnis.

[klaus.meyer]

Jo hab ich mal gemacht. Anscheinend ist Bitdefender der einzige,
der meinen IRC-Bot als Malware erkennt.

Anhang: Screenshot vom Online-Scanner