| Autor |
Beitrag |
Gewuerzgurke
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Do 19.03.09 17:21
Hallo, nach dem Update von AntiVir gestern Abend wird mir eine Warnung für eins von meinen eigenen Programmen angezeigt.
Das Programm ist mein Autostartmanager, der die zu startenden Programme aus einer INI liest und dann mit ShellExecute startet. Darbei kann ich dann bestimmte "Pakete" auswählen, die ich nur manchmal brauche...
Seit gestern Abend kommt immer die Meldung:
...\Autostartmanager.exe
Enthällt ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Hupigon.Gen
Vermutlich ein unglücklicher Zufall; für mich jetzt nicht weiter tragisch, mein Autostartmanager hatte sowiso haufenweise Bugs...
Ich wollte aber fragen, ob schonmal jemand ähnliche Probleme hatte, ob es eine universelle Regel gibt, um soetwas zu vermeiden und/oder ob es zu diesem Thema sonst noch wissenswertes gibt.
Danke schonmal...
|
|
Fienix
      
Beiträge: 109
Win 2K, Win XP Pro, Win 7
D 5 Pro., D 7 Ent., D 2010 Pro.
|
Verfasst: Do 19.03.09 17:23
Hi,
du bist nicht der einzige, das Problem hatte ich auch schon mal, allerdings ist es schon fast 3 Jahre her.
_________________ Wer sichert ist feige!!
|
|
Dunkel
      
Beiträge: 682
Mac OS X Snow Leopard
Xcode 3.1
|
Verfasst: Do 19.03.09 17:44
Ein typisches Beispiel für ein sog. False-Positiv. Moderne Virenscanner versuchen über Pattern-Matching, Fingerprints u.Ä. auch "unbekannten" Schadcode in einer ausführbaren Datei zu erkennen. Dabei werden dann schon mal sauber Echsen als böse erkannt.
Schick Dein Programm inklusive Virenmeldung via eMail zu Avira. Beim nächsten Update der Virendefinitionen wird wahrscheinlich Deine Echse nicht mehr als potenziell gefährlich eingestuft.
_________________ Ich streite einsam mich mit dieser Oberflächenwelt
Gutes sei ein löblich Brot von dem ich zehre - bis zum Tod [Das Ich - Im Ich]
|
|
Timosch
      
Beiträge: 1314
Debian Squeeze, Win 7 Prof.
D7 Pers
|
Verfasst: Do 19.03.09 17:53
Dunkel: ACK.
Das Problem hab ich ständig. Irgendwelche völlig harmlosen EXEn werden als Viren eingestuft. Heuristik schön und gut, aber IMHO übertreibens die Anti-Viren-Programme da etwas. Wohin das führt, sieht man dann an solchen Heise-online-Meldungen wie "Scanner XY löscht winlogon.exe". 
_________________ If liberty means anything at all, it means the right to tell people what they do not want to hear. - George Orwell
|
|
Sinspin
      
Beiträge: 1340
Erhaltene Danke: 120
Win 10
RIO, CE, Lazarus
|
Verfasst: Do 19.03.09 18:30
Dunkel hat folgendes geschrieben : | | Schick Dein Programm inklusive Virenmeldung via eMail zu Avira. Beim nächsten Update der Virendefinitionen wird wahrscheinlich Deine Echse nicht mehr als potenziell gefährlich eingestuft. |
So ist es. Bei Antivir gibt es eine Email Adresse oder auch ein Upload Formular für so besondere Fälle bei denen man nicht weiß was das soll. Mit dem nächsten Update der VDF kommt es zu keiner Fehlerkennung mehr (es sei denn es ist wirklich ein Virus drinne). Ich hatte das Problem schon einige male. Besonders gerne bei Programmen die ich mit UPX gepackt hatte.
_________________ Wir zerstören die Natur und Wälder der Erde. Wir töten wilde Tiere für Trophäen. Wir produzieren Lebewesen als Massenware um sie nach wenigen Monaten zu töten. Warum sollte unser aller Mutter, die Natur, nicht die gleichen Rechte haben?
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Do 19.03.09 19:27
Hab' bei einem Komplett-Scan das Selbe Problem noch in zwei anderen Anwendungen entdeckt. Eine in System Volume Information und noch eine von meinen Eigenen. Könnte sein, dass das irgendwie in Verbindung mit CM_Is_Dock_Station_Present (Siehe hier: www.delphi-forum.de/...ngstation_89337.html) steht. Ich such' mal weiter...
|
|
Timosch
      
Beiträge: 1314
Debian Squeeze, Win 7 Prof.
D7 Pers
|
Verfasst: Do 19.03.09 19:34
Gewuerzgurke hat folgendes geschrieben : | | Eine in System Volume Information und noch eine von meinen Eigenen. |
Das sind nicht zufällig die gleichen (bzw. ein älteres Backup)?
_________________ If liberty means anything at all, it means the right to tell people what they do not want to hear. - George Orwell
|
|
jaenicke
      
Beiträge: 19346
Erhaltene Danke: 1754
W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
|
Verfasst: Do 19.03.09 21:43
Lade die Datei doch einfach einmal hier hoch, dann siehst du was andere Virenscanner dazu sagen (und wo du ggf. überall die Datei als False Positive melden musst):
www.virustotal.com/de/
Ich selbst hatte das bisher zum Glück auch nur mit gepackten Exen (Upx), weshalb ich (neben anderen Gründen) darauf weitgehend verzichte. Das Sfx-Teil meines Packers macht da fast die einzige Ausnahme.
Aber ich gehe mal davon aus, dass du die Exe ohnehin nicht packst.
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Fr 20.03.09 15:11
@Timosch
Nein, die in System Volume Information heist A0118175.exe, ich werd' mal suchen, wo die auf der "richtigen" Platte steht.
|
|
jaenicke
      
Beiträge: 19346
Erhaltene Danke: 1754
W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
|
Verfasst: Fr 20.03.09 15:16
Hast du einmal geschaut was andere Virenscanner dazu sagen?
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Fr 20.03.09 15:48
|
|
Dude566
      
Beiträge: 1592
Erhaltene Danke: 79
W8, W7 (Chrome, FF, IE)
Delphi XE2 Pro, Eclipse Juno, VS2012
|
Verfasst: Fr 20.03.09 17:40
Lad die Datei einfach bei ww.virustotal.com/de hoch und du kriegst angezeigt was andere Scanner dazu sagen.
_________________ Es gibt 10 Gruppen von Menschen: diejenigen, die das Binärsystem verstehen, und die anderen.
|
|
jaenicke
      
Beiträge: 19346
Erhaltene Danke: 1754
W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
|
Verfasst: Fr 20.03.09 17:43
|
|
Dude566
      
Beiträge: 1592
Erhaltene Danke: 79
W8, W7 (Chrome, FF, IE)
Delphi XE2 Pro, Eclipse Juno, VS2012
|
Verfasst: Fr 20.03.09 17:58
Ich glaube er sucht etwas. ^^
_________________ Es gibt 10 Gruppen von Menschen: diejenigen, die das Binärsystem verstehen, und die anderen.
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Fr 20.03.09 23:16
Nun, die EXE in System Volume Information ist jedes mal eine andere. A0118175.exe, A0118176.exe ... Da konnte ich mich nicht entscheiden. Und heute komme ich zu nichts mehr. 
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Sa 21.03.09 10:30
So, ich hab' das jetzt mal hochgeladen. Aber nur McAfee-GW-Edition und AntiVir haben das Problem festgestellt.
Auch die EXE aus System Volume Information scheint eines von meinen eigenen Programmen zu sein, dass Windows unter 'falschem' Namen in System Volume Information gepackt hat. Hab' mal riskiert das auszuführen - jedoch kommt nur ein leeres Fenster, daher weis ich nicht, welches das sein könnte...
Ich werd' mal vesuchen, den problematischen Code aus meinem Autostartmanager zu 'filtern', aber das kann dauern. 
|
|
Sinspin
      
Beiträge: 1340
Erhaltene Danke: 120
Win 10
RIO, CE, Lazarus
|
Verfasst: Sa 21.03.09 10:46
Das Verzeichnis "System Volume Information" ist genau wie die diversen "Recycler" Ordner, die sich meißt nur braf verstecken, ein Systemeigenes Verzeichnis in dem Dateien immer nur mit einer Indexnummer benannt sind. Alle zusätzlichen Informationen werden in einer Datenbank (Tabelle) gespeichert.
Das hat den Vorteil das in dem Verzeichnis eine Datei mit dem gleichen Namen mehrmals vorkommen kann.
Willst du wissen um was es sich handelt kannst du entweder versuchen was aus den Versionsinfos zu ziehen die dir der Explorer anzeigt. Oder du verwendest einen PE-Spy um es über die Texte und Ressourcen die in der Datei enthalten sind rauszubekommen.
_________________ Wir zerstören die Natur und Wälder der Erde. Wir töten wilde Tiere für Trophäen. Wir produzieren Lebewesen als Massenware um sie nach wenigen Monaten zu töten. Warum sollte unser aller Mutter, die Natur, nicht die gleichen Rechte haben?
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Sa 28.03.09 16:06
So, ich hab' die Problemstelle gefunden:
Delphi-Quelltext 1: 2: 3: 4: 5: 6:
| var i : integer; dsm: TcbDSMixer; begin dsm := TcbDSMixer.Create(Form1); for i := 0 to dsm.DeviceCount-1 do if (dsm.Devices[i] = 'SB X-Fi Surround 5.1') then showMessage('hy'); end; |
dsm ist aus dem Programm DSMixer ( www.carlosb.com/ctrl.php?fm=delphicomps). Ich hatte das verwendet weil ich CM_Is_Dock_Station_Present nicht zum Laufen bekommen habe.
Und jetzt muss ich mich wieder nach einer Alternative umschauen. 
|
|
jaenicke
      
Beiträge: 19346
Erhaltene Danke: 1754
W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
|
Verfasst: Sa 28.03.09 16:08
An welcher Zeile liegt es? Liegt es vielleicht an dem String, weil der zufällig einer Virussignatur ähnelt? Versuch es mal ohne 'SB X-Fi Surround 5.1', nur mit der Schleife und Ausgabe der Namen oder so, vielleicht gibt es ja doch eine Lösung.
|
|
Gewuerzgurke 
      
Beiträge: 152
Win XP
Lazarus
|
Verfasst: Mo 30.03.09 17:30
Die Problematische Zeile ist TcbDSMixer.Create.
Ich hab' noch mal im Original-Text nachgelesen und zwei Dinge geändert - aber ohne Erfolg. Vereinfacht sieht das dann so aus:
Mein Programm (mit Warnmeldung):
1: 2: 3: 4: 5: 6: 7: 8: 9: 10: 11: 12: 13: 14: 15: 16: 17: 18: 19: 20: 21: 22: 23: 24: 25: 26: 27: 28: 29: 30: 31:
| unit Unit1;
interface
uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs, cbDSmixer;
type TForm1 = class(TForm) procedure Test(Sender: TObject); private public dsm: TcbDSMixer;
end;
var Form1: TForm1;
implementation
{$R *.dfm}
procedure TForm1.test(Sender: TObject); begin dsm := TcbDSMixer.Create(self); end;
end. |
Originalprogramm (ohne Warnmeldung):
1: 2: 3: 4: 5: 6: 7: 8: 9: 10: 11: 12: 13: 14: 15: 16: 17: 18: 19: 20: 21: 22: 23: 24: 25: 26: 27: 28: 29: 30: 31: 32: 33: 34: 35: 36: 37: 38: 39: 40: 41: 42: 43: 44: 45: 46: 47: 48: 49: 50: 51: 52: 53: 54: 55: 56: 57: 58: 59: 60: 61: 62: 63: 64: 65: 66: 67: 68: 69: 70: 71: 72: 73: 74: 75:
| unit unitDSMixerTest;
interface
uses Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs, cbDSmixer, unitChannel, Menus, StdCtrls, mmsystem;
const MAX_CHANNELS = 4;
type TFormDSMixer = class(TForm) MainMenu1: TMainMenu; miDevices: TMenuItem; File1: TMenuItem; Addchannel1: TMenuItem; procedure FormCreate(Sender: TObject); procedure miCriarCanalClick(Sender: TObject);
procedure miDeviceClick(Sender: TObject); procedure FormDestroy(Sender: TObject); public dsm: TcbDSMixer; end;
var FormDSMixer: TFormDSMixer;
implementation
{$R *.DFM}
procedure TFormDSMixer.FormCreate(Sender: TObject); var NewItem: TMenuItem; Cnt: Integer; begin dsm := TcbDSMixer.Create(self);
for Cnt := 0 to dsm.DeviceCount-1 do begin NewItem := TMenuItem.Create(Self); NewItem.Caption := dsm.Devices[Cnt]; NewItem.Tag := Cnt; NewItem.RadioItem := True; NewItem.OnClick := miDeviceClick; miDevices.Add(NewItem); end; miDevices.Items[0].Checked := True; end;
procedure TFormDSMixer.miCriarCanalClick(Sender: TObject); begin TFormChannel.Create(self, DSM); end;
procedure TFormDSMixer.miDeviceClick(Sender: TObject); begin dsm.DeviceIndex := TComponent(Sender).Tag; dsm.DestroyDirectSound; TMenuItem(Sender).Checked := True; end;
procedure TFormDSMixer.FormDestroy(Sender: TObject); var Cnt: Integer; begin for Cnt := MDIChildCount-1 downto 0 do MDIChildren[Cnt].Free; dsm.Free; end;
end. |
Also ich kann jetzt im Bezug auf dsm keinen nennenswerten Unterschied feststellen... 
|
|