Autor Beitrag
Gewuerzgurke
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Do 19.03.09 17:21 
Hallo, nach dem Update von AntiVir gestern Abend wird mir eine Warnung für eins von meinen eigenen Programmen angezeigt.

Das Programm ist mein Autostartmanager, der die zu startenden Programme aus einer INI liest und dann mit ShellExecute startet. Darbei kann ich dann bestimmte "Pakete" auswählen, die ich nur manchmal brauche...

Seit gestern Abend kommt immer die Meldung:
...\Autostartmanager.exe
Enthällt ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Hupigon.Gen

Vermutlich ein unglücklicher Zufall; für mich jetzt nicht weiter tragisch, mein Autostartmanager hatte sowiso haufenweise Bugs...

Ich wollte aber fragen, ob schonmal jemand ähnliche Probleme hatte, ob es eine universelle Regel gibt, um soetwas zu vermeiden und/oder ob es zu diesem Thema sonst noch wissenswertes gibt.

Danke schonmal...
Fienix
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starontopic star
Beiträge: 109

Win 2K, Win XP Pro, Win 7
D 5 Pro., D 7 Ent., D 2010 Pro.
BeitragVerfasst: Do 19.03.09 17:23 
Hi,

du bist nicht der einzige, das Problem hatte ich auch schon mal, allerdings ist es schon fast 3 Jahre her.

_________________
Wer sichert ist feige!!
Dunkel
ontopic starontopic starontopic starontopic starontopic starontopic starofftopic starofftopic star
Beiträge: 682

Mac OS X Snow Leopard
Xcode 3.1
BeitragVerfasst: Do 19.03.09 17:44 
Ein typisches Beispiel für ein sog. False-Positiv. Moderne Virenscanner versuchen über Pattern-Matching, Fingerprints u.Ä. auch "unbekannten" Schadcode in einer ausführbaren Datei zu erkennen. Dabei werden dann schon mal sauber Echsen als böse erkannt.

Schick Dein Programm inklusive Virenmeldung via eMail zu Avira. Beim nächsten Update der Virendefinitionen wird wahrscheinlich Deine Echse nicht mehr als potenziell gefährlich eingestuft.

_________________
Ich streite einsam mich mit dieser Oberflächenwelt
Gutes sei ein löblich Brot von dem ich zehre - bis zum Tod [Das Ich - Im Ich]
Timosch
ontopic starontopic starontopic starontopic starontopic starofftopic starofftopic starofftopic star
Beiträge: 1314

Debian Squeeze, Win 7 Prof.
D7 Pers
BeitragVerfasst: Do 19.03.09 17:53 
Dunkel: ACK.

Das Problem hab ich ständig. Irgendwelche völlig harmlosen EXEn werden als Viren eingestuft. Heuristik schön und gut, aber IMHO übertreibens die Anti-Viren-Programme da etwas. Wohin das führt, sieht man dann an solchen Heise-online-Meldungen wie "Scanner XY löscht winlogon.exe". :mrgreen:

_________________
If liberty means anything at all, it means the right to tell people what they do not want to hear. - George Orwell
Sinspin
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 1340
Erhaltene Danke: 120

Win 10
RIO, CE, Lazarus
BeitragVerfasst: Do 19.03.09 18:30 
user profile iconDunkel hat folgendes geschrieben Zum zitierten Posting springen:
Schick Dein Programm inklusive Virenmeldung via eMail zu Avira. Beim nächsten Update der Virendefinitionen wird wahrscheinlich Deine Echse nicht mehr als potenziell gefährlich eingestuft.

So ist es. Bei Antivir gibt es eine Email Adresse oder auch ein Upload Formular für so besondere Fälle bei denen man nicht weiß was das soll. Mit dem nächsten Update der VDF kommt es zu keiner Fehlerkennung mehr (es sei denn es ist wirklich ein Virus drinne). Ich hatte das Problem schon einige male. Besonders gerne bei Programmen die ich mit UPX gepackt hatte.

_________________
Wir zerstören die Natur und Wälder der Erde. Wir töten wilde Tiere für Trophäen. Wir produzieren Lebewesen als Massenware um sie nach wenigen Monaten zu töten. Warum sollte unser aller Mutter, die Natur, nicht die gleichen Rechte haben?
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Do 19.03.09 19:27 
Hab' bei einem Komplett-Scan das Selbe Problem noch in zwei anderen Anwendungen entdeckt. Eine in System Volume Information und noch eine von meinen Eigenen. Könnte sein, dass das irgendwie in Verbindung mit CM_Is_Dock_Station_Present (Siehe hier: www.delphi-forum.de/...ngstation_89337.html) steht. Ich such' mal weiter...
Timosch
ontopic starontopic starontopic starontopic starontopic starofftopic starofftopic starofftopic star
Beiträge: 1314

Debian Squeeze, Win 7 Prof.
D7 Pers
BeitragVerfasst: Do 19.03.09 19:34 
user profile iconGewuerzgurke hat folgendes geschrieben Zum zitierten Posting springen:
Eine in System Volume Information und noch eine von meinen Eigenen.

Das sind nicht zufällig die gleichen (bzw. ein älteres Backup)?

_________________
If liberty means anything at all, it means the right to tell people what they do not want to hear. - George Orwell
jaenicke
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 19346
Erhaltene Danke: 1754

W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
BeitragVerfasst: Do 19.03.09 21:43 
Lade die Datei doch einfach einmal hier hoch, dann siehst du was andere Virenscanner dazu sagen (und wo du ggf. überall die Datei als False Positive melden musst):
www.virustotal.com/de/

Ich selbst hatte das bisher zum Glück auch nur mit gepackten Exen (Upx), weshalb ich (neben anderen Gründen) darauf weitgehend verzichte. Das Sfx-Teil meines Packers macht da fast die einzige Ausnahme.
Aber ich gehe mal davon aus, dass du die Exe ohnehin nicht packst.
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Fr 20.03.09 15:11 
@Timosch
Nein, die in System Volume Information heist A0118175.exe, ich werd' mal suchen, wo die auf der "richtigen" Platte steht.
jaenicke
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 19346
Erhaltene Danke: 1754

W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
BeitragVerfasst: Fr 20.03.09 15:16 
Hast du einmal geschaut was andere Virenscanner dazu sagen?
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Fr 20.03.09 15:48 
Ich arbeite noch 'drann.
Dude566
ontopic starontopic starontopic starontopic starhalf ontopic starofftopic starofftopic starofftopic star
Beiträge: 1592
Erhaltene Danke: 79

W8, W7 (Chrome, FF, IE)
Delphi XE2 Pro, Eclipse Juno, VS2012
BeitragVerfasst: Fr 20.03.09 17:40 
Lad die Datei einfach bei ww.virustotal.com/de hoch und du kriegst angezeigt was andere Scanner dazu sagen.

_________________
Es gibt 10 Gruppen von Menschen: diejenigen, die das Binärsystem verstehen, und die anderen.
jaenicke
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 19346
Erhaltene Danke: 1754

W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
BeitragVerfasst: Fr 20.03.09 17:43 
user profile iconGewuerzgurke hat folgendes geschrieben Zum zitierten Posting springen:
Ich arbeite noch 'drann.
Wie meinst du das? So lange dauert die Überprüfung nach dem Upload doch eigentlich nicht. :gruebel:
Dude566
ontopic starontopic starontopic starontopic starhalf ontopic starofftopic starofftopic starofftopic star
Beiträge: 1592
Erhaltene Danke: 79

W8, W7 (Chrome, FF, IE)
Delphi XE2 Pro, Eclipse Juno, VS2012
BeitragVerfasst: Fr 20.03.09 17:58 
Ich glaube er sucht etwas. ^^

_________________
Es gibt 10 Gruppen von Menschen: diejenigen, die das Binärsystem verstehen, und die anderen.
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Fr 20.03.09 23:16 
Nun, die EXE in System Volume Information ist jedes mal eine andere. A0118175.exe, A0118176.exe ... Da konnte ich mich nicht entscheiden. Und heute komme ich zu nichts mehr. :nut:
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Sa 21.03.09 10:30 
So, ich hab' das jetzt mal hochgeladen. Aber nur McAfee-GW-Edition und AntiVir haben das Problem festgestellt.

Auch die EXE aus System Volume Information scheint eines von meinen eigenen Programmen zu sein, dass Windows unter 'falschem' Namen in System Volume Information gepackt hat. Hab' mal riskiert das auszuführen - jedoch kommt nur ein leeres Fenster, daher weis ich nicht, welches das sein könnte...

Ich werd' mal vesuchen, den problematischen Code aus meinem Autostartmanager zu 'filtern', aber das kann dauern. :lupe:
Sinspin
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 1340
Erhaltene Danke: 120

Win 10
RIO, CE, Lazarus
BeitragVerfasst: Sa 21.03.09 10:46 
Das Verzeichnis "System Volume Information" ist genau wie die diversen "Recycler" Ordner, die sich meißt nur braf verstecken, ein Systemeigenes Verzeichnis in dem Dateien immer nur mit einer Indexnummer benannt sind. Alle zusätzlichen Informationen werden in einer Datenbank (Tabelle) gespeichert.
Das hat den Vorteil das in dem Verzeichnis eine Datei mit dem gleichen Namen mehrmals vorkommen kann.
Willst du wissen um was es sich handelt kannst du entweder versuchen was aus den Versionsinfos zu ziehen die dir der Explorer anzeigt. Oder du verwendest einen PE-Spy um es über die Texte und Ressourcen die in der Datei enthalten sind rauszubekommen.

_________________
Wir zerstören die Natur und Wälder der Erde. Wir töten wilde Tiere für Trophäen. Wir produzieren Lebewesen als Massenware um sie nach wenigen Monaten zu töten. Warum sollte unser aller Mutter, die Natur, nicht die gleichen Rechte haben?
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Sa 28.03.09 16:06 
So, ich hab' die Problemstelle gefunden:
ausblenden Delphi-Quelltext
1:
2:
3:
4:
5:
6:
var i : integer;
    dsm: TcbDSMixer;
begin
  dsm := TcbDSMixer.Create(Form1);
  for i := 0 to dsm.DeviceCount-1 do if (dsm.Devices[i] = 'SB X-Fi Surround 5.1') then showMessage('hy');
end;


dsm ist aus dem Programm DSMixer (www.carlosb.com/ctrl.php?fm=delphicomps). Ich hatte das verwendet weil ich CM_Is_Dock_Station_Present nicht zum Laufen bekommen habe.

Und jetzt muss ich mich wieder nach einer Alternative umschauen. :?
jaenicke
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 19346
Erhaltene Danke: 1754

W11 x64 (Chrome, Edge)
Delphi 12 Pro, C# (VS 2022), JS/HTML, Java (NB), PHP, Lazarus
BeitragVerfasst: Sa 28.03.09 16:08 
An welcher Zeile liegt es? Liegt es vielleicht an dem String, weil der zufällig einer Virussignatur ähnelt? Versuch es mal ohne 'SB X-Fi Surround 5.1', nur mit der Schleife und Ausgabe der Namen oder so, vielleicht gibt es ja doch eine Lösung.
Gewuerzgurke Threadstarter
ontopic starontopic starontopic starontopic starontopic starontopic starontopic starofftopic star
Beiträge: 152

Win XP
Lazarus
BeitragVerfasst: Mo 30.03.09 17:30 
Die Problematische Zeile ist TcbDSMixer.Create.
Ich hab' noch mal im Original-Text nachgelesen und zwei Dinge geändert - aber ohne Erfolg. Vereinfacht sieht das dann so aus:

Mein Programm (mit Warnmeldung):
ausblenden volle Höhe Delphi-Quelltext
1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
unit Unit1;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, cbDSmixer;

type
  TForm1 = class(TForm)
    procedure Test(Sender: TObject);
  private
    { Private-Deklarationen }
  public
   dsm: TcbDSMixer;

  end;

var
  Form1: TForm1;

implementation

{$R *.dfm}

procedure TForm1.test(Sender: TObject);
begin
  dsm := TcbDSMixer.Create(self);
end;

end.


Originalprogramm (ohne Warnmeldung):
ausblenden volle Höhe Delphi-Quelltext
1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
unit unitDSMixerTest;

interface

uses
  Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs,
  cbDSmixer, unitChannel, Menus, StdCtrls, mmsystem;

const
  MAX_CHANNELS = 4;

type
  TFormDSMixer = class(TForm)
    MainMenu1: TMainMenu;
    miDevices: TMenuItem;
    File1: TMenuItem;
    Addchannel1: TMenuItem;
    procedure FormCreate(Sender: TObject);
    procedure miCriarCanalClick(Sender: TObject);

    procedure miDeviceClick(Sender: TObject);
    procedure FormDestroy(Sender: TObject);
  public
    dsm: TcbDSMixer;
    { Public declarations }
  end;

var
  FormDSMixer: TFormDSMixer;

implementation

{$R *.DFM}

procedure TFormDSMixer.FormCreate(Sender: TObject);
var
  NewItem: TMenuItem;
  Cnt: Integer;
begin
  dsm := TcbDSMixer.Create(self);

  for Cnt := 0 to dsm.DeviceCount-1 do
  begin
    NewItem := TMenuItem.Create(Self);
    NewItem.Caption := dsm.Devices[Cnt];
    NewItem.Tag := Cnt;
    NewItem.RadioItem := True;
    NewItem.OnClick := miDeviceClick;
    miDevices.Add(NewItem);
  end;
  miDevices.Items[0].Checked := True;
end;

procedure TFormDSMixer.miCriarCanalClick(Sender: TObject);
begin
  TFormChannel.Create(self, DSM);
end;

procedure TFormDSMixer.miDeviceClick(Sender: TObject);
begin
  dsm.DeviceIndex := TComponent(Sender).Tag;
  dsm.DestroyDirectSound;
  TMenuItem(Sender).Checked := True;
end;

procedure TFormDSMixer.FormDestroy(Sender: TObject);
var
  Cnt: Integer;
begin
  for Cnt := MDIChildCount-1 downto 0 do
      MDIChildren[Cnt].Free;
  dsm.Free;
end;

end.


Also ich kann jetzt im Bezug auf dsm keinen nennenswerten Unterschied feststellen... :gruebel: