Heuristik-Fund bei ShellExecute/CreateProcess/WinExeC

[internetnavigator]

Guten Abend zusammen,

ich habe in den letzen 3 Monaten ein Netzwerkgestürtzes Programm geschrieben, welches durch Verbindung zu einem Webserver sich immer aktuell hält. Quelltext-technisch kein Problem. Bei einem Update wird der Programmname genommen "Host.exe" und ein "_update" eingefügt: "Host_update.exe". Die Verknüpfung auf dem Desktop und im Startmenü steht aber auf "Host.exe".
Nun weiß jede Programmversion, dass sie "Host.exe" heißen muss, ist dies nicht der Fall, kopiert sie sich zu dem Namen und legt eine Batch nach folgendem Muster an (Programmcode angehangen). Damit soll sie sich immer auf dem "Host.exe" Namen halten und die alte Version überschreiben.

Nun kommt das Problem:
(Ich selber habe Avira und Norton)
Bei einer Probeinstallation (nutze InstallAware) meldete der Kunde, dass sein gData Virenscanner anschlug.

Habe mir also gData als Testversion geladen und tatsächlich. Habe den ganzen Programmcode nun gefiltert und bin dabei an der Zeile
ShellExecute(0,'open', pChar(hAppPath + hRunBatFileName), nil, nil, SW_NORMAL) hängen geblieben (Hab auch schon WinExeC und CreateProcess versucht).

Sie bringt gData, als einziges Programm zur Annahme:

Zitat:

Virus: Gen:Trojan.Heur.GZ.OM0@baqReuxi (Engine-A)
Datei: Host.exe
Verzeichnis: L:\Entwicklung\Schulprojekte\Host
Prozess: bds.exe

Nun wird aber im gesamten Netzwerk gData eingesetzt und das ist natürlich ein Problem.

Hier die Procedure:

Delphi-Quellcode:

//-------- InstallHost (public) --------------------------------------
Procedure TSysCtrl.InstallHost;
Var
 Bat : TStringList;
begin
 CopyFile(pChar(ParamStr(0)), pChar(hHostFile), FALSE);

 Bat := TStringList.Create();
 Bat.Clear;
 Bat.Add(':1');
 Bat.Add('DEL /F "' + ParamStr(0) + '"');   // Delete old Host-File
 Bat.Add('If Exist "' + ParamStr(0) + '" goto 1');
 Bat.Add('"' + hHostFile+ '"');   // Run new Host-File
 Bat.Add('DEL %0');
 Bat.SaveToFile(pChar(hAppPath + hRunBatFileName));
 Bat.Free;
ShellExecute(0,'open', pChar(hAppPath + hRunBatFileName), nil, nil, SW_NORMAL); // Configure...
Application.Terminate;
end;

Gibt es vielleicht irgend eine Möglichkeit dass man direkt im asm auf das ShellExecute springen kann?

Ich weiß soetwas zu umgehen ist ein sehr heikles Thema, aber ich bin gern bereit mehr Infos zum Programm und zu weiteren Funktionen zu geben.

mfg !N