Anwendung als Malware erkannt

[venice2]

Zitat:

Da der String mit 'SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN' in deiner Exe wohl als Konstantenstring hinterlegt und somit von einem Scanner lesbar ist (Schau Dir die EXE mal mit nem HEX-Viewer an) wird dass wohl der Grund für die Maleware einstufung sein!.

Sorry Nein!

Ohne UPX meldet Malwarebytes keine Probleme.
Ein Malware Scanner sollte eigentlich in der Lage sein eine Datei mit UPX zu entpacken und nicht global alle Anwendungen damit verteufeln.
Deshalb ist die Heuristik dieses Scanner eigentlich untauglich.

Es ist auch kein Konstantenstring.

Delphi-Quellcode:

procedure AutoReg(Set1: Boolean);
var
  Reg: TRegistry;
  Pfad: string;
begin
  try
    Pfad := '"' + ParamStr(0) + '"';
    Reg := TRegistry.Create;
    Reg.RootKey := HKEY_CURRENT_USER;
    Reg.OpenKey('\SOFTWARE\Microsoft\Windows\CurrentVersion\Run', false);
    if Set1 then
    begin
      Reg.Writestring(Name4Registry, Pfad);
      MessageDlg('Autostart set (for current user)', mtInformation, [mbOK], 0);
    end
    else
    begin
      Reg.DeleteValue(Name4Registry);
      MessageDlg('Autostart disabled', mtInformation, [mbOK], 0);
    end;

    Reg.Closekey;
    Reg.Free;
  except
    MessageDlg('Could not access Autostart key', mtError, [mbOK], 0);
  end
end;

[KodeZwerg]

UPX wird eigentlich bei allen aktuelleren Scannern supported. Ist deine Version vom scanner vielleicht stark veraltet?
Wenn du es unbedingt exe-komprimiert haben möchtest, mit mpress habe ich gute Erfahrung vs scanner gemacht aber ob das dein scanner schluckt musst du alleine herausfinden.
(ich nutze kaspersky aufm pc und totalvirus.com)

[venice2]

Zitat von KodeZwerg:

UPX wird eigentlich bei allen aktuelleren Scannern supported. Ist deine Version vom scanner vielleicht stark veraltet?
Wenn du es unbedingt exe-komprimiert haben möchtest, mit mpress habe ich gute Erfahrung vs scanner gemacht aber ob das dein scanner schluckt musst du alleine herausfinden.
(ich nutze kaspersky aufm pc und totalvirus.com)

Es geht nicht um einen Virus sondern um Malware
Ich denke mal das MalwareBytes auf seiner Webseite keine alten Versionen zum Download bereit stellt oder?

[himitsu]

UPX und viele andere EXE-Packer werden aber auch von den meisten Virenscannern erkannt, entpackt und dann der Inhalt nochmal gescannt.

Aber kann sein, dass hinter UPX/usw. die Erkennung stenger arbeitet, da das UPX eventuell Indiz für was Gefährliches eingestuft wird.

Und veränderte UPX oder eine "ungünstige" Konfiguration können dafür sorgen, dass nicht entpackt werden kann,
und dann wird natürlich gedacht, dass jemand was verstecken will und das ist natülich sofort ganz böse.


Egal ob Viren oder Malware ... das System der Erkennung ist fast überall gleich/ähnlich.

PS: VirenScanner suchen auch nach Maleware.
Und bloß weil Malwarebytes das Malware im Namen hat, so suchen dessen Programme auch nach Viren.

[venice2]

Zitat:

Und bloß weil Malwarebytes das Malware im Namen hat, so suchen dessen Programme auch nach Viren.

Nein nur mit gekauften Zusatzmodul.

[himitsu]

ahhhh, klang so, als wenn das schon im normalen Preis mit drin ist

böse werbung

[HolgerX]

Hmm..

Zitat von venice2:

Es ist auch kein Konstantenstring.

Delphi-Quellcode:

...
    Reg.OpenKey('\SOFTWARE\Microsoft\Windows\CurrentVersion\Run', false);
..

Wenn Du meinst, dass dies kein Konstantenstring in deiner EXE ist?
Es muss nicht 'const' davor stehen....

[venice2]

Eine Konstante ist bei mir ein vorgefertigter string. in diesen Fall

Delphi-Quellcode:

const
  x = '\SOFTWARE\Microsoft\Windows\CurrentVersion\Run';

Reg.OpenKey(x, false);

Das andere nur ein String gültig für die eine Anweisung, Funktion.

Wenn jedoch bei dir ein string ohne const eine Konstante ist dann ist es so.
Ich habe da eine andere Auffassung.

[himitsu]

Es macht keinen Unterschied.

Eine "richtige" Konstante wird, ähnlich einem Makro, an jeder Stelle ersetzt. (Strings sind Zeiger, also steht "überall" der Zeiger zum String)

Es ist das selbe Ergebnis, also wenn man den die String-Konstante den String direkt einsetzt.
Noch besser, denn wenn der gleiche String an mehreren Stellen vorkommt, dann führt die Codeoptimierung das zusammen und auch da ist dann überall der gleiche Zeiger zur selben String-Konstante.



Bei einer typisierten Konstante ist es ein Unterschied,
denn typlisierte Konstanten sind in Wirklichkeit schreibgeschützte Variablen.
Also hier ist dann überall der Zeiger auf die "Variable" eingebaut.



Bei Strings kommt das Verhalten des Compilers nicht gut rüber.
Mit Integern fällt es besser auf.

Egal ob untypisierte Konstante oder die Zahl direkt im Code, am Ende ist die Zahl direkt im Compilat.
Bei einer Variable oder typisierten Konstante wird an allen Stellen eine Referenz zur globalen Varialble/Konstante im Compilat zu finden sein.

[venice2]

Zitat:

Es macht keinen Unterschied.

OkiDoki

Danke für eure Infos! Ihr habt dann recht.
Dachte bisher das es nur dann eine Konstante ist wenn explicit so in einer Funktion übergeben.

function(const x: string)
Wuste nicht das es grundsätzlich so ist. Dann kann man sich das const für Strings ja sparen!

Aber gut Thema ist ja erledigt.