GExperts Viren Warnung

[grizzly]

Ich habe deswegen vorgestern schon einen "Verdacht auf Falschmeldung" an Avira gesandt. Die monierte Backdoor ist schließlich schon ewig alt, und jetzt sollte die plötzlich in den GExperts über Nacht auftauchen? Dafür sandte ich denen den Link für den Download und als Beispieldatei das ExpertManager.exe.
Am selben Tag bekam ich von denen noch folgende eMail:

Zitat:

[...]
Dateiname Ergebnis
ExpertManager.exe FALSE POSITIVE
Die Datei 'ExpertManager.exe' wurde als 'FALSE POSITIVE' eingestuft. Dies bedeutet, dass diese Datei nicht gefährlich und eine Fehlmeldung unsererseits ist. Das Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) entfernt werden.
[...]

Mit dem neuesten Virenupdate von gestern wurde auch der ExpertManager.exe nicht mehr moniert. Allerdings der GExpertsGrep.exe schon noch. Den hätte ich vielleicht gleich mitschicken sollen.
Bitdefender löscht die Dateien allerdings immer noch rigoros. Scheint da also anderer Meinung zu sein...

Gruß
Michael

Edit: Das ist vielleicht auch der Grund, warum heute bei VirusTotal die Datei von Avira AntiVir nicht mehr moniert wurde.

[Guido Eisenbeis]

Zitat:

Zitat von Hansa

... Bei mir war ärgerlich, dass die IDE mit Fehlern startete. Seit die GExperts durch CNPack ersetzt sind, ist in der Richtung nichts mehr zu bemerken. ...

Bei mir treten sproradisch ebenfalls IDE-Fehler auf, (z. B. komplettes Einfrieren, oder dass im Editor der Cursor an verschiedene Positionen springt, obwohl ich einfach nur schreiben will, ...) die ich nicht erklären kann. Diese Fehler sind nicht auf "gefährlichen" Code zurückzuführen, z. B. dass mein jeweiliges Programm Hooks benutzen würde, oder absurde Schleifen oder Timer gegeneinander laufen, Speicherlecks, Speicherzugriffe, usw.. Selbst bei wirklich einfach gehaltenen Programmen kommen IDE-Fehler vor, deren Ursache ich bisher nicht herausfinden konnte.

Ich will jetzt nicht GExperts die Schuld in die Schuhe schieben, ganz besonders nicht, da es kostenlos ist! Ich werde das lediglich mal ins Auge fassen und in selbigem behalten. :wink:


Bis hierhin mal an alle vielen Dank!

Besonderen Dank an Michael (grizzly), für deine Initiative!

Zitat:

Zitat von grizzly

Mit dem neuesten Virenupdate von gestern wurde auch der ExpertManager.exe nicht mehr moniert. Allerdings der GExpertsGrep.exe schon noch.

Das kann ich bestätigen! Ich werde GExperts nun erstmal weiterhin mein Vertrauen schenken, da ich, wie gesagt, keine der von AntiVir beschriebenen Auswirkungen, Dateien oder Reg-Einträge finden konnte (und weil bei der ExpertManager.exe ja schon Entwarnung gegeben wurde). Das CN-Pack werde ich mir bei Gelegenheit auch ansehen.

Danke an alle, für eure Unterstützung!

Guido.

[grizzly]

Nun hat es mich doch ziemlich genervt, daß zwar der ExpertManager nicht mehr von AntiVir beanstanded wird, aber GExpertsGrep.exe schon noch.
Deshalb habe ich gerade eben diese Datei auch als vermuteten Fehlalarm an Avira geschickt.
Diesmal stellt sich Antivir allerdings stur. Die postwendende Antwort war:

Zitat:

Die Datei 'GExpertsGrep.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen BDS/Hupigon.AAET.1 gegeben. Bei der Bezeichnung "BDS/" handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines Server-Programms können Daten verändert, gelöscht oder ausspioniert werden. Ein Erkennungsmuster ist mit Version 7.00.04.61 der Virendefinitionsdatei (VDF) hinzugefügt. Bitte beachten Sie, dass Aviras proaktives heuristisches Erkennungsmodul AHeAD diese Datei bereits ohne das aktuellste VDF Update als BDS/Hupigon.AAET.1 erkannt hat.

Nun sind wir wieder so schlau wie zuvor... :(
Persönlich glaub' ich es immer noch nicht...


Ratlosen Gruß
Michael

Edit: Laut eMail von Avira wird aber doch noch analysiert. Mal sehen, ob es morgen was neues gibt...

[Christian Seehase]

Moin Michael,

interessant finde ich dabei, dass die GExpertsGrep für Delphi 7.1 von Avira nicht angemäkelt wird, die für D2006 hingegen schon.
(in beiden Fällen GExperts 1.32)

[Guido Eisenbeis]

Das finde ich jetzt auch recht seltsam. Natürlich will wohl keiner einen Fund schönreden, der wirklich eine Bedrohung darstellt. Aber es wäre schon reichlich frustrierend, wenn in Form von GExperts eine Bedrohung sozusagen "aus den eigenen Reihen" bestünde!

Noch verwirrender wäre es, wenn AntiVir zu Unrecht eine Bedrohung melden würde, die sich als nicht vorhanden erweist. Die Frage ist nun, ist da was, oder nicht? Denn das würde auch bedeuten, dass GExperts schon seit Jahren die Backdoor-Möglichkeit hatte! Aus meiner Sicht weist aber bisher kein Verhalten von GExperts darauf hin. Und der weiter oben genannte Test ergab ja auch, dass nur 3 von 32 Virenprogramme einen Fund melden, 29 Programme jedoch nicht! (Habe den Test gerade wiederholt!)

Also, wie Michael schon sagte: abwarten, was die nächsten Tage bringen!

Guido.

[Bernhard Geyer]

Zitat:

Zitat von Guido Eisenbeis

Die Frage ist nun, ist da was, oder nicht? Denn das würde auch bedeuten, dass GExperts schon seit Jahren die Backdoor-Möglichkeit hatte! Aus meiner Sicht weist aber bisher kein Verhalten von GExperts darauf hin.

Lade dir doch das Repository und schau um Quellcode nach. Es wäre schon verwunderlich wenn hier sowas drinn wäre. Bei meinen firmeninternen Experten die auf einer älteren Version von GExperts aufsetzen hab ich jedenfalls nix entdeckt.

[Guido Eisenbeis]

Hallo Bernhard,

falls du mit Repository den Source-Code meinst, dann scheitert das schon daran, dass ich den nicht runtergeladen bekomme. Genauer gesagt, es scheitert schon daran, dass ich nicht in der Lage war, den Subversion-Quellcode zu kompilieren, um den GExperts-Quellcode zu downloaden.

Und selbst dann ist noch fraglich, ob ich den GExperts-Code kompilieren kann (weiß ja bis jetzt noch nicht einmal, in welcher Sprache er geschrieben ist) und ob ich ihn soweit verstehe, dass ich Aktivitäten des Codes als Backdoor-Server identifizieren kann.

Dennoch danke für den Tipp!

Guido.

[uligerhardt]

Zitat:

Zitat von Guido Eisenbeis

falls du mit Repository den Source-Code meinst, dann scheitert das schon daran, dass ich den nicht runtergeladen bekomme. Genauer gesagt, es scheitert schon daran, dass ich nicht in der Lage war, den Subversion-Quellcode zu kompilieren, um den GExperts-Quellcode zu downloaden.

Als Alternative gäbe es die daily zips.

Zitat:

Zitat von Guido Eisenbeis

Und selbst dann ist noch fraglich, ob ich den GExperts-Code kompilieren kann (weiß ja bis jetzt noch nicht einmal, in welcher Sprache er geschrieben ist) und ob ich ihn soweit verstehe, dass ich Aktivitäten des Codes als Backdoor-Server identifizieren kann.

Die GExperts sind in Delphi geschrieben, und das mit dem Kompilieren ist hinzukriegen. ;-)
Ob da jetzt irgendwelche bösartigen Routinen drin sind, kann ich allerdings auch nicht beurteilen, obwohl ich meine Finger schon am Quellcode hatte.

[Guido Eisenbeis]

Hallo uligerhardt.

Danke für den Link!

Das hat doch prima geklappt! Wie findet man nur immer wieder solche "Machen-das-Leben-einfacher"-Links!? Und der Quellcode ist sogar in Delphi! Aber nichtsdestotrotz, der ist ja riesig. Und wer will und sich auskennt, kann ihn ja gerne mal nach Backdoor-Aktivitäten durchsuchen. *smile* :wink:

Guido.

[grizzly]

Die Antwort von Avira is soeben eingetrudelt, beinhaltet aber nichts Neues:

Zitat:

Eine Auflistung der Dateien und Ergebnisse sind im folgenden aufgeführt:
Datei ID Dateiname Größe (Byte) Ergebnis
25024424 GExpertsGrep.exe 7 KB MALWARE

Genaue Ergebnisse für jede Datei finden sie im folgenden Abschnitt:

Dateiname Ergebnis
GExpertsGrep.exe MALWARE
Die Datei 'GExpertsGrep.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker
haben dieser Bedrohung den Namen BDS/Hupigon.AAET.1 gegeben. Bei der Bezeichnung
"BDS/" handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines
Server-Programms können Daten verändert, gelöscht oder ausspioniert werden.Ein
Erkennungsmuster ist mit Version 7.00.04.61 der Virendefinitionsdatei (VDF)
hinzugefügt. Bitte beachten Sie, dass Aviras proaktives heuristisches
Erkennungsmodul AHeAD diese Datei bereits ohne das aktuellste VDF Update als
BDS/Hupigon.AAET.1 erkannt hat.

Die bleiben bei ihrer Ansicht, und ich glaub' es immer noch nicht.
Die Frage ist nur, wie ich die permanenten Viren-Hinweise durch Avira wieder loswerde. Irgendeine Vorgängerversion...?
Aber durch den Sourcecode werde ich mich vorerst nicht kämpfen ;)

Gruß
Michael