GExperts Viren Warnung

[Guido Eisenbeis]

Ich benutze GExperts 1.30. Mein Virenprogramm Avira AntiVir Personal meldet seit kurzem zwei Virenfunde in "Grep.exe" und "ExpMgr.exe". Genauer gesagt wird z. B. das Backdoorprogramm "BDS/Hupigon.AAET.1" angezeigt.

In der Beschreibung zu den Funden wird geschrieben, dass von den Backdoorprogrammen verschiedene Dateien und Registry-Schlüssel erstellt werden. Auf meinem PC konnte ich jedoch weder solche Dateien noch irgendwelche der genannten Registry-Schlüssel finden.

Was hat es mit diesen "Funden" auf sich? Sind das heuristische Fehlalarme? Bekommt von euch jemand solche Warnungen oder weiß etwas darüber?

Guido.


Edit: Habe gerade GExperts 1.32 installiert. Dort wird der gleiche Alarm bei "GExpertsGrep.exe" ausgegeben.

[edit=Phoenix]Mal den Tippfehler in der Überschrift entfernt. ;-) Mfg, Phoenix[/edit]

[Dunkel]

Ja, ich. Avira hat auch meine Installation von GExperts für Turbo Delphi Explorer mit entsprechendem Hinweis gemeldet. Da ich Turbo Delphi quasi nicht mehr benutze, habe ich GExperts vorsichtshalber deinstalliert. Die beiden anderen Installationen von GExperts für Delphi 7 & Delphi 2007 wurden aber nicht als infiziert gemeldet.

[Guido Eisenbeis]

Hallo Dunkel.

Welche GExperts Version benutzt du?

Zitat:

Zitat von Dunkel

Die beiden anderen Installationen von GExperts für Delphi 7 & Delphi 2007 wurden aber nicht als infiziert gemeldet.

Hast du Delphi 7 und 2007 beide in Betrieb? (Parallel zu Turbo Delphi, bzw. auf anderen Rechnern?)

Zitat:

Zitat von Dunkel

... habe ich GExperts vorsichtshalber deinstalliert.

Bei Anti-Virenprogrammen kommt es immer wieder vor, dass falsche Funde gemeldet werden. Manchmal ist nach dem nächsten oder übernächsten Update des Anti-Virenprogramms wieder alles in Ordnung. Das werde ich mal abwarten. Aber falls ich GExperts deinstallieren muss, welche Alternative gibt es denn dazu?

Guido.

[sx2008]

Dann lade die verdächtige Exe mal hier hoch:
http://www.virustotal.com/de/
dann wird die Datei von über 20 Virenscanner überprüft.

[Guido Eisenbeis]

Hallo sx2008.

Zitat:

Zitat von sx2008

Dann lade die verdächtige Exe mal hier hoch:
http://www.virustotal.com/de/

Hab ich gemacht: Ergebnis.

3 von 20 Scanner haben angeschlagen, seltsamerweise aber AntiVir dort nicht!?

Bin jetzt leider nicht schlauer als vorher. :(

Guido.

[Hansa]

Fehler in GExperts sind bekannt. Die sind teilweise sehr hartnäckig und lästig.

Zitat:

Zitat von Guido Eisenbeis

..Aber falls ich GExperts deinstallieren muss, welche Alternative gibt es denn dazu?

Guido.

das hier ist besser :

http://www.delphipraxis.net/internal...d761d0b489f00c

Kleinere Fehler sind aber auch da drin.

[mkinzler]

Ich würde nicht sagen ds CNPack besser ist. Ich würde die beiden Expertensammlungen eher als Ergänzung zueinander sehen.

[Hansa]

Was soll sich denn da ergänzen ? Die Frage hier wundert mich sowieso nicht. Bei mir war ärgerlich, dass die IDE mit Fehlern startete. Seit die GExperts durch CNPack ersetzt sind, ist in der Richtung nichts mehr zu bemerken. In GExperts ist nichts drin, was nicht im CNPack sowieso schon drin wäre. Falls doch, dann sage, was ? :zwinker:

[mkinzler]

Z.B. Components To Code, Prrofreader, replace Components, ...

[Dunkel]

Zitat:

Zitat von Guido Eisenbeis

Welche GExperts Version benutzt du?

V. 1.31 für D2006 (Turbo Delphi) & D2007, V. 1.12 für D7.

Zitat:

Zitat von Guido Eisenbeis

Hast du Delphi 7 und 2007 beide in Betrieb? (Parallel zu Turbo Delphi, bzw. auf anderen Rechnern?)

Ja, alle 3 parallel auf einem Rechner.

Zitat:

Zitat von Guido Eisenbeis

Bei Anti-Virenprogrammen kommt es immer wieder vor, dass falsche Funde gemeldet werden. Manchmal ist nach dem nächsten oder übernächsten Update des Anti-Virenprogramms wieder alles in Ordnung. Das werde ich mal abwarten.

Dessen bin ich mir bewusst. Wie schon geschrieben, benutze ich Turbo Delphi nur noch sehr selten bis garnicht mehr, dann komme ich auch ohne GExperts ganz gut klar. In sofern tut mir die Deinstallation nicht wirklich weh.

Zitat:

Zitat von Guido Eisenbeis

Aber falls ich GExperts deinstallieren muss, welche Alternative gibt es denn dazu?

Seit gestern habe ich cnPack parallel zu GExperts installiert. Wie mkinzler empfinde ich cnPack aber auch eher als Ergänzung zu GExperts denn als Alternative.

[grizzly]

Ich habe deswegen vorgestern schon einen "Verdacht auf Falschmeldung" an Avira gesandt. Die monierte Backdoor ist schließlich schon ewig alt, und jetzt sollte die plötzlich in den GExperts über Nacht auftauchen? Dafür sandte ich denen den Link für den Download und als Beispieldatei das ExpertManager.exe.
Am selben Tag bekam ich von denen noch folgende eMail:

Zitat:

[...]
Dateiname Ergebnis
ExpertManager.exe FALSE POSITIVE
Die Datei 'ExpertManager.exe' wurde als 'FALSE POSITIVE' eingestuft. Dies bedeutet, dass diese Datei nicht gefährlich und eine Fehlmeldung unsererseits ist. Das Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) entfernt werden.
[...]

Mit dem neuesten Virenupdate von gestern wurde auch der ExpertManager.exe nicht mehr moniert. Allerdings der GExpertsGrep.exe schon noch. Den hätte ich vielleicht gleich mitschicken sollen.
Bitdefender löscht die Dateien allerdings immer noch rigoros. Scheint da also anderer Meinung zu sein...

Gruß
Michael

Edit: Das ist vielleicht auch der Grund, warum heute bei VirusTotal die Datei von Avira AntiVir nicht mehr moniert wurde.

[Guido Eisenbeis]

Zitat:

Zitat von Hansa

... Bei mir war ärgerlich, dass die IDE mit Fehlern startete. Seit die GExperts durch CNPack ersetzt sind, ist in der Richtung nichts mehr zu bemerken. ...

Bei mir treten sproradisch ebenfalls IDE-Fehler auf, (z. B. komplettes Einfrieren, oder dass im Editor der Cursor an verschiedene Positionen springt, obwohl ich einfach nur schreiben will, ...) die ich nicht erklären kann. Diese Fehler sind nicht auf "gefährlichen" Code zurückzuführen, z. B. dass mein jeweiliges Programm Hooks benutzen würde, oder absurde Schleifen oder Timer gegeneinander laufen, Speicherlecks, Speicherzugriffe, usw.. Selbst bei wirklich einfach gehaltenen Programmen kommen IDE-Fehler vor, deren Ursache ich bisher nicht herausfinden konnte.

Ich will jetzt nicht GExperts die Schuld in die Schuhe schieben, ganz besonders nicht, da es kostenlos ist! Ich werde das lediglich mal ins Auge fassen und in selbigem behalten. :wink:


Bis hierhin mal an alle vielen Dank!

Besonderen Dank an Michael (grizzly), für deine Initiative!

Zitat:

Zitat von grizzly

Mit dem neuesten Virenupdate von gestern wurde auch der ExpertManager.exe nicht mehr moniert. Allerdings der GExpertsGrep.exe schon noch.

Das kann ich bestätigen! Ich werde GExperts nun erstmal weiterhin mein Vertrauen schenken, da ich, wie gesagt, keine der von AntiVir beschriebenen Auswirkungen, Dateien oder Reg-Einträge finden konnte (und weil bei der ExpertManager.exe ja schon Entwarnung gegeben wurde). Das CN-Pack werde ich mir bei Gelegenheit auch ansehen.

Danke an alle, für eure Unterstützung!

Guido.

[grizzly]

Nun hat es mich doch ziemlich genervt, daß zwar der ExpertManager nicht mehr von AntiVir beanstanded wird, aber GExpertsGrep.exe schon noch.
Deshalb habe ich gerade eben diese Datei auch als vermuteten Fehlalarm an Avira geschickt.
Diesmal stellt sich Antivir allerdings stur. Die postwendende Antwort war:

Zitat:

Die Datei 'GExpertsGrep.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen BDS/Hupigon.AAET.1 gegeben. Bei der Bezeichnung "BDS/" handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines Server-Programms können Daten verändert, gelöscht oder ausspioniert werden. Ein Erkennungsmuster ist mit Version 7.00.04.61 der Virendefinitionsdatei (VDF) hinzugefügt. Bitte beachten Sie, dass Aviras proaktives heuristisches Erkennungsmodul AHeAD diese Datei bereits ohne das aktuellste VDF Update als BDS/Hupigon.AAET.1 erkannt hat.

Nun sind wir wieder so schlau wie zuvor... :(
Persönlich glaub' ich es immer noch nicht...


Ratlosen Gruß
Michael

Edit: Laut eMail von Avira wird aber doch noch analysiert. Mal sehen, ob es morgen was neues gibt...

[Christian Seehase]

Moin Michael,

interessant finde ich dabei, dass die GExpertsGrep für Delphi 7.1 von Avira nicht angemäkelt wird, die für D2006 hingegen schon.
(in beiden Fällen GExperts 1.32)

[Guido Eisenbeis]

Das finde ich jetzt auch recht seltsam. Natürlich will wohl keiner einen Fund schönreden, der wirklich eine Bedrohung darstellt. Aber es wäre schon reichlich frustrierend, wenn in Form von GExperts eine Bedrohung sozusagen "aus den eigenen Reihen" bestünde!

Noch verwirrender wäre es, wenn AntiVir zu Unrecht eine Bedrohung melden würde, die sich als nicht vorhanden erweist. Die Frage ist nun, ist da was, oder nicht? Denn das würde auch bedeuten, dass GExperts schon seit Jahren die Backdoor-Möglichkeit hatte! Aus meiner Sicht weist aber bisher kein Verhalten von GExperts darauf hin. Und der weiter oben genannte Test ergab ja auch, dass nur 3 von 32 Virenprogramme einen Fund melden, 29 Programme jedoch nicht! (Habe den Test gerade wiederholt!)

Also, wie Michael schon sagte: abwarten, was die nächsten Tage bringen!

Guido.

[Bernhard Geyer]

Zitat:

Zitat von Guido Eisenbeis

Die Frage ist nun, ist da was, oder nicht? Denn das würde auch bedeuten, dass GExperts schon seit Jahren die Backdoor-Möglichkeit hatte! Aus meiner Sicht weist aber bisher kein Verhalten von GExperts darauf hin.

Lade dir doch das Repository und schau um Quellcode nach. Es wäre schon verwunderlich wenn hier sowas drinn wäre. Bei meinen firmeninternen Experten die auf einer älteren Version von GExperts aufsetzen hab ich jedenfalls nix entdeckt.

[Guido Eisenbeis]

Hallo Bernhard,

falls du mit Repository den Source-Code meinst, dann scheitert das schon daran, dass ich den nicht runtergeladen bekomme. Genauer gesagt, es scheitert schon daran, dass ich nicht in der Lage war, den Subversion-Quellcode zu kompilieren, um den GExperts-Quellcode zu downloaden.

Und selbst dann ist noch fraglich, ob ich den GExperts-Code kompilieren kann (weiß ja bis jetzt noch nicht einmal, in welcher Sprache er geschrieben ist) und ob ich ihn soweit verstehe, dass ich Aktivitäten des Codes als Backdoor-Server identifizieren kann.

Dennoch danke für den Tipp!

Guido.

[uligerhardt]

Zitat:

Zitat von Guido Eisenbeis

falls du mit Repository den Source-Code meinst, dann scheitert das schon daran, dass ich den nicht runtergeladen bekomme. Genauer gesagt, es scheitert schon daran, dass ich nicht in der Lage war, den Subversion-Quellcode zu kompilieren, um den GExperts-Quellcode zu downloaden.

Als Alternative gäbe es die daily zips.

Zitat:

Zitat von Guido Eisenbeis

Und selbst dann ist noch fraglich, ob ich den GExperts-Code kompilieren kann (weiß ja bis jetzt noch nicht einmal, in welcher Sprache er geschrieben ist) und ob ich ihn soweit verstehe, dass ich Aktivitäten des Codes als Backdoor-Server identifizieren kann.

Die GExperts sind in Delphi geschrieben, und das mit dem Kompilieren ist hinzukriegen. ;-)
Ob da jetzt irgendwelche bösartigen Routinen drin sind, kann ich allerdings auch nicht beurteilen, obwohl ich meine Finger schon am Quellcode hatte.

[Guido Eisenbeis]

Hallo uligerhardt.

Danke für den Link!

Das hat doch prima geklappt! Wie findet man nur immer wieder solche "Machen-das-Leben-einfacher"-Links!? Und der Quellcode ist sogar in Delphi! Aber nichtsdestotrotz, der ist ja riesig. Und wer will und sich auskennt, kann ihn ja gerne mal nach Backdoor-Aktivitäten durchsuchen. *smile* :wink:

Guido.

[grizzly]

Die Antwort von Avira is soeben eingetrudelt, beinhaltet aber nichts Neues:

Zitat:

Eine Auflistung der Dateien und Ergebnisse sind im folgenden aufgeführt:
Datei ID Dateiname Größe (Byte) Ergebnis
25024424 GExpertsGrep.exe 7 KB MALWARE

Genaue Ergebnisse für jede Datei finden sie im folgenden Abschnitt:

Dateiname Ergebnis
GExpertsGrep.exe MALWARE
Die Datei 'GExpertsGrep.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker
haben dieser Bedrohung den Namen BDS/Hupigon.AAET.1 gegeben. Bei der Bezeichnung
"BDS/" handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines
Server-Programms können Daten verändert, gelöscht oder ausspioniert werden.Ein
Erkennungsmuster ist mit Version 7.00.04.61 der Virendefinitionsdatei (VDF)
hinzugefügt. Bitte beachten Sie, dass Aviras proaktives heuristisches
Erkennungsmodul AHeAD diese Datei bereits ohne das aktuellste VDF Update als
BDS/Hupigon.AAET.1 erkannt hat.

Die bleiben bei ihrer Ansicht, und ich glaub' es immer noch nicht.
Die Frage ist nur, wie ich die permanenten Viren-Hinweise durch Avira wieder loswerde. Irgendeine Vorgängerversion...?
Aber durch den Sourcecode werde ich mich vorerst nicht kämpfen ;)

Gruß
Michael

[Guido Eisenbeis]

Hallo Michael.

Du kannst in AntiVir Ausnahmen eintragen. http://s4.directupload.net/images/08...p/icfbna82.png. Der Link zu Screenshot sollte ein Jahr gültig sein.

Falls der Screenshot nicht verfügbar ist, hier die "Hand zu Fuß"-Anleitung:
AntiVir Hauptfenster öffenen und Folgendes Anklicken: Konfiguration (Expertenmodus einschalten) -> Guard -> Suche -> Ausnahmen. Dann im Bereich "Vom Guard auszulassende Dateiobjekte" die GExpertsGrep.exe auswählen und hinzufügen.

Guido.

[grizzly]

Cool! Danke für den Tip, Guido! Das Gepiepse hat mich schon ganz kirre gemacht...