Virus Alarm

[RedShakal]

Hallo zusammen, meine Programme werden (laut www.virustotal.com) sowohl von Kaspersky als auch von F-Secure erkannt und machen da Probleme. Sowohl Client als auch der Server. Was kann man tun um das zu unterbinden? Macht keinen wirklich guten eindruck auf die User...

Delphi-Quellcode:

Virus.Win32.Induc.a

[jfheins]

Normalerweise kannst du dem Hersteller dein Programm schicken, der beseitigt dann den Fehlalarm mit dem nächsten Update.

[RedShakal]

Ist das dann Permanent oder wird das wieder als Virus erkannt wenn ich es neu Compile oder was hinzufüge?

[Meflin]

Zitat:

Zitat von RedShakal

Ist das dann Permanent oder wird das wieder als Virus erkannt wenn ich es neu Compile oder was hinzufüge?

Das ist solange permanent, bis die wieder eine Signatur rausbringen, die fälschlicherweise Code von Komponenten (speziell Internetkomponenten) als Virus klassifiziert.

[wicht]

Du könntest auch mit etwas Gefrickel die Stelle im Programm finden, die den Alarm auslöst, und da dann anpacken. Je größer das Programm, je nerviger ist dieses Vorgehen natürlich.
Ich hatte mal ein Programm, welches VirtualAllocEx und CreateRemoteThread nutzte - da gab es dann von ein paar wenigen Scannern Alarm. Habe die Funktionsadressen mir dann aus einer DLL geholt, die ich dem Programm beigelegt habe, dann waren die Scanner ruhig. Da muss ich jedenfalls nichts an den AV-Hersteller schicken, und den Benutzer interessiert die zusätzliche DLL herzlich wenig.
Vielleicht hilft dir das.... :stupid:

[brechi]

Es hätte auch gereicht wenn du CreateRemoteTHread und VirtualAllocEx dynamisch geladen hättest

[RedShakal]

Das kam von den Kaspersky Labs zurück:
[Schnipp]..[Schnapp]
[edit=mkinzler]Viruscode entfernt Mfg, mkinzler[/edit]

[Die Muhkuh]

Hat erst kürzlich jemand in der DP gepostet.

[wicht]

Zitat:

Es hätte auch gereicht wenn du CreateRemoteTHread und VirtualAllocEx dynamisch geladen hättest

Da stimme ich dir zu, das dachte ich auch, ist eigentlich ja auch naheliegend. Aber wollte irgendwie nicht. Mehr dazu sagen kann ich leider nicht, ist länger her... vielleicht waren noch andere APIs dabei, die ich erst übersehen hatte, dann aber schon alles in der DLL hatte und es dann so gelassen habe... Naja egal, ist OT :)

[DeddyH]

http://www.delphipraxis.net/internal...t.php?t=163041

[RedShakal]

Ah da war tatsächlich eine .bak
ich Frage mich wie das ganze passiert ist?

[jaenicke]

Vermutlich hast du den Fehler gemacht und als Admin (und ggf. unter Vista ohne UAC) gearbeitet. Und dann kann das ja leicht passieren...
In dem Fall: Selbst schuld... :roll:

Ach ja: Und das funktioniert auch nur mit alten Delphiversionen. Vermutlich haben die Virusentwickler gedacht: Wer schon Delphi nicht aktualisiert, der schaut auch nicht so auf Sicherheit und so im System. :cyclops:

[Meflin]

Zitat:

Zitat von jaenicke

Wer schon Delphi nicht aktualisiert, der schaut auch nicht so auf Sicherheit und so im System.

Genau. Ist ja auch nicht so, dass finanzielle (oder andere) Gründe dagegen sprechen könnten.

[jaenicke]

Zitat:

Zitat von Meflin

Genau. Ist ja auch nicht so, dass finanzielle (oder andere) Gründe dagegen sprechen könnten.

So meinte ich das nicht, das ist mir schon klar, dass jemand, der das gekauft hat nicht unbedingt auf z.B. Turbo Delphi umsteigen möchte. Aber Delphi 7 ist eben die wohl am meisten verbreitete Version als Raubkopie. ;-)
Ich vermute deshalb haben die den Virus auch so gemacht. Denn den meisten Raubkopierer ist die Sicherheit des Systems doch vollkommen egal. (Ich kenn da so einige... :roll:)

[DeddyH]

Und damit unterstellst Du jetzt allen Benutzern, die noch Delphi 7 oder älter verwenden, Sie seien Raubkopierer? Komische Einstellung.

[jaenicke]

Zitat:

Zitat von DeddyH

Und damit unterstellst Du jetzt allen Benutzern, die noch Delphi 7 oder älter verwenden, Sie seien Raubkopierer? Komische Einstellung.

Habe ich ja nie geschrieben, aber da ist der prozentuale Anteil eben wohl am höchsten. Und genau darum geht es doch beim Schreiben von Viren. Dass die Wahrscheinlichkeit jemanden passendes zu treffen möglichst hoch ist...

// EDIT:
Und ich meine wie oft gab es schon Fragen, bei denen der Autor eigentlich keine Ahnung hatte was Delphi ist und trotzdem "Delphi 7 Enterprise" natürlich gekauft hatte...

[DeddyH]

Das würde ja dann bedeuten, dass die wenigsten ein neueres Delphi benutzen. Dieser Argumentation kann ich nicht folgen.

[jaenicke]

Wer so viel für eine neue Delphiversion ausgibt, kümmert sich aber auch eher darum, dass das System sicherer ist.

Ich kenne aber ein paar aus der Umgebung, die Delphi 7 sich illegal gezogen hatten und gleichzeitig XP illegal drauf haben und deshalb auch keine automatischen Updates oder irgendwas aktiviert haben. Da waren auch schon Viren drauf, aber das schien die betreffenden irgendwie nicht zu stören. Einfach mal neu installiert und wieder die selben verseuchten Cracks drauf...

Während die professionellen Anwender, mit denen ich zu tun habe, schon sehr darauf achten, dass der Rechner und vor allem die darauf oder im Netzwerk gespeicherten Quelltexte sicher sind. Updates, Sicherheitssoftware, ... und vor allem niemals ohne UAC... (da gibts ja auch andere Ansichten... :wall:
) Klar haben da auch noch welche D7, aber der Anteil ist dann doch sehr gering. Zumindest in meinem Bekanntenkreis (einer fällt mir ein, den ich persönlich kenne, alle anderen haben neuere Versionen).

[RedShakal]

Also ich hab meine Delphi version von der Berufsschule damals bekommen ist aber sone abgespeckte version mit der man auch nicht kommerziell Programmieren darf.

[Die Muhkuh]

Zitat:

Zitat von jaenicke

Wer so viel für eine neue Delphiversion ausgibt, kümmert sich aber auch eher darum, dass das System sicherer ist.

Das eine hat mit dem anderen nichts zu tun. Ich hab auch ein Delphi 2009 und sichere mein System nicht besonders ab. Router, Virenscanner, fertig. Setze keine speziellen Schreibrechte und arbeite unter Vista als Admin mit UAC.

[DeddyH]

Sry, aber für mich sind das alles pauschale unbewiesene Unterstellungen (oder bist Du etwa repräsentativ? Ich bin's jedenfalls nicht.). Ich könnte mir auch gut vorstellen, dass sich damals jemand legal D7 Personal gezogen hat und deshalb damit weiterarbeitet, weil ihm die neue IDE nicht gefällt. Ich werde jetzt keine Umfrage starten, bin mir aber ziemlich sicher, dass das auf viele hier zutrifft.

[jaenicke]

Zitat:

Zitat von Die Muhkuh

und arbeite unter Vista als Admin mit UAC.

Eben, das in Verbindung mit nem Virenscanner und Router ist ja auch schon einiges. Wenn man da nicht gerade einfach ohne hinzusehen Adminrechte vergibt, wenn nen Programm fragt, ist man ja schon ziemlich sicher unterwegs.

// EDIT:

Zitat:

Zitat von DeddyH

Ich könnte mir auch gut vorstellen, dass sich damals jemand legal D7 Personal gezogen hat

Was die Personal angeht ja, sicher. Kann ich zwar nicht nachvollziehen, aber dass die D7 Oberfläche viele gut fanden sieht man ja an deren Integration in D2010 und an entsprechenden Forumsbeiträgen.
Ich meinte aber explizit die Enterprise. Schau alleine einmal die Statistik im Forum an...

// EDIT2:
Und um das klarzustellen: Ich unterstelle niemandem etwas. Meine Meinung nach allem was bisher zu sehen und zu lesen war ist aber, dass der Anteil an Raubkopien insgesamt (nicht aufs Forum bezogen, bevor da wieder Aufschreie kommen :roll: ) bei D7 EE stark überproportional hoch ist.

[Sherlock]

Es kann ja auch sein, daß D7 einfach nur gut ist...oder? Diese ganzen Fehlschüsse bis D2007 haben ja wohl eher abgeschreckt als dazu animiert eine neuere Version zu kaufen. Wenn man dann noch knapp 10 Entwickler damit versorgen muss (plus zugekauften Komponeten), überlegt man es sich eher dreimal, ob eine neue Version wirklich sein muss.

Ich denke aber, dazu ist nun alles gesagt. Wichtiger ist, daß das Virus sich offenkundig ausbreitet...bei aller Häme sollte man nicht vergessen, daß das auch auf Delphi im Allgemeinen zurückfällt.

Wobei ich es irgendwie charmant finde, daß jemand Delphi für wichtig genug hält, daß er ein Virus dafür schreibt.

Sherlock

[mkinzler]

Also imho war D2006 schon um einiges besser als D7

[Satty67]

Zitat:

Zitat von jaenicke

Aber Delphi 7 ist eben die wohl am meisten verbreitete Version als Raubkopie.

Auch wenn die Aussage relativiert wurde, im Falle der D7-Enterprise würde ich da frech zustimmen. Das würde ich noch nicht einmal als Vorurteil sehen, sondern statistisch und durch persönliche Erlebnisse untermauert ;)

Sagt ja nichts über den einzelnen aus, letztlich muss das jeder mit sich selbst ausmachen.

***

Ich gehörte auch sehr lange zu den Verweigern, was die neue IDE angeht. Hab' lange mit Delphi 5 prof. gearbeitet, weil ich "gefühlsmäßig" nicht mit der neuen IDE zurecht kam. Die TDE Version hat mir aber geholfen, mich daran zu gewöhnen. Die IDE ab 2006 finde ich inzwischen besser... aber halte nach wie vor viel von Delphi 5/6/7. Das war und ist für mich immer noch eine gute Entwicklungsumgebung.

***

Auf den Thread-Titel schielend... hmm... hab' die letzten Post gelesen und einfach meinen Senf dazu gegeben. Befürchte jetzt, hab' mich einer OT-Sünde schuldig gemacht.

[himitsu]

ja, also das mit den "raubkopieen" und fehlendem update und damit der fehlenden Sicherheit würde ich auch auch nicht so stehen lassen (wenn man sich schon raubkopieen besorgt, warum dann nicht gleich von D2006...D2009, wo die doch eh besser sein sollen?)

abgesehn davon könnte ich jetzt mit nur ein/zwei winzigen Änderungen diesen "Virus" auch auf neuer Delphis loslassen (ist garnicht so schwer)

und da wäre der Schutz dagegen auch nur vom Betiebssystem und dessen Einstellungen abhängig (kein voller Schreibzugriff auf den Programmordner) ... hat also mit dem Delphi selber nix zu tun.

Zitat:

Also imho war D2006 schon um einiges besser als D7

vom Compiler her ist TDE teilweise auch schlechter ... wenn ich da nur an das nette Speicherleck im Compiler denke :wall:

ich hab ja nicht umsonst mein altes D7 noch drauf, da dieses für kleine Sachen einfach schneller arbeitet

[Matze]

Ich schließe hier, da es 2 Themen zu diesem Thema gibt.

Bitte diskutiert hier weiter: Virus infects Delphi. :)

Grüße, Matze

G E S C H L O S S E N