Hilfe Virusmeldung bei Delphi XE Trial

[Willie1]

Hilfe

Hallo,

ich habe am Samstag Delphi XE Trial installiert.
Bis heute bis vor einer Stunde lief alles gut.
Plötzlich warnt der Norton-Virenwächter und lässt die Erzeugung einer Exe-Datei nicht mehr zu. Auch wenn ich versuche eine leeres Formular zu compilieren.
Was ist da los ???

MfG Willie

[simmi]

Hallo,

die Probleme gibt es nicht nur bei Norton. Häufige Ursache der Dateiname. Mein Antivir mag Projekt1, service und ähnliches nicht.

uwe

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085061)

Plötzlich warnt der Norton-Virenwächter und lässt die Erzeugung einer Exe-Datei nicht mehr zu. Auch wenn ich versuche eine leeres Formular zu compilieren.

Moin, haste mehr Details? Mir war eigentlich so, als sei der Delphi-Virus vor einiger Zeit versionsspezifisch gewesen, aber man weiß ja nie. Es gab da einen der lief wenn man ein bereits infiziertes Delphi-Programm startete. Der installierte sich dann als eine der Bibliotheken (System oder Sysutils) die immer eingelinkt werden und infizierte somit jedes weitere (frisch kompilierte) Programm.

Also gib mal bitte einen Namen unter dem das erkannt wurde. Da sieht man meist schon ob es eine Heuristik ist die zugrundeliegt oder eine eindeutige Signatur. Am schnellsten geht sicher mal das Hochladen bei VirusTotal, da dort mehrere Virenscanner am Werke sind und man so schonmal einen Eindruck bekommt (da kannst du uns dann auch den Hashlink zukommen lassen). Hätte man all die auf einem System installiert gäbe es ungeachtet der potentiellen Inkompatibilitäten vor allem ein sehr langsames System. Ansonsten schickste die die Datei mal an meinen ungefilterten Alias free-olli att f-prot dott com. Ich kann mir das dann gern angucken.

[Willie1]

am Dateinamen liegt es nicht!
Der Virenwächter Norton hat bei D-2005/6 nie Ärger gemacht, bei D-XE sogar bis vor einer Stunde nicht!

Willie

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085069)

am Dateinamen liegt es nicht!
Der Virenwächter Norton hat bei D-2005/6 nie Ärger gemacht, bei D-XE sogar bis vor einer Stunde nicht!

Und die angefragten Details? :zwinker:

[Willie1]

ich habe an einem Ersatz für den Vista OFD gearbeit (siehe Thema hier im Forum), mein Code war sicher unsauber und mir fiel schon auf, dass das Compilieren irgentwie langsam lief, aber Norton hat sich bis eben nie gemeldet.
Ich glaube nicht, dass es an diesem Prg liegt!

Frage: Haltet ihr es für möglich, dass Trocadero "Viren verschickt"? An einen Zufall kann ich nicht so richtig glauben.

W.

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085090)

ich habe an einem Ersatz für den Vista OFD gearbeit (siehe Thema hier im Forum)

Link!

Zitat:

Zitat von Willie1 (Beitrag 1085090)

mein Code war sicher unsauber und mir fiel schon auf, dass das Compilieren irgentwie langsam lief, aber Norton hat sich bis eben nie gemeldet.

Code unsauber? Irgendwie scheint mein Sprachprozessor Probleme mit der Verarbeitung deiner Sätze zu haben ;)

Zitat:

Zitat von Willie1 (Beitrag 1085090)

Frage: Haltet ihr es für möglich, dass Trocadero "Viren verschickt"? An einen Zufall kann ich nicht so richtig glauben.

Link!

[Willie1]

1. Ich hatte unter Windows noch nie einen Virus!
2. Ich bin kein Informatiker, nur Hobby.Programmierer, ich hoffe, das stört dich nicht.
3. Sieh dir die Disskussion zum Thema OFD von mir hier im Forum an.
4. Ich habe D-XE von Trocadero heruntergeladen und habe noch 27 Tage.

über Hilfe würde ich mich freuen...

Willie

[Luckie]

Zitat:

Zitat von Willie1 (Beitrag 1085098)

3. Sieh dir die Disskussion zum Thema OFD von mir hier im Forum an.

Dann gib doch bitte den Link an. Oder sollen wir das ganze Forum durchsuchen?

[Willie1]

http://www.delphipraxis.net/158719-v...iledialog.html

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085098)

1. Ich hatte unter Windows noch nie einen Virus!

Irgendwann ist immer das erste Mal. Abgesehen davon gibt es Malware die sich sehr gut verstecken kann ;)

Zitat:

Zitat von Willie1 (Beitrag 1085098)

2. Ich bin kein Informatiker, nur Hobby.Programmierer, ich hoffe, das stört dich nicht.

Nö, sollte es stören? :zwinker:

Zitat:

Zitat von Willie1 (Beitrag 1085098)

3. Sieh dir die Disskussion zum Thema OFD von mir hier im Forum an.

Mach ich.

Zitat:

Zitat von Willie1 (Beitrag 1085098)

4. Ich habe D-XE von Trocadero heruntergeladen und habe noch 27 Tage.

Embarcadero? Dann dürfen wir davon ausgehen, daß es sauber ankam.

Aber ich frage dann nochmal. Als was erkennt denn Norton die angebliche Malware?

[himitsu]

@Assarbad: der "Delphi"-Virus war nur bedingt Versionsspezifisch.
> Man hatte teilweise Pfade hardcodiert und dann ist es so, daß man auf die System.pas und System.dcu standardmäßig keine Schreibrechte besitzt, weswegen man diese nur schwer verändern kann und es somit auf ältere Versionen beschränkt war/ist.

[Willie1]

Delphi-Quellcode:

function OpenSaveFileDialog(ParentHandle: THandle; fFlags: Integer; const DefExt, Filter, InitialDir,
                            Title: string; var FileName: string;
                            out ReadOnly: Boolean; IsOpenDialog: Boolean): Boolean; overload;
var
  ofn: TOpenFileName;
//  szFile: array[0..MAX_PATH] of Char;
  szFileN: PAnsiChar;
//  fi: string;
begin
//  GetMem(szFileN,MAX_PATH);
  Result := False;
  FillChar(ofn, SizeOf(TOpenFileName), 0);
  with ofn do
  begin
    lStructSize := SizeOf(TOpenFileName);
    hwndOwner := ParentHandle;
    lpstrFile := szFileN;
    nMaxFile := SizeOf(szFileN);
    if (Title <> '') then begin
      lpstrTitle := PAnsiChar(AnsiString(Title));
    end;
    flags := fFlags;
    if (InitialDir <> '') then
      lpstrInitialDir := PAnsiChar(AnsiString(InitialDir));
//    StrPCopy(lpstrFile, FileName);
//    lpstrFile
//    fi := PAnsiChar(FileName);
//    lpstrFilter :='Alle|*.*'#0#0;
    lpstrFilter := PAnsiChar(AnsiString(CharReplace(Filter, '|', #0) + #0#0));
    if DefExt <> '' then
      lpstrDefExt := PAnsiChar(DefExt);
    lpfnHook :=  nil;
  end;
  if IsOpenDialog then
  begin
    if GetOpenFileName(ofn) then
    begin
      Result := True;
      ReadOnly := ofn.Flags and OFN_READONLY = OFN_READONLY;
      FileName := string(AnsiString(szFileN));
    end;
  end
  else
  begin
    if GetSaveFileName(ofn) then
    begin
      Result := True;
      FileName := string(AnsiString(szFileN));
    end;
  end
end;

Hiermit war ich beschäftigt. Ich will keinen Gutenberg machen Orginalquelle: Aus der Tippsammlung SwissDelphi Center Mit D-2005/6 unter Vista lief es prima, für D-XE muss es angepasst werden, und da war ich dran, als Norton zuschlug. Was soll ich machen?

Der Virenwächter "Sonar" von Norton meldet "Das Programm xy verhält sich verdächtig und wird geblockt." Genauere Erklärungen keine.


Willie.

[himitsu]

szFileN > kein Speicher reserviert

Delphi-Quellcode:

nMaxFile := SizeOf(szFileN);

> szFileN ist ein Pointer, also stimmt die Länge nicht, abgrsehn davon daß nMaxFile in Chars und nicht in Bytes angegeben werden muß.

Warum müssen denn ständig welche Ansi, Unicode und Dynamisch vermischen?

PAnsiChar/AnsiString/TOpenFileNameA
oder
PWideChar/WideString/UnicodeString/TOpenFileNameW
oder
PChar/String/TOpenFileName

Delphi-Quellcode:

function OpenSaveFileDialog(ParentHandle: THandle; fFlags: Integer; const DefExt, Filter, InitialDir,
                            Title: string; var FileName: string;
                            out ReadOnly: Boolean; IsOpenDialog: Boolean): Boolean; overload;
var
  ofn: TOpenFileName;
  szFileN: array[1..MAX_PATH] of Char;
begin
  //Move(szFileN, PChar(FileName)^, (Length(FileName) + 1) * SizeOf(Char));
  FillChar(szFileN, SizeOf(szFileN), 0);
  FillChar(ofn, SizeOf(ofn), 0);
  with ofn do
  begin
    lStructSize := SizeOf(ofn);
    hwndOwner := ParentHandle;
    lpstrFile := @szFileN;
    nMaxFile := Length(szFileN);
    if Title <> '' then
      lpstrTitle := PChar(Title);
    flags := fFlags;
    if InitialDir <> '' then
      lpstrInitialDir := PChar(InitialDir);
    lpstrFilter := PChar(CharReplace(Filter, '|', #0) + #0#0);
    if DefExt <> '' then
      lpstrDefExt := PChar(DefExt);
    lpfnHook := nil;
  end;
  //if IsOpenDialog then
  //begin
  //  if GetOpenFileName(ofn) then
  //  begin
  //    Result := True;
  //    ReadOnly := ofn.Flags and OFN_READONLY = OFN_READONLY;
  //    FileName := szFileN;
  //  end;
  //end
  //else
  //begin
  //  if GetSaveFileName(ofn) then
  //  begin
  //    Result := True;
  //    FileName := szFileN;
  //  end;
  //end;
  Result := (IsOpenDialog and GetOpenFileName(ofn)) 
     or (not IsOpenDialog and GetSaveFileName(ofn));
  if Result then
  begin
    ReadOnly := ofn.Flags and OFN_READONLY = OFN_READONLY;
    FileName := szFileN;
  end;
end;

[Willie1]

Danke,
aber was verursacht das Verhalten von Norton?
Gibt es wirklich einen Virus oder oder verhält sich mein Programm "verdächtig"?

W.

[Assarbad]

Zitat:

Zitat von himitsu (Beitrag 1085126)

und dann ist es so, daß man auf die System.pas und System.dcu standardmäßig keine Schreibrechte besitzt, weswegen man diese nur schwer verändern kann und es somit auf ältere Versionen beschränkt war/ist.

Dies träfe aber nur bei Systemen oberhalb von Windows XP zu und auch nur wenn man nicht als Admin arbeitet. Und in Vista und 7 könnte einem die Virtualisierungsfunktion noch eine reinrasseln. Dann ist zwar nur das eigene Konto infiziert, aber schlimm genug.

Zitat:

Zitat von Willie1 (Beitrag 1085170)

aber was verursacht das Verhalten von Norton?

Läßt sich anhand der Meldung nicht eindeutig identifizieren.

Zitat:

Zitat von Willie1 (Beitrag 1085170)

Gibt es wirklich einen Virus oder oder verhält sich mein Programm "verdächtig"?

Schick die Datei an Symantec und schreibe, daß du denkst es handele sich um einen Fehlalarm (false positive).

[plusplus]

now a days all anit-virus vendors went paranoid and bizarre, there are many FALSE positives and any delphi version reports on some machines a virus and on some not. I have been sending out over 30 mails to anti-virus vendors addressing this FALSE positive issue but had no success.

I think this is a planned attack on Delphi OR Embarcadero has somewhere in the exe generation/optimization an algorithm that needs to be fixed.

I am advising all my customers who get FALSE positives that it is a FALSE positive and that they should send an email to the Anti-Virus Vendor complaining about it.

I have also noticed that sometimes when you change the Application Icon the FALSE positive goes away, have no idea why.

[Assarbad]

Zitat:

Zitat von plusplus (Beitrag 1085187)

now a days all anit-virus vendors went paranoid and bizarre, there are many FALSE positives and any delphi version reports on some machines a virus and on some not. I have been sending out over 30 mails to anti-virus vendors addressing this FALSE positive issue but had no success.

If you have more details, they'll all be welcome here. If you don't want it to get lost in the heaps of mails the folks in our viruslab get, send to free-olli att f-prot dott com.

Are you experiencing it in Delphi 2009 as well? I have that one here in the company, so I could run some tests if needed.

Zitat:

Zitat von plusplus (Beitrag 1085187)

I think this is a planned attack on Delphi OR Embarcadero has somewhere in the exe generation/optimization an algorithm that needs to be fixed.

Planned by ...?

Zitat:

Zitat von plusplus (Beitrag 1085187)

I have also noticed that sometimes when you change the Application Icon the FALSE positive goes away, have no idea why.

Suggests that some heuristics went haywire.

[Willie1]

Hello plusplus,

you are right, if I change the Program Icon, the program runs without protest of the Norton Virus-Guard.
I's very mysterious. is't it?

Das Problem versaut mir auch den Testzeitraum, da könnte man schon an Absicht denken.

Willie.

[mquadrat]

Naja Norton hat ja nun nichts mit den Testzeiträumen von Emba zu tun ;) Das ist doch dann ein bisschen zu viel Verschwörungstheorie ;)

[Willie1]

du hat recht!
Aber ich nutze seit 10 Jahren Delphi und Norton habe ich auch schon lange. So ein Problem hatte ich noch nie.

Nochmal meine Frage: Hat jemand eine Idee?
Der Norton 1-Klick Support funktioniert auch nicht, ich werde immer wieder zu einem Neustart aufgefordert, um ein "kleiners Problem" zu beseitigen. Und Trocadero gibt wohl Support für Trial nur zu Download und Installation.

Willie.

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085200)

you are right, if I change the Program Icon, the program runs without protest of the Norton Virus-Guard.
I's very mysterious. is't it?

Not really mysterious. To give you another example when the icon would be taken into account: if the PDF document icon is used as application icon and other flags go red, this could be a trojan posing as a document.

But in this case you probably have a bad case of drunken malware researcher (or comedian ;)).

[xxl1]

Du kannst ja wie schon angemerkt wurde die Datei mal bei http://www.virustotal.com/ hochladen um zu sehen ob noch andere Virenscanner das ganze verdächtig finden.

Btw: Die Firma heisst Embarcadero, Trocadero ist ein Platz in Paris ;-)

[Luckie]

Zitat:

Zitat von xxl1 (Beitrag 1085226)

Btw: Die Firma heisst Embarcadero, Trocadero ist ein Platz in Paris ;-)

Vielleicht hat er sie ja da gekauft. ;)

Ich schätze mal, da hat die Heuristik zugeschlagen und durch ändern des Icons hat sich die verdächtige Bytefolge geändert. Aber da du uns ja beharrlich die genaue Meldung verschweigst, kann man nur mutmaßen.

[Assarbad]

Zitat:

Zitat von Luckie (Beitrag 1085238)

Ich schätze mal, da hat die Heuristik zugeschlagen und durch ändern des Icons hat sich die verdächtige Bytefolge geändert.

Bytefolgen werden in Heuristiken eher weniger benutzt. Sowas wie: importiert Funktionen abc und def aus xyz.dll, Datei ist nicht signiert, Checksumme im PE-Header ist nicht korrekt wären Anhaltspunkte. In Kombination sind dann mehrere dieser Dinger eine Heuristik und dienen dazu mehrere Varianten einer Malware (oder in Zukunft ähnliche Malware) zu finden.

Auch Signaturen sind eher selten einfach Bytefolgen oder so ... ;)

Zitat:

Zitat von Luckie (Beitrag 1085238)

Aber da du uns ja beharrlich die genaue Meldung verschweigst, kann man nur mutmaßen.

Hat er angegeben. Aber das war das HIPS (oder so).

[Luckie]

OK, da bist du der Experte wie so Heuristiken bei Virenscanner arbeiten.

Oh, hat er angegeben? Dann entschuldige ich mich. Muss ich überlesen haben.

[Willie1]

Embarcadero: wer einen Fehler macht, braucht für den Spot nicht zu sorgen. Ich habe die Software auf der Download-Page von Embarcadero heruntergeladen.
Eine Fehlermeldung verschweige ich nicht: Sonar hat verdächtige Datei entdeckt und geblockt(sinngemäß). Auch den Quelltext, bei dem der Ärger anfing habe ich hier veröffentlicht.

Um eine Exe-Datei zu erzeugen, die ich zum überprüfen schicke, muss ich Sonar ja abschalten, soll ich das tun?

Dann will ich euch noch etwas sagen, über das ich eigentlich nicht sprechen wollte. Ich bin seit 1 1/2 Jahren schwer augenkrank und habe mich erst jetzt wieder mit einer Lupen-Software ans Programmieren getraut: da läuft eben nicht alls so einfach, wie mit gesunden Augen! Dank für eure Rücksicht

Auch Norton verhält sich merkwürdig, wenn ich den 1-Klick Support aufrufe, wird ein Schnellscan ausgeführt und dann zu einem Neustart aufgefordert. Wenn das tue und wieder den 1-Klick Support anklicke wiederholt sich die Sache wieder...

Willie1

[Willie1]

eine Überprüfung bei VirusTotal ergab keinen Verdacht: sauber!
W.

[Assarbad]

Zitat:

Zitat von Willie1 (Beitrag 1085295)

Um eine Exe-Datei zu erzeugen, die ich zum überprüfen schicke, muss ich Sonar ja abschalten, soll ich das tun?

Am besten ja. Abschalten oder eine Ausnahme für den Pfad in dem die .exe erzeugt werden soll einfügen.

Zitat:

Zitat von Willie1 (Beitrag 1085295)

Dann will ich euch noch etwas sagen, über das ich eigentlich nicht sprechen wollte. Ich bin seit 1 1/2 Jahren schwer augenkrank und habe mich erst jetzt wieder mit einer Lupen-Software ans Programmieren getraut: da läuft eben nicht alls so einfach, wie mit gesunden Augen!

Respekt.

Zitat:

Zitat von Willie1 (Beitrag 1085295)

Auch Norton verhält sich merkwürdig, wenn ich den 1-Klick Support aufrufe, wird ein Schnellscan ausgeführt und dann zu einem Neustart aufgefordert. Wenn das tue und wieder den 1-Klick Support anklicke wiederholt sich die Sache wieder...

Installiert vermutlich einen Treiber, aber ich habe mir deren Produkt noch nicht angeschaut. Mit Treiber würde es aber Sinn machen. Dann kommst du um den Neustart auch nicht herum.

[plusplus]

Zitat:

Zitat von Willie1 (Beitrag 1085295)

Dann will ich euch noch etwas sagen, über das ich eigentlich nicht sprechen wollte. Ich bin seit 1 1/2 Jahren schwer augenkrank und habe mich erst jetzt wieder mit einer Lupen-Software ans Programmieren getraut: da läuft eben nicht alls so einfach, wie mit gesunden Augen!

me too, big Respect.

but I have fought with this now for the last 6-7 months, I have even created many Icons with the same image but different sizes. So every time an Anti-Virus complains I change the Application Icon and to 95% it goes OK.

I have however no idea about why this is.

[Willie1]

hi,
ich habe entschieden, dass es sich um einen Fehlalarm handelt. Bei VirusTotal wurde die Datei als völlig sauber eingestuft. Mit dem Trick des Ikonentauschs geht es weiter!
Dank für eure Hinweise.

Willie