Heuristik-Fund bei ShellExecute/CreateProcess/WinExeC

[internetnavigator]

Guten Abend zusammen, :)

ich habe in den letzen 3 Monaten ein Netzwerkgestürtzes Programm geschrieben, welches durch Verbindung zu einem Webserver sich immer aktuell hält. Quelltext-technisch kein Problem. Bei einem Update wird der Programmname genommen "Host.exe" und ein "_update" eingefügt: "Host_update.exe". Die Verknüpfung auf dem Desktop und im Startmenü steht aber auf "Host.exe".
Nun weiß jede Programmversion, dass sie "Host.exe" heißen muss, ist dies nicht der Fall, kopiert sie sich zu dem Namen und legt eine Batch nach folgendem Muster an (Programmcode angehangen). Damit soll sie sich immer auf dem "Host.exe" Namen halten und die alte Version überschreiben.

Nun kommt das Problem:
(Ich selber habe Avira und Norton)
Bei einer Probeinstallation (nutze InstallAware) meldete der Kunde, dass sein gData Virenscanner anschlug.

Habe mir also gData als Testversion geladen und tatsächlich. Habe den ganzen Programmcode nun gefiltert und bin dabei an der Zeile

Delphi-Quellcode:

ShellExecute(0,'open', pChar(hAppPath + hRunBatFileName), nil, nil, SW_NORMAL)

hängen geblieben (Hab auch schon WinExeC und CreateProcess versucht).

Sie bringt gData, als einziges Programm zur Annahme:

Zitat:

Virus: Gen:Trojan.Heur.GZ.OM0@baqReuxi (Engine-A)
Datei: Host.exe
Verzeichnis: L:\Entwicklung\Schulprojekte\Host
Prozess: bds.exe

Nun wird aber im gesamten Netzwerk gData eingesetzt und das ist natürlich ein Problem.

Hier die Procedure:

Delphi-Quellcode:

//-------- InstallHost (public) --------------------------------------
Procedure TSysCtrl.InstallHost;
Var
 Bat : TStringList;
begin
 CopyFile(pChar(ParamStr(0)), pChar(hHostFile), FALSE);

 Bat := TStringList.Create();
 Bat.Clear;
 Bat.Add(':1');
 Bat.Add('DEL /F "' + ParamStr(0) + '"');   // Delete old Host-File
 Bat.Add('If Exist "' + ParamStr(0) + '" goto 1');
 Bat.Add('"' + hHostFile+ '"');   // Run new Host-File
 Bat.Add('DEL %0');
 Bat.SaveToFile(pChar(hAppPath + hRunBatFileName));
 Bat.Free;
ShellExecute(0,'open', pChar(hAppPath + hRunBatFileName), nil, nil, SW_NORMAL); // Configure...
Application.Terminate;
end;

Gibt es vielleicht irgend eine Möglichkeit dass man direkt im asm auf das ShellExecute springen kann?

Ich weiß soetwas zu umgehen ist ein sehr heikles Thema, aber ich bin gern bereit mehr Infos zum Programm und zu weiteren Funktionen zu geben.

mfg !N

[Namenloser]

Kommt vor. Schicke das Programm am besten im fertigen Zustand an GData, damit sie den Fehlfund per Update korrigieren können.

[Luckie]

Zitat:

Zitat von internetnavigator

Gibt es vielleicht irgend eine Möglichkeit dass man direkt im asm auf das ShellExecute springen kann?

Also rumtricksen, um den Virenscanner noch einen Grund mehr für einen Alarm zu geben? Schlechte Idee.

[internetnavigator]

Naja. Es zu gData zu schicken wäre eine Möglichkeit. Ich sollte es nur eigentlich morgen an der Schule vorstellen. Wir haben da gData :wink:
Nun suche ich nach einer Möglichkeit es zumindest kurzfristig zu unterdrücken.

Aber wie kann denn soetwas überhaupt passieren?

[ErazerZ]

Die Antiviren-Software erkennt das Batch-Script welches du entpackst und ausführst. Viren benutzen das oft um die eigene Datei zu löschen und sie vom anderen Ordner ausführen zu lassen. Wahrscheinlich sind das aber schlechte Signaturen vom Antiviren-Hersteller, aber wenn du Glück hast kannst du einfach versuchen irgendwelche unnötigen Befehle im Batch-Script zu schreiben.

[Luckie]

Die Heuristik eben.

[internetnavigator]

Vielen Dank schonmal für Eure Hilfe zu so später Stunde!

An dem Inhalt der Batch scheint es nicht zu liegen, wenn ich den aukommentiere gibts das Gleiche Problem.

Kenn jemand vielleicht eine ganz verrückte Art eine .bat zu öffnen/starten?

[ErazerZ]

Was steht in hostfile? Also wo kopiert sich die eigene Datei? Sind halt schlechte Signaturen.

[internetnavigator]

TSysCtrl (hat auch InstallHost) wird im OnCreate (der Form) schon erzeugt, so dass, im günstigsten Fall, garnicht mehr die Form gezeigt wird. Im OnCreate (der Form) steht dann auch SysCtrl.VerifyFile, welches bei einem Update "InstallHost" aufruft.
Da ich für Updates nicht jedesmal Elevated-Rights einfordern wollte, habe ich mich für ProgrammData also Anwendungsdaten im AllUsers Verzeichnis entschieden. InstallAware legt alle Verzeichnisse und Registry-Einträge, sowie Verknüpfungen an und bietet dann an Host.exe zu starten.
Im ProgrammData hat das Programm dann auch Schreibzugriff.

[sx2008]

Probiere mal die Endung *.cmd anstelle von *.bat.
Du könntest auch ein VBScript anstelle einer Batchdatei erzeugen.