Антивирус ложный положительный в моем исполняемом файле
Я просто столкнулся с досадной проблемой. Внезапно Avira AntiVir начала помечать один исполняемый файл из моего программного обеспечения как вирус.
Поскольку действие по умолчанию практически любого пользователя заключается в нажатии OK, и Avira предлагает поместить вирус в карантин, большинство моих пользователей удаляют этот исполняемый файл.
Что ж, давайте не будем наглым и проверим, действительно ли я не заражен. Я разместил файл на http://www.virustotal.com/ и из всех антивирусов только Avira помечает его как зараженный. Кроме того, я проверил свой компьютер с двумя различными антивирусами, и он чистый.
Я уже отправил письмо своим пользователям, объясняющее, что происходит, но это лишняя поддержка моей поддержки, которую я действительно не хочу.
Хорошо, вопрос: есть ли способ избежать такого поведения? Я не могу думать иначе, как подписывать файлы (не знаю, решит ли это), но давайте посмотрим, есть ли у вас креативная идея.
6 ответов
Удивительно, что приложения Delphi считаются (потенциально) вредными для приложений AV. Это случилось со мной некоторое время назад, с использованием Delphi 2009, см. http://en.wikipedia.org/wiki/Wikipedia:Reference_desk/Archives/Computing/2010_March_20.
В SO у нас также есть
и многое другое.
Это может быть настоящий вирус Induc. Но, скорее всего, это ложный позитив.
Андреас отвечает отлично; это часто случается с приложениями Delphi.
Подписание кода не имеет значения - у меня был NOD32, выдававший ложные срабатывания на подписанный код Delphi.
Если были какие-либо методы, которые позволили бы избежать ложноположительных результатов, авторы вирусов будут использовать их, чтобы избежать обнаружения.
Я обнаружил, что лучший способ действий, к сожалению, скорее реактивный, чем проактивный. Все производители аудио-видео имеют возможность сообщать о ложных срабатываниях, и я считаю, что они реагируют на сообщения.
У многих честных разработчиков возникают проблемы из-за неосторожного антивирусного программного обеспечения. См. Также: Как предотвратить ложное срабатывание вирусов на моем программном обеспечении?
Представьте, что для каждого ложного положительного результата, который они показывают, вы теряете возможного покупателя. Программисты должны принять меры против таких антивирусных продуктов и заставить их быть более осторожными в отношении ложно-положительных сигналов тревоги, даже чтобы получить некоторую прибыль от продаж, которые мы теряем из-за них.
Обновить:
Недавно я заметил, что:
- Количество ложных срабатываний на VirusTotal.com НАМНОГО больше, когда программа компилируется в "Режим выпуска" (с оптимизацией компилятора), чем когда она компилируется в "Режим отладки".
- Обнаружение небесных ракет при использовании EurekaLog.
Итак, отправьте VirusTotal, прежде чем публиковать свою программу!
Существует несколько причин, по которым продукт Anti-Virus может запускаться в исполняемом файле Delphi, например:
- Многие вирусы написаны на Delphi, и поэтому ваш exe-файл может содержать некоторые части кода, которые выглядят так же, как существующие вирусы.
- Таблица импорта вашей программы используется для определения того, что может делать ваш exe-файл, например, при подключении к функциям управления учетными данными или управления дисками запускаются некоторые AV-файлы.
Как было предложено, прежде чем пытаться сканировать вашу версию с помощью онлайн-сервисов, таких как Virustotal или Jotti, всегда сообщайте поставщикам о ваших ложных срабатываниях, а не пытайтесь предотвратить ложные срабатывания. Мой опыт показывает, что поставщики аудио-видео довольно быстро реагируют на отправку.
В группах Free Pascal/Lazarus и bugtracker такие сообщения появляются почти каждый релиз и / или месяц.
Обычно мы советуем пользователям игнорировать все "общие" или "эвристические" типы сканирования и придерживаться сканирования на основе сигнатур (как это делают большинство корпоративных вирусов).
Это потому, что это почти всегда эвристические тревоги, а не конкретные вредоносные программы. Это можно легко увидеть по тому факту, что обнаруженный "вирус / троян" почти всегда имеет "общий" тип. Как правило, вирусы-вирусы являются типичными "домашними" вирусами-сканерами или домашними изданиями общих вирусов-сканнеров (Раньше Нортон был особенно плох, в настоящее время это в основном мелкие "дешевые" домашние сканеры).
Однако мы общаемся в основном с разработчиками, и уже испытываем трудности с передачей этого сообщения. Я могу представить, что при распространении среди невежественных конечных пользователей это очень сложное сообщение.
И все же другого пути нет.
В качестве решения вы можете захотеть:
1. Убедитесь, что ваш компилятор Delphi не заражен
2 - Убедитесь, что ваши источники и библиотеки не закалены (это был MO для вируса Induc)
3 - Проверьте ваш (гарантированный) чистый exe с AV. Если они сообщают о ложном срабатывании, свяжитесь с ними, чтобы они могли исправить свои тесты.
4 - Если вам нужно распространять информацию до того, как появится возможность исправить AV, подпишите свой exe, чтобы пользователи могли убедиться, что он чистый.