Antivirus Falso positivo en mi ejecutable

Question

Me encontré con un problema molesto. De repente Avira AntiVir comenzó a marcar un ejecutable de mi software como un virus.

Como la acción predeterminada de casi cualquier usuario es hacer clic en Aceptar y Avira sugiere poner el virus en cuarentena, la mayoría de mis usuarios están eliminando este ejecutable.

Bueno, no seamos arrogantes y compruebe si no estoy infectado de hecho. Publiqué el archivo al http://www.virustotal.com y de todos los antivirus, solo Avira lo marca como infectado. Además, escaneé mi computadora con dos antivirus diferentes y está limpia.

Ya publiqué un mensaje de correo electrónico a mis usuarios explicando lo que está sucediendo, pero esto es una carga para mi soporte que realmente no quiero.

Bien, la pregunta es: ¿hay alguna manera de evitar este tipo de comportamiento? No puedo pensar otra cosa que firmar los archivos, (realmente no sé si lo resolvería), pero veamos si tienes alguna idea creativa.

Answer 1

Es sorprendentemente común que las aplicaciones de Delphi sean reportadas como (potencialmente) dañinas por las aplicaciones AV. Me pasó hace un tiempo, usando Delphi 2009, vea http://en.wikipedia.org/wiki/Wikipedia:Reference_desk/Archives/Computing/2010_March_20#Delphi.2FAVG_Issue.

Al SO, también tenemos

• Virus in Delphi 7
• Accidentally created a virus?

y muchos más.

Podría ser el Induc Virus real. Pero lo más probable es que sea un falso positivo.

Answer 2

Como solución, es posible que desee:

1 - Verifica el compilador de Delphi no está infectado
2 - verificar sus fuentes y las bibliotecas no son templados con (que era el modus operandi para la InducVirus)
3 - Verifique su exe limpio (garantizado) con los AV. Si informan un falso positivo, comuníquese con ellos para que puedan corregir sus pruebas.

4 - Si necesita distribuir antes de que haya una posibilidad de corregir los AV, firme su exe, para que los usuarios puedan verificar que esté limpio.

Answer 3

La respuesta de Andreas es excelente; simplemente sucede mucho con las aplicaciones Delphi.

El código de firma no hace ninguna diferencia: he emitido NOD32 positivos falsos en el código Delphi firmado.

Si hubiera alguna técnica que evite los falsos positivos, los autores de virus los usarán para evitar la detección.

He encontrado que el mejor curso de acción es, por desgracia, reactivo en lugar de proactivo. Todos los proveedores AV tienen la capacidad de informar falsos positivos, y he encontrado que responden a los informes.

Answer 4

Hay varias razones por las cuales un producto Anti-Virus podría desencadenar en un Delphi produjo exe, algunas de las razones más comunes son:

• Un montón de virus están escritos en Delphi y por lo tanto su exe podrían tener algunas partes de código que tener el mismo aspecto que los virus existentes.
• La tabla de importación de su programa se usa para determinar qué puede hacer su exe ​​, por ejemplo, el enlace a la gestión de credenciales o las funciones de administración de discos desencadena algunos AV.

Como se sugirió antes de intentar el escaneo de su versión de lanzamiento con los servicios en línea tales como Virustotal o Jotti y siempre su informe de falsos positivos a los vendedores en vez de tratar de impedir ser un falso positivo. Mi experiencia es que los vendedores de AV reaccionan bastante rápido en el envío.

Answer 5

En los grupos Pascal/Lazarus gratuitos y en el rastreador de errores, dichos mensajes ocurren casi cada versión y/o mes.

En general, aconsejamos a los usuarios que ignoren todos los tipos de escaneo "genéricos" o "heurísticos", y que se atengan al escaneo basado en firmas (como lo hacen la mayoría de los virusscanners corporativos).

Esto porque casi siempre es una alarma heurística, nunca malware específico. Esto se puede ver fácilmente en el hecho de que el "virus/troyano" detectado es casi siempre del tipo "genérico". Por lo general, los virusscanners también son virusscanners "caseros" típicos, o ediciones caseras de virusscanners generales (Norton solía ser particularmente malo, hoy en día son en su mayoría los escáneres de uso doméstico "baratos" a menor escala)

Sin embargo, nos comunicamos principalmente con desarrolladores, y Ya tengo problemas para transmitir este mensaje. Me puedo imaginar, cuando se distribuye a los usuarios finales desorientados, este es un mensaje realmente difícil de comunicar.

Aún así, no hay otra manera.

Answer 6

Muchos desarrolladores honestos tienen problemas debido a un software antivirus descuidado. Consulte esto también: How to prevent false positive virus alarm on my software?

Imagine que, por cada falso positivo que muestran, pierde un posible cliente. Los programadores deben take action contra dichos productos antivirus y obligarlos a ser más cuidadosos con las alarmas de falsos positivos, incluso para recuperar algunos ingresos por las ventas que perdemos debido a ellos.

Actualización:
Recientemente he observado que:

• número de falsos positivos en VirusTotal.com es mucho mayor cuando se compila el programa es 'modo de lanzamiento' (con optimizaciones del compilador), entonces es cuando se compilado en 'Modo de depuración'.
• Detecta sky rockets cuando se usa EurekaLog.

Por lo tanto, envíelo a VirusTotal antes de publicar su programa.