چرا فایل EXE کامپایل شده، ویروس شناسایی می شود؟ [بایگانی]

Sollabe

پنج شنبه 03 تیر 1389, 04:12 صبح

سلام بر همگان چندی پیش یک سورس اومد دستم که با کمی تغییر درش اون رو اماده کردم
اما با مشکل عجیبی برخورد کردم وقتی سورس اولیه رو با فایل اجرائی exe دخیره کردم در سایت ویروس توتال www.virustotal.com (http://www.virustotal.com) اسکنش کردم هیچکدوم از انتی ها شناسائی نکردن ولی وقتی سورس ادیت شده توسط خودم رو به exe تبدیل کردم یکی از انتی ها فایل رو الوده دونست (http://www.edison-progs.com/File/Shenasayi.jpg) حالا موندم که این یعنی چی ؟!! اگر کسی اطلاعاتی در این مورد داره کمک کنه ممنون میشم:قلب:(دوباره متذکر میشم که من فقط اسکین و تغییری در Button ها انجام دادم)
برنامه (http://www.edison-progs.com//File/PowerMicLocker.exe)
شناسائی فایل در VirusTotal (http://www.edison-progs.com/File/Shenasayi.jpg)

trade_mark

پنج شنبه 03 تیر 1389, 09:17 صبح

شما از چه آنتی ویروسی استفاده می کنید؟

eshpilen

پنج شنبه 03 تیر 1389, 10:07 صبح

مشکلی نداره فقط بعنوان مشکوک شناخته شده.

ایمان اختیاری

پنج شنبه 03 تیر 1389, 10:31 صبح

بستگی داره که توی کدات چی استفاده کردی ..
یه بار منم از یه dll به اسم pslib استفاده کردم ضد ویروس در جا پاکش کرد... چرا . چون می گفت داره مثه تروجان ها رفتار می کنه .. ( اینم شد دلیل آخه .. )

Netsky

پنج شنبه 03 تیر 1389, 11:04 صبح

سلام .
دوست عزیز به این حالت میگن مثبت کاذب . یعنی یکی از آنتی ویروس ها اون رو به عنوان ویروس شناسایی میکنه ولی دیگر آنتی ویروس ها نه . همیشه هم رای با اکثریت هستش .
این لینک رو هم ببینید . (http://www.negahbaan.com/article/2010/jun/353)
موفق باشید ...........

M.T.P

پنج شنبه 03 تیر 1389, 11:19 صبح

من یه برنامه تبلیغاتی واسه خودم دارم که با vb6 نوشتم و تو سی دی هایی که میفروشم میزارم. این برنامه به محض اجرا یک کپی از خودش تو پوشه ویندوز میگیره و یک مسیر تو Run در رجیستری واسه اجرا شدنش در هنگام لود شدن ویندوز ایجاد میکنه.
نکته جالبش اینجاست که وقتی دستور کپی رو در رویداد Load فرم میزارم و کامپایل میکنم آنتی ویروس ها به عنوان ویروس میشناسنش اما با قرار دادن کد کپی در رویداد Initialize مشکل حل میشه... :لبخند:

eshpilen

پنج شنبه 03 تیر 1389, 11:53 صبح

منکه برنامهء جاسوسی نوشتم آنتی ویروس هم هیچ ایرادی نگرفت :لبخند:

Nima_NF

پنج شنبه 03 تیر 1389, 13:19 عصر

اینجا دو بحث وجود دارد:

1- آنتی ویروس های و مخصوصا نسخه های internet security داریا قابلیت هایی برای کشف برنامه های "ناخواسته" و برنامه های مشکوک به خرابکاری هستند.
مثلا اگر برنامه شما رجیستری های اصلی و سیستمی ویندوز را دستکاری کند، یا keylogger امثال آن داشته باشد، inject کد داشته باشد و غیره... به عنوان یک برنامه مشکوک شناخته می شود و کاربر باید خودش شخصا آن را در لیست غیر مخرب در آنتی ویروس قرار دهد تا اجازه کار داشته باشد.
در برخی موارد می توان با ارسال فایل به همراه توضیحی به بخش امنیتی آنتی ویروس ها آن را از لیست سیاه خارج کرد.

2- دوم موضوع بسیار مهم که باید دقت داشته باشید:
علاوه بر مورد قبلی، احتمال ورود ویروس به فایل های کامپایل شده نیز وجود دارد.
چند ماه قبل یک ویروس برای کتابخانه های همراه Delphi منتشر شده بود که سیستم را آلوده می کرد، سپس کامپایلر Delphi هر فایل exe که تولید می کرد شامل این ویروس می کرد. (یعنی ناشر خودش ویروس بیرون می داد!)
پس به این نوع مسائل خطرناک هم باید دقت داشته باشید.

Sollabe

پنج شنبه 03 تیر 1389, 16:31 عصر

اینجا دو بحث وجود دارد:

1- آنتی ویروس های و مخصوصا نسخه های internet security داریا قابلیت هایی برای کشف برنامه های "ناخواسته" و برنامه های مشکوک به خرابکاری هستند.
مثلا اگر برنامه شما رجیستری های اصلی و سیستمی ویندوز را دستکاری کند، یا keylogger امثال آن داشته باشد، inject کد داشته باشد و غیره... به عنوان یک برنامه مشکوک شناخته می شود و کاربر باید خودش شخصا آن را در لیست غیر مخرب در آنتی ویروس قرار دهد تا اجازه کار داشته باشد.
در برخی موارد می توان با ارسال فایل به همراه توضیحی به بخش امنیتی آنتی ویروس ها آن را از لیست سیاه خارج کرد.

2- دوم موضوع بسیار مهم که باید دقت داشته باشید:
علاوه بر مورد قبلی، احتمال ورود ویروس به فایل های کامپایل شده نیز وجود دارد.
چند ماه قبل یک ویروس برای کتابخانه های همراه Delphi منتشر شده بود که سیستم را آلوده می کرد، سپس کامپایلر Delphi هر فایل exe که تولید می کرد شامل این ویروس می کرد. (یعنی ناشر خودش ویروس بیرون می داد!)
پس به این نوع مسائل خطرناک هم باید دقت داشته باشید.

ممنونم از راهنمائی تون ولی دوست عزیزم وقتی از سورس خام ادیت نشده فایل exe میگیرم در ویروس توتال هیچ ایرادی گرفته نمیشه.

Sollabe

پنج شنبه 03 تیر 1389, 16:32 عصر

سلام .
دوست عزیز به این حالت میگن مثبت کاذب . یعنی یکی از آنتی ویروس ها اون رو به عنوان ویروس شناسایی میکنه ولی دیگر آنتی ویروس ها نه . همیشه هم رای با اکثریت هستش .
این لینک رو هم ببینید . (http://www.negahbaan.com/article/2010/jun/353)
موفق باشید ...........

متشکرم جالب بود