Autoit Programm mit Hilfe der Seite virustotal.com Scannen

JanausSm

Hallo an alle,

ich hab da mal eine Frage die ich gerne in die Runde stellen möchte!
Ich hatte jetzt letztens ein kleines Programm für jemanden geschrieben der es vor der Benutzung über die Seite https://autoit.de/www.virustotal.com geprüft hatte!
Dabei sind 6 Warnungen heraus gekommen!
Darauf hin habe ich versucht den Grund für diese Anzeige zu finden!
Zum Schluss hatte ich zum Test eine Testexe geschrieben in der nur eine MsgBox eingetragen war und trotzdem kam auch bei dieser exe die gleiche Anzeige auf https://autoit.de/www.virustotal.com !
Auch habe ich meinen Rechner ausgeschlossen da ich das ganze bei einen Kollegen nochmals Testete! Also dort auf seinen PC mit seinen Autoit ein kleines Tool bauen ---> exe machen und Scannen!
Aber auch hier der Warnhinweis von https://autoit.de/www.virustotal.com das es sich höchstwahrscheinlich um einen Trojaner handelt.

Ist es möglich das Autoit heuristisch eingestuft wird ?

Gruß Jan

**alpines**

Zitat von JanausSm

Darauf hin habe ich versucht den Grund für diese Anzeige zu finden!

Hast du es mit UPX gepackt? UPX wird des öfteren als False-Positive erkannt und deshalb kommen diese vielen Meldungen.
Leider wird AutoIt auch ohne UPX oft als Virus erkannt aber deutlich weniger als wenn du es mit UPX packst.

Es sind aber natürlich nur False-Positives, der Interpreter macht im Hintergrund nichts verdächtiges sondern führt nur dein Skript aus.

JanausSm

UPX sagt mir erstmal nichts!
Ich hab eben SciTE zB. nur eine MsgBox eingetragen dann Strg+F7 und dann OK und diese exe nun gescannt .....
Und auch da meckert www.virustotal.com

**alpines**

Rechtsklick das Script mal und bei Compile with Options kannst du dann den Packer UPX auswählen.
Gegen die False-Positives kannst du leider praktisch gar nichts machen.

Wenn du mit AutoIt Software programmierst, dann kannst du die einzelnen AV hersteller anschreiben oder ihre Online-Formulare nutzen um deine Datei hochzuladen.
Die wird dann von den Experten dort geprüft und gegebenenfalls zur Ausnahmeliste hinzugefügt, eine andere Möglichkeit hast du leider nicht.

JanausSm

OK ich danke Dir für die schnelle Antwort! Naja ich hatte schon vermutet das so oder ähnlich aussieht!

**alpines**

Zitat von JanausSm

OK ich danke Dir für die schnelle Antwort! Naja ich hatte schon vermutet das so oder ähnlich aussieht!

Grünen Haken für erledigt setzen beim nächsten Mal nicht vergessen! (1. Beitrag bearbeiten)

**Musashi**

Hallo @JanausSm !

Zitat von alpines

Wenn du mit AutoIt Software programmierst, dann kannst du die einzelnen AV hersteller anschreiben oder ihre Online-Formulare nutzen um deine Datei hochzuladen.
Die wird dann von den Experten dort geprüft und gegebenenfalls zur Ausnahmeliste hinzugefügt, eine andere Möglichkeit hast du leider nicht.

Kann ich nur bestätigen (leider) !!

Wir verwenden für unsere Software sogar ein namhaftes (kostenpflichtiges) Zertifikat.
Trotzdem meldet z.B. AVAST : "Unbekannter Hersteller"
Auf Nachfrage wurde uns mitgeteilt, dass 'unbekannt' hier bedeutet, das AVAST das Programm nicht kennt. Da läuft garantiert eine interne Heuristik. Witzigerweise sind viele der (AutoIt-)EXE seit Jahren bei denen bekannt und akzeptiert. Macht man aber eine Update, d.h. der Hash des Programmes ändert sich, kann es trotzdem immer mal vorkommen. Eine Regel habe ich bisher nicht erkannt.
Ob im Programmcode z.B. nur eine MsgBox steht, spielt keine Rolle ( EXE-Header = AutoIt).

Fazit : Einschicken, prüfen lassen und etwas warten
Das ist ein Minenfeld, durch das man leider immer mal wieder durch muss .

Nebenbei : Beim Start der EXE in Windows wird das Zertifikat korrekt angezeigt.
Bzgl. Virustotal : Falls dort nur eine uns unbekannte z.B. asiatische Virensoftware meckert -> EGAL

Um die Komprimierung auszuschalten, kannst Du im Skript auch folgendes eintragen :
#AutoIt3Wrapper_UseUpx = N ; interne UPX Komprimierung ausschalten (Default=An)

Gruß Musashi

Simpel

Moin.

Das kommt bei Virustotal leider oft vor. Eine Erklärung dazu kann man auf Englisch hier finden: http://www.csoonline.com/article/321676…as-harmful.html

Ob dann am Ende die echten Virusscanner auf dem Rechner auch anschlagen ist nicht immer klar (bei Virustotal sind öfter auch andere Versionen im Einsatz als dann im echten Leben). Bei uns auf Arbeit reagiert der Virusscanner z.B. nicht darauf.

Gruß, Conrad