Anti "false-positive" Strategie mit PureBasic

**Schnuffel**

Hallo zusammen,

da AutoIt oft auch von "bösen" Menschen mißbraucht wird und die Erstellung einer [compilierten] exe-Datei immer bedingt, dass die autoit3.exe includiert wird als Wrapper des Scripts, ist die Viren Erkennungs-Signatur von autoit erstellten exe-Dateien immer im Fokus der Anti-Viren Software Hersteller. Da hat man es schon schwer, sein Werk so zu erstellen, dass es auch verbreitet werden kann ohne dass jeder Virenscanner Alarm schlägt.

Ich stelle hier eine Möglichkeit vor dies möglichst zu umgehen und rege zum Mitmachen oder zur Diskussion an, um diese Methode zu verfeinern, verbessern, oder auch um diese als untauglich abzustrafen.

Der Clou hinter dieser Idee steckt darin, dass man sich einen individuellen PureBasic Loader erstellt, der dann mithilfe der autoit3.exe die selbst erstellt a3x-Datei startet. Notwendigerweise muss man dafür an Dritte die autoit3.exe, den speziell dafür compilierten PureBasic (Loader).exe und das compilierte a3x-Script mitgeben. Aufwendiger als eine einfache exe, aber dafür sorgloser für Anti-Viren Programme.

Voraussetzungen:
- eine installierte Version von PureBasic (um den Loader zu compilieren)
Install PureBasic (x86 version) from here: https://www.purebasic.com/german/download.php
direct Download: https://www.purebasic.com/download/PureBasic_Demo.exe
- mind. eine autoit3.exe (i.d.R. aber eine autoit Installation, da man ja die a3x Datei auch erstellen / encoden muss)
Pfad kann in der "Create_Loader_for_a3x.pb" angepasst werden
- das angehängte Script zur Erstellung des Loaders (Create_Loader_for_a3x.pb)
- und natürlich eure a3x-Datei

Die Dateiendung eurer a3x-Datei kann dabei willkürlich gewählt werden.
Ob die a3x heißt oder irgendwie anders ist autoit3.exe und dem Loader Script egal

Ablauf zur Erstellung:
- Create_Loader_for_a3x.pb in PureBasic öffnen (Doppelklick)

für diejenigen, die gerne Anpassungen vornehmen wollen:
in der Datei folgende Parameter anpassen:
Define.s PbIcon = [vollständiger Pfad zu einer ico-Datei wenn gewünscht, wenn leer, dann kein Icon]
Define.s Autoit3 = [Pfad zur autoit3.exe]
Define.i AutoCreateExe = Bool [0/1] 0 erstellt eine a3x-Dateiname.pb / 1 erstellt eine a3x-Dateiname.exe
- F5 drücken
- Zieldatei (eine compilierte a3x-Datei mit beliebiger Endung) auswählen

wünsche fröhliches erstellen und verteilen eurer Werke.

Fragen, Anregungen, Kritik und (Lob) gerne hier in diesem Thread

Danke an ISI360 und sein ISN Autoit Studio. Er hat die Grundlage für das Script geschaffen.

**Musashi**

ACHTUNG :

Meine AV-Software (BitDefender Total Security) hat beim Entpacken der .zip (genauer bei der ...\Test.exe ) eine Bedrohung festgestellt.

Schnuffel will uns garantiert keine Viren unterschieben - könnten bitte andere von Euch dies trotzdem mal prüfen.

Vorab würde ich vom Start der Test.exe abraten.

**AspirinJunkie**

Ich bin bislang zwar ziemlich verschont gewesen aber das Problem mit den Virenscannern scheint ja wirklich verbreitet zu sein.
Umso besser, dass sich jemand hierfür clevere Lösungen überlegt!

Nun wollte ich das mal testen und habe mir das Testscript als normale AutoIt-exe in verschiedenen Ausprägungen kompiliert und mit der Variante von hier auf Virustotal verglichen.
Das sind die Ergebnisse:

Typ	Virenscanner angeschlagen	Link
Schnuffels PureBasic-Variante	13 / 72	>>Ergebnis<<
AutoIt 3.3.16.1 x64 ohne UPX	2 / 72	>>Ergebnis<<
AutoIt 3.3.16.1 x64 mit UPX	7 / 72	>>Ergebnis<<
AutoIt 3.3.16.1 x86 ohne UPX	14 / 72	>>Ergebnis<<
AutoIt 3.3.16.1 x86 mit UPX	16 / 72	>>Ergebnis<<

Quantitativ scheint es also noch nicht den riesen Unterschied zu bringen.
Qualitativ könnte es aber vielleicht etwas bringen, da außer BitDefender eher nur exotische Virenscanner anschlagen.

Auch kann man vielleicht mitnehmen: Wenn`s geht dann fährt man mit der x64-Variante immer besser.

**Schnuffel**

feine Sache, dass ihr euch beteiligt.

Nur so kann man ein Thema von vielen Seiten beleuchten.

Der Test von ArpirinJunkie zeigt ja eher ein ernüchterndes Bild über den PureBasic Loader.
Ich hätte als Alternative noch die Idee aus einem Powershell Script, dass die autoit3.exe aufruft eine exe zu bauen.
siehe hier: GitHub

Ich bau da mal was und werde hier weiter berichten.

**Musashi**

Zitat von Schnuffel

Der Test von AspirinJunkie zeigt ja eher ein ernüchterndes Bild über den PureBasic Loader.

'false positives' sind leider kein alleiniges Problem von AutoIt. Auch mit anderen Programmiersprachen erzeugte .exe's fallen den Virenscannern gerne mal zum Opfer - wenn auch nicht so häufig. Grund dafür ist vermutlich der Umstand, dass AutoIt wegen der einfachen Bedienung seit vielen Jahren von Skriptkiddies (für Bots, Spieleautomatisierungen etc) verwendet wird. Zudem steht hinter AutoIt kein Großkonzern der die AV-Hersteller mal auf den Topf setzen würde.

Zitat von Schnuffel

Ich bau da mal was und werde hier weiter berichten

Eine weitere Alternative, die ggf. einen Blick wert wäre, ist das Projekt :

Au3toCmd -- Avoid false virus positives. (Version: 2022.09.01)

Au3toCmd --- Avoid false virus positives Since many virus scanners sometimes prevent a "compiled autoit EXE" from being executed as "false positive", the…

www.autoitscript.com

des Users Exit (aus dem EN-Forum). Leider ist er seit über 2 Jahren nicht mehr aktiv.

Zitat von Schnuffel

Ich hätte als Alternative noch die Idee aus einem Powershell Script, dass die autoit3.exe aufruft eine exe zu bauen.

Das wäre sicher mal einen Versuch wert.

**Schnuffel**

Also der Powershell-Exe Loader wurde auch als Virus angezeigt, aber von so unbekannten VirenScannern, sodass man die wohl vernachlässigen kann.

Ergebnis:

Typ	Virenscanner angeschlagen	Link
Schnuffels Powershell-Variante	12 / 72	>>Ergebnis<<

Würde für mich jetzt erstmal bedeuten, dass entweder mit einer 64-bit Compilation ohne UPX oder eben mit PowerShell-Exe als Loader die wenigsten false-positive zu erwarten sind.

Wen es interessiert hier ein einfacher Einzeiler in PowerShell um diesen als Loader der a3x zu verwenden.
einfach mit dem obigen Tool in eine exe wandeln:

AutoIt

Start "Pfad zur \AutoIt3.exe" -ArgumentList ('"Pfad zur a3x\Test.a3x" "Test 1.Parameter"')

**Schnuffel**

Irgendwie gefällt mir das alles nicht.

Ich denke ich werde als nächstes versuchen das so rudimentär wie möglich zu machen.
Es ist doch nichts weiter nötig, als
- die autoit3.exe in einem Ordner nach Wahl, je nach Installationszweck und Art der Verteilung
- eine Registrierung für die a3x Datei (kann sogar eine andere sein z.B. .ea3x oder .lalala Das sind 5 Zeilen Reg-Code ....

Danach kann man diese Datei einfach doppelklicken und das Ding startet. Parameterübergabe auch kein Problem.

Ich spiel da mal an der Thematik rum

Für autoit3 exe Dateien, die mobil verteilt und genutzt werden, ist das sicher keine Lösung.
Dafür wird es keine wirkliche Lösung geben.
Von daher beschränke ich meine Betrachtung auf kontrollierbare Installationen mit verfügbaren Adminrechten.

Peter S. Taler · *Ab 19-10-22 ergänzt um:*

Meine Frage mag ja blöd erscheinen, aber wenn ich.... kontrollierbare Installationen mit verfügbaren Adminrechten

habe, warum füge ich die betroffene autoit.exe nicht einfach zu den Ausnahmeregeln des Virenscanners hinzu?

LG

Peter

**Schnuffel**

weil die Konfigurationshürde höher ist.

Mein aktueller Ansatz wird eine Installationsroutine ( werde ich Jos vll. mal vorschlagen), die auf dem Zielrechner lediglich eine a3x Unterstützung installiert für 32- und 64-bit a3xDateien.

Danach kann man jede a3x/a3x64 Datei wie eine exe auf dem Zielrechner starten. ( a3x64 ist eine von mir erfundene Dateitypenbezeichnung, um x86 und x64 trennen zu können.

**Oscar**

Zitat von Schnuffel

die auf dem Zielrechner lediglich eine a3x Unterstützung installiert

Dafür bräuchte man ja lediglich die 32/64 Bit exe im a3x-Verzeichnis.

Ich hatte gestern schon die Idee, das alles zu packen und als BASE64 in ein NIM-Programm zu integrieren, sodass man damit die exe ins Scriptverzeichnis entpacken kann.

Allerdings wenn ein AV-Programm bereits auf die AutoIt-Exe anschlägt, wird das auch keine Lösung sein.

**Schnuffel**

genau so,
eigentlich eine abgespeckte AutoIt Installation, die lediglich die 2 AutoIt exen und ein paar Registry Einträge erstellt.

Dann kann auf diesem Endgerät a3x auf die gleiche Weise genutzt werden, wie jede exe Datei.

**Schnuffel**

hier das Ergebnis von VirusTotal:

Typ	Virenscanner angeschlagen	Link
AutoIt3.exe	4 / 72	>>Ergebnis<<
AutoIt3_64.exe	1 / 72	>>Ergebnis<<

sieht also so aus, als würde Jos seine exe'n bei den Anti-Viren Herstellern brav anmelden ...

**Oscar**

Zitat von Schnuffel

die lediglich die 2 AutoIt exen und ein paar Registry Einträge erstellt.

Die Registry-Einträge bräuchte man gar nicht unbedingt.

Wenn die AutoIt-Exe im a3x Verzeichnis liegt, müsste man nur eine Verknüpfung (in der die AutoIt-Exe mit dem a3x gestartet wird) in dem Verzeichnis erstellen.

**Schnuffel**

es gibt lediglich einen kleinen "Bug" den wir durch Erstellung einer weiteren Dateiendung beheben müssten.

a3x-Dateien werden egal ob in 32-bit oder in 64-bit compiliert immer mit dem 32-bit Wrapper gestartet.

Das liegt an der Registrierung der Dateiendung. Windows kann eine 32-bit a3x nicht von einer 64-bit a3x unterscheiden.
Da es "nur" eine Dateityp Registrierung für a3x Dateien gitbt, die auf den 32-bit Wrapper zeigt, ist es anders so auch gar nicht möglich.

Daher würde ich für 64-bit a3x Dateien den neuen Dateityp "a3x64" einführen, der dann mittels eigener Dateityp Registrierung auf den 64-bit Wrapper verweist.

**Schnuffel**

es sollte halt für den "Enduser" so bequem wie möglich sein die Dateien zu starten.

Außerdem muss man dann nicht mit Verweisen hantieren und der Austausch von a3x Dateien und deren Namen wäre easy.

**Schnuffel**

ich bastle mal eine AutoIt-lite Installation nur für die Nutzung der a3x...
Vielleicht mag dass ja dann der ein oder andere testen

**Schnuffel**

ach ja, das "feste" eintragen der Dateitypen kann man in der Installation optional abfragen

Mir geht es nur darum, dass die Dateien und Einträge die selben sind,
die auch von einer vollständigen AutoIt Installation erstellt werden.
Sie sollten auch an der selben Stelle im Dateisystem abgelegt sein. SO kann man eventuell eine VollInstallation drüber installieren, ohne dass es dabei zu Problemen kommt.

**Musashi**

Zitat von Schnuffel

a3x-Dateien werden egal ob in 32-bit oder in 64-bit compiliert immer mit dem 32-bit Wrapper gestartet.

Info :

Kompiliert man ein Skript als .exe dann regelt die Direktive #AutoIt3Wrapper_UseX64 (Y / N - Default N) welcher Interpreter (also 32-bit oder 64-bit) eingebunden wird.

Im Gegensatz dazu sind a3x-Dateien "bit-less", d.h. die Direktive UseX64=Y im Skript hat keine Relevanz. Man muss also selbst dafür sorgen, dass die .a3x mit dem passenden Interpreter gestartet wird.

Von daher wäre eine für den User erkennbare Unterscheidung mittels modifizierter Extension, also .a3x32 bzw. .a3x64 sicher keine schlechte Idee.

**Schnuffel**

andererseits möchte ich nicht in die Installation oder offizielle Verteilung von Daten und Registry Einträgen von Jos` Installer eingreifen.
Solange er keine native Unterstützung für a3x64 Dateien einbindet, würde ich auch darauf verzichten und lediglich a3x Dateien registrieren.

argumentum

Ich habe den Beitrag im EN-Forum verfasst, weil ich das Passwort für dieses vergessen hatte, aber es war ganz einfach, es wiederherzustellen.
Jedenfalls habe ich dort Folgendes geschrieben:
Als ich Ihr Skript (a3xInstaller.au3) las, dachte ich, da Sie nur an der x64-Version interessiert sind,
möchten Sie es in "C:\Program Files\AutoIt3\" statt in "C:\Program Files (x86)\AutoIt3\" installieren.
Auf diese Weise stören Sie die Standardverteilung nicht.
Da a3xInstaller.exe eine ausführbare Datei ist, können Sie außerdem FileInstall() statt im @temp zwischen den zu installierenden Dateien hin- und herschicken.

Ich hoffe, Ihnen gefällt die Idee

( Übersetzt mit Google Translate. Hoffnung ist lesbar )