شناسایی اتوران به عنوان ویروس

[majideptp]

سلام
آنتی ویروسی که رو سیستم نصب شده، اتوران ساخته شده با mmb رو به عنوان ویروس شناسایی میکنه. و مانع اجرای اون میشه و....

خوب من میتونم آنتی ویروس رو غیر فعال کنم و....

اما این سی دی اتوران باید در سیستم های مختلف اجرا بشه.

خواب سوال مشخص شد.

چطور میشه اتوران ساخته شده رو از چشم آنتی ویروس به عنوان ویروس دور کرد.؟

 

[loo30fer]

دوست عزیز فکر کنم به خاطر فایل Player تو پوشه نصب برنامه است که مشکل داره و یا شما فایلتون از حالت فشرده خارج میکنید و من یادمه قبلا از ورژن قدیمی بیلدر استفاده میکردم و این مشکل داشت

 

[majideptp]

متوجه نشدم!!!

اتوران من خیلی ساده و پیش پا افتاده است.
یه برنامه ساده برای نصب 5 تا اسکرین سیور تو سیستم های مختلف یه سازمان.
یعنی 5 تا لینک run داره . همین.
وقتی combile میگیرم خوب یه فایل exe میده با یه اتوران. که فکر میکنم inf باشه. آنتی ویروس ها ظاهران این inf رو ویروس شناسایی میکنن.
من با دو ورژن 7و8 کار کردم هردو این مشکل رو داره.
کدی - برنامه خاصی - ترفندی چیزی هست که آنتی ویروس از اجرای اتوران جلوگیری نکنه؟
چطوره که وقتی خودم اتوران های دیگه از شرکت های مختلف رو میزارم آنتی ویروس جلوگیری نمیکنه اما چیزی رو که خودم ساختم گیر میده؟

 

[loo30fer]

تو پوشه نصب برنامتون فایلی با نام Player.bin وجود داره که اگه تو این فایل تغییری داده بشه که ساختار اون تغییر کنه به عنوان ویروس شاخته بشه فایل کامپایل شدتون هم ویروس شناخته میشه چون هنگام کامپایل کردن همون فایل player به فایلتون اضافه میشه که اجرا کننده فایل شماست و توی پروژتون چه هزار تا دستور Run باشه چه یکی یا بی محتوا توسط آنتی ویروستون ویروس شناسایی میشه و الان هم به خاطر امنیت بیشتر و زیاد شدن ویروس ها آنتی ویروس ها ممکنه به خاطر تغییر صفر به یک در فایل اون رو به خاطر ویروس شناسایی کنن چون ممکنه ساختاری شبیه به یک ویروس رو پیدا کنه و قبلا هم واسه همین بوده که با هیچ کدوم از ورژن ها مشکل نداشتین برای تست شما هنگام کامپایل قسمت Fmod Configuration تیک DirectX رو به NoSound تغییر بدین و کامپایل کنید و فکر نکنم دیگه آنتی ویروستون فایلتون رو به عنوان ویروس شناسایی کنه و اگه میشه بگین از کدوم ورژن بیلدر استفاده میکنید

 

[nevercom]

یکی از دلایلی که باعث این موارد میشه اینه که Player با UPX پک میشه.
شاید اگر هنگام کامپایل قسمت compression رو روی No Compression تنظیم کنید مشکلتون حل بشه البته با اینکار چهار پنج مگابایت به حجم فایل خروجیتون اضافه میشه که البته گمان نمیکنم مشکل بزرگی باشه چون فرمودید که قراره روی دیسک عرضه بشه پروژتون, ضمن اینکه میتونه بصورت جزئی (بسته به پروژتون) روی سرعت اجرا هم تاثیر مثبت بزاره.

 

[loo30fer]

یکی از دلایلی که باعث این موارد میشه اینه که Player با UPX پک میشه.
شاید اگر هنگام کامپایل قسمت compression رو روی No Compression تنظیم کنید مشکلتون حل بشه البته با اینکار چهار پنج مگابایت به حجم فایل خروجیتون اضافه میشه که البته گمان نمیکنم مشکل بزرگی باشه چون فرمودید که قراره روی دیسک عرضه بشه پروژتون, ضمن اینکه میتونه بصورت جزئی (بسته به پروژتون) روی سرعت اجرا هم تاثیر مثبت بزاره.

ولی نمیدونم چرا این player وقتی از پک در میاد بیشتر ویروس شناسایی میشه چون من یه مدت پیش قشنگ روی Player کار کردم و وقتی اون Pack بود و با VirusTotal تست میکردم 7 تا آنتی ویروس , ویروس شناسایی میکردن ولی وقتی از حالت پک بیرون آوردم نزدیک به 9 تا 11 تا آنتی ویروس , ویروس شناسایی میکردن که وقتی کلا فایل player.bin پک شده رو با آنتی ویروسم تست میکردم شناسایی نمیشد و همین که آنپکش کردم آنتی ویروسم پاکش کرد و تونستم با یکم تغییرات که به برنامه هیچ صدمه ای نمیزد همون فایل کامپایل شده که آنپکش کرده بودم رو از شناسایی شدن توسط 9 تا آنتی ویروس رو برسونم به 3 تا
عجیبه برام که چرا اون پلیر NoSound این مشکلات نداره چه پک شده چه پک نشده
جناب Nevercom ممنون میشم یکم توضیحاتی در مورد راه حل و دلیل های شناسایی شدن توضیح بدین تا پروژه رو با خیال راحت به دست کسی بدیم چون برای خودمم سوال شده بود

 

[the_king]

احتمالا به دلیل همون سابقه ویروس ها و تروجان هایی است که با MMB ساختند و در این تاپیک بهش اشاره کردم :

بعضی از ویروس کش ها...

ویروس کش کلا خیلی وارد جزئیات کد نویسی برنامه نمی شوند، یعنی کلا امکان همچین تحلیل پیچیده ای نیست.
صرفا سعی می کنند یک الگوی مشخصی (امضاء ویروس) رو پیدا کنند تا برای شناسایی ویروس های مشابه بدرد بخوره.
اگه این الگو بدرستی انتخاب نشه، برنامه های مشابهی که ویروسی نیستند هم به عنوان ویروس شناسایی می شوند.
چون احتمالا تعدادی از تروجان ها و ویروس ها با الگوی مشابهی به این Player شناسایی و ثبت شده اند، در نتیجه
این Player هم بدنام شده و در لیست فایل های مخرب قرار گرفته.

نمونه های ساده تری از همین قضیه هست. مدت ها پیش یک ابزاری با ویژوال بیسیک ساخته شده بود که فایل های
reg رو به exe تبدیل می کرد تا به سادگی با اجرا کردنش یکسری تنظیمات رو در Registry ویندوز ذخیره کنه.
کد کامل برنامه هم موجود بود که به سادگی می توانستید از صحت و سلامت برنامه مطمئن شوید. اما با این وجود
چون یکسری افراد از این برنامه برای دستکاری غیر مجاز ویندوز کاربر و مواردی مثل تغییر Home Page در Internet Explorer
و غیر استفاده کرده بودند، خیلی از ویروس کش ها همین برنامه سالم رو به عنوان ویروس شناسایی می کردند،
فقط به همین خاطر که چند نمونه استفاده مخرب ازش باعث بدنام شدن برنامه میشه. در واقع امضاء فایل های مخرب
با این برنامه مطابقت داره.

 

[m javad]

راهنمایی

سلام
يه بحثي وجود داره:

وقتي combile ميگيرم خوب يه فايل exe ميده با يه اتوران. که فکر ميکنم inf باشه. آنتي ويروس ها ظاهران اين inf رو ويروس شناسايي ميکنن.

دقيقا آنتي ويروس به چي گير ميده؟؟؟
به فايل exe يا به فايل inf ؟؟؟
اگه به inf گير ميده (که شما فرموديد گير ميده) اصلا داستان يه چيز يگه هستش
اتوراني که بيلدر ميسازه توش سه تا خط بيشتر نيست.برای مثال

[autorun]
OPEN="Prog.EXE"
ICON="Prog.EXE,0"

اينم تحت هيچ شرايطي توسط هيچ آنتي ويروسي virus , trojan و يا worm شناخته نميشه.
اگرم ويروس کشي به اون گير بده اونو به عنوان فايل مشکوک فقط معرفي ميکنه ، ولي مزاحم کار کاربر نميشه.
براي اطمينان هنگام کامپايل پروژتون، تيک گزينه Generate autorun.inf رو برداريد تا ديگه اون فايل inf ساخته نشه
**حالا اگه گير نداد مشکل جايه ديگه هست و اونم اينه که شما سيستمتون ويروسي هست نه بيلدرتون
شما تروجان Trojan-Spy.Win32.WinSpy يا يه تروجاني مشابه اونو ( مثلا نسخه اي بالاترش ) رو سيستمتون فعال داريد
کار اين تروجان اينه که هر جا فايل autorun.inf وجود داشته باشه يه نسخه از خودشو به صورت هايدن و يه نسخه از autorun.inf خودشو هم به جاي اون autorun.inf کپي ميکنه
وقتي شما کامپايل ميکنيد تروجان فايل autorun.inf خودشو به جاي autorun.inf برنامه شما جايگزين ميکنه و ويروس کش هم به اون گير ميده. درحقيقت ويروس کش کاري به برنامه شما و autorun.inf شما نداره
**ولي اگه بازم گير داد مشکل مطمئنا از فايل exe شما هست.
اونم دليلش اينه که شما فايل Player توي mmb تون آسيب ديده.
معمولا ويروسها به يه سري از فايلها وارد ميشن و کدهاي خودشونو توي اون فايل مينويسن.
شما براي اطمينان فايلPlayer بيلدرت رو با آنتي ويروسه ، ويروس کشي کن. اينم آدرسش
Program Files\Multimedia Builder498\Player\Player.bin\...
اگه ويروس شناختش يا بهش گير داد اول سيستمت رو پاکسازي بکن و يه بار ديگه بيلدرو نصب کن تا مشکل حل بشه
اگه نشد فايل setup بيلدرت رو هم آلوده کرده، پس ديگه ازش استفاده نکن و از يه منبع مطمئن دوباره به دستش بيار.
براي امتحان اينکه مشکل از Player هست يا نه از گزينه Add Secure Layer هنگام کامپايل پروژت ميتوني استفاده کني.
همون طور که آقاي the_king گفت ، ويروس کش ها معمولا به يه کد خاص گير ميدن و نميتونن همه ي ساختار برنامه رو دقيقا بررسي کنن ( البته بيشتر در مورد تروجانها)
اگه تيک گزينه اي که گفتم فعال نباشه، فايل Player دقيقا مياد و آخر فايل شما نوشته ميشه (بدون هيچ تغييري در کدهاش) و فايل exe شما رو ميسازه و بازم ويروس کش بهش گير ميده
ولي اگه تيک رو فعال کنيد فايل Player به فايل شما اضافه ميشه و بعد کد ميشه. حالا ديگه نبايد توسط ويروس کش شناسايي بشه چون ساختارش ريخته به هم و ويروس کش هم نميتونه ديکدش رو بدست بياره.
**اگرم بازم حل نشد من معتقدم شما روي سيستمتون ويروس virus.win32.sality رو داريد که حتما حتما يه ويندوز رو رو دستتون ميزاره اگه بخواهيد سيستمتون واقعا پاکسازي بشه.اين ويروس کد خودشو توي بيشتر exe ها مينويسه و اونارو آلوده ميکنه
ميشه يه لطفي بکنيد و بگيد ويروس کشتون چي هست؟
موفق باشيد

 

[loo30fer]

من امروز روی Player.bin کار کردم و دیدم Player هیچ مشکلی نداره و فقط و فقط آنتی ویروس ها به خاطر Created With Multimedia Builder که هم برای Comment ثبت میشه و هم در اخر سورس پروژه هست ویروس شناسایی میکنن که همینطور که جناب the_king گفتن به دلیل همون سابقه ویروس ها و تروجان هایی است که با MMB ساختند , که من هر دو تغییر رو برای Created With Multimedia Builder اعمال کردم و هم فایل کامپایل دستکاری شده و بدون دستکاری که آنپک شده بود رو با VirusTotal چک کردم که نتیجش این دو تا عکسی اولی که گذاشتم شد

فایل بدون دستکاری که با 11 تا آنتی ویروس شناسایی شده


فایل دستکاری شده که با 1 آنتی ویروس شناسایی شده


فایل دستکاری شده و پک شده با UPX که با هیچ آنتی ویروسی شناسایی نشد


که اگه نسخه اصلی بیلدر رو داشتیم مشکل حل بود

 

[m javad]

سلام

من امروز روي Player.bin کار کردم و ديدم Player هيچ مشکلي نداره و فقط و فقط آنتي ويروس ها به خاطر Created With Multimedia Builder که هم براي Comment ثبت ميشه و هم در اخر سورس پروژه هست ويروس شناسايي ميکنن که همينطور که جناب the_king گفتن به دليل همون سابقه ويروس ها و تروجان هايي است که با MMB ساختند , که من هر دو تغيير رو براي Created With Multimedia Builder اعمال کردم و هم فايل کامپايل دستکاري شده و بدون دستکاري که آنپک شده بود رو با VirusTotal چک کردم که نتيجش اين دو تا عکسي اولي که گذاشتم شد

اين حرف شما از پايه ايراد داره. آخه يکم در مورد اين موضوع تحقيق بفرماييد بعد ...
هيچ آنتي ويروسي به خاطر سابقه بد يه نرم افزار اونو به عنوان ويروس معرفي نميکنه.
اگه اينطوره که تعداد ويروسهايي که با ++C و دلفي و ... نوشته شده که بيشتره. پس سابقه اونا که خرابتره
حالا ويروس کشها بيانو به هرچي نرم افزاره گير بدن!!!!!!!!!!!!!!!!؟؟؟؟؟؟؟
شناسايي ويروس توي يه فايل با شناسايي تروجان زمين تا آسمون فرق داره.
ويروس بدافزاري هست که قابليت تخريب فايلهاي ديگه و آلوده کردن اونارو داره. اين در حالي هست که فايل آلوده شده از نظر برنامه اي مشکلي براش پيش نيومده و به کارش ادامه ميده و امکان فعاليت ويروس رو هم فراهم ميکنه
ولي تروجان بدافزاري هست که اين قابليت رو نداره و خودش يک فايل هست که همون فايل رو، اين ور و اون ور کپي ميکنه و بسته به نوعش دردسرهاي خاص خودشو به وجود مياره.
وقتي يه فايل اجرايي ساخته ميشه مشخصات اون فايل هم باهاش ثبت ميشه که تغيير هر کدوم از اونا از اجراي اون برنامه جلوگيري ميکنه
يکي از اين مشخصات تعداد بيت اون فايل هست. به همين خاطر هست که شما اگه 1 بيت از يه فايل اجرايي رو کم يا زياد کنيد يا 1 بيت حتي به آخر فايل اضافه کنيد ديگه کار نميکنه
وقتي شما با يه نرم افزار Comment يا company و يا file version يه فايل رو تغيير ميديد و دوباره اونو ميبنديد نرم افزار دوباره اون مشخصات رو از اول به دست مياره.مثلا تعداد بيت رو ، و بعد اونو کد ميکنه و مينويسه.
اين حالا ديگه از نظر ويروس کشها يه فايل ديگه شده.اين ديگه اون فايل قبلي نيست.
و اما در مورد اطلاعات داخلي فايل
يه ويروس هر جايي نميتونه خودشو بنويسه. توي يه فايل اجرايي تعداد زيادي کد دستوري هست که معروف هستند به کدهاي jump. يه ويروس تنها ميتونه خودش رو بعد از اين کدها بنويسه
براي مثال شما تو برنامتون يه دکمه ميزاريد و به اون دستور باز کردن يه پنجره ديگه رو مي ديد. حالا اگه ویروس خودشو بعد از این دستور بنویسه ما یه فایل آلوده داریم که با اجرای اون ویروس هنوز اجرا نشده. حالا اگه کاربر روی اون دکمه کلیک کنه تازه ویروسه هم فعالیتش رو شروع میکنه.
ولی معمولا ویروس ها خودشونو توی jump های ابتدایی برنامه مینویسن تا به محض اجرای برنامه فعال بشن.
یه ویروس کش همه ی تک تک بیت های یه فایل اجرایی رو چک نمیکنه و میاد و کدهای jump رو پیدا میکنه و دستورات اونا رو چک میکنه ( البته چیزهای دیگه ای هم برای چک کردن توی یه فایل اجرایی وجود داره که ...)
برای اینکه مطمئن بشید که هیج ربطی به Created With Multimedia Builder نداره میتونید یه فایل اجرایی دیگه رو Commentش رو تغییر بدید و بزارید Created With Multimedia Builder و ببینید که ویروس کش بهش گیر میده یا نه؟
اگرم ویروس کشی گیر داد ، که دیگه ویروس کش نبوده
بهتره به نتایج ویروس کشی ویروس کشهای مطرح دنیا توجه کنید. توی تصاویر ارسالی این موضوع واضح هست
در ضمن ویروس کشی اینترنتی هم همیشه صحیح نیست. این موضوع رو خود ویروس کشها بهش اشاره دارن.
موفق باشید

 

[loo30fer]

دوست عزیز من قشنگ روش کار کردم و ایرادی توش نمیبینم

هيچ آنتي ويروسي به خاطر سابقه بد يه نرم افزار اونو به عنوان ويروس معرفي نميکنه.

این حرف شما رو قبول دارم درسته

ويروس بدافزاري هست که :

ضمنا من نگفتم که ویروس و تروجان را برام تعریف کنید و بچه کوچولویی نیستم که تازه برام کامپیوتر خریده باشن و ویروس کامپیوتر با ویروس سرما خوردگی اشتباه بگیرم

منم منظورم زبان های برنامه نویسی دیگه نبود و فقط گفتم بیلدر و من Comment رو بدون اینکه یه بیت اینور و اونور بده تغییر دادم یعنی از Created With Multimedia Builder 4.9.8.13 به Nreated With Nultimedia Nuilder 4.9.0.00 تغییر دادم اونم دستی نه با برنامه

بهتره به نتایج ویروس کشی ویروس کشهای مطرح دنیا توجه کنید

خودم همیشه از آنتی ویروس هایی مطرح مثل Kaspersky , Nod32 , avira استفاده میکنم و با اونها هم تست کردم
و یکی دوتا آنتی ویروس تو شناسایی اشتباه میکنه نه 11 تا

و این برای موضوع رو برای رفع مشکل جناب majideptp مطرح کردم که تونسته باشم کمکی کرده باشم

 

[majideptp]

سلام، سلام

قبل از هرچیز از همه دوستان معذرت میخوام که بعد از ایجاد مبحث به دلایل شخصی نتونستم بیام و توی بحث شرکت کنم

بعد اینکه از همه شما ممنونم که تجربیاتتون رو در اختیار من و دیگر دوستان قرار دادید و راهکارهایی رو هم پیشنهاد دادید.

فکر کنم ناخواسته این مبحث باعث ایجاد یک آزمایشگاه ویروس شناسی شد و دوستان اکثرا آزمایشاتی رو انجام دادند و... و این خیلی خوبه

اين حرف شما از پايه ايراد داره. آخه يکم در مورد اين موضوع تحقيق بفرماييد بعد ...

دوست گل m javad جان - در اینکه مطالبی که مطرح کردید نشان از معلومات بالای شما داره شکی نیست.
اما lo30fer عزیز هم با عکس هایی که گذاشتند و توضیحات ارزشمندی که دادند - کاملا مشخص هست که کار تحقیقاتی کردند و البته بیشتر از یکم تحقیق انجام دادند.
و البته وِیژگی تحقیق ایشون در اینه که خودش داره معلومات رو به دست میاره و حداقل مثل من معلوماتش از شنیده ها و یا مقاله ها و... نیست.!!!

یکم مهربانانه تر لطفا

------------------------------------------
و اما در مورد بحث ایجاد شده:

خوب خیلی از دوستان کنجکاو شده بودند که آنتی ویروس من چی هست.
قبلش یه نکته:
ببینید خوب همگی میدونیم که وقتی یه برنامه درست میشه ، باانواع سیستم ها و انواع آنتی ویروس ها سرو کار داره...
واین برنامه خیلی ساده ، هم در سیستم خودم هم در سیستم های اون سازمان (که هر کاربر بنا بر تجربه خودش از آنتی ویروس محبوب خودش استفاده میکنه) با مشکل اتوران روبرو شده.
و جالب اینکه به محض غیر فعال کردن آنتی ویروس اتوران خیلی راحت و بدون مشکل اجرا میشه.
پس فکر میکنم حساسیت زیاد راجع به اینکه چه آنتی ویروسی مانع اجرا میشه یکم مارو دور کنه.
به نظر من هر مشکلی هست مربوط به بیلدر هستش.
که دوستان ترفند های مختلفی رو ارائه دادند البته حتما من خودم امتحانشون میکنم.
---------------
من از آنتی ویروس ایرانی به نام ایمن (نسخه هما) استفاده میکنم. و بسیار هم راضی هستم.
(علی الرغم ایرانی بودنش)
حداقل از بروزرسانی و پشتیبانیش خیالم راحته و میتونم فایل های مشکوک سیستمم رو براشون ارسال کنم تا کارهای تشخیصی رو نسبت به ویروس بودن یا نبودنش انجام بدند و تا حالا هم حال خیلی از یروس ها رو گرفته...
---------------

بعضی از دوستان هم برنامه ساخته شده رو میخواستن که روش آزمایش کنن. منم برای دانلود راحتتر تو 5 تا فایل فشرده قرار دادم. شاید واقعا بیلدر های من مشکل دارند!!!

اگر برای کسی از دوستان هم امکانش هست یه اتوران ساده درست کنه به من بده تا ببینم آیا برنامه شما هم در سیستم من اجرا میشه یا نه.

پر حرفی بسته باز هم از همه ممنونم
و معذرت میخوام.