HLFX.Ru Forum - Автоапдейтер волатилы начал детектироваться Касперским как вирус

Автоапдейтер волатилы начал детектироваться Касперским как вирус

Первый вопрос (риторический): почему продукция Касперского - говно наиговённейшее, говнявое, преговённое?
Второй вопрос (практический): как переписать код, чтобы он снова мог работать у людей без возни с добавлением в исключения?

Программа очень простая. Получает на входе папку игры, папку с временными файлами и pid процесса. Ждёт окончания процесса, потом перезаписывает файлы и самоудаляется. Используется для обновления системных дллок и ехешника, т.е. тех файлов, которые нельзя переписать во время работы движка.

Код:

1	#define WIN32_LEAN_AND_MEAN

2	#include <windows.h>

3	#include <stdio.h>

4	#include <stdlib.h>

5	#include <direct.h>

6	#include <io.h>

8	#define MAX_NUM_ARGVS 4

int argc;

11	char *argv[MAX_NUM_ARGVS];

13	static void AU_SelfDelete( void )

15	char szFileName[MAX_PATH];

16	GetModuleFileName( NULL, szFileName, sizeof(szFileName) );

17	MoveFileEx( szFileName, NULL, MOVEFILE_DELAY_UNTIL_REBOOT );

20	static void AU_DeleteDirectory( const char *pszDirName )

22	char search[MAX_PATH];

23	struct _finddata_t findinfo;

24	intptr_t findhandle;

26	memset( search, 0, sizeof(search) );

27	strncat_s( search, pszDirName, sizeof(search)-1 );

28	strncat_s( search, "\\*", sizeof(search)-1 );

30	findhandle = _findfirst( search, &findinfo );

31	if ( findhandle == -1 )

    return;

  do {

35	if ( findinfo.name[0] == '.' )

      continue;

37	memset( search, 0, sizeof(search) );

38	strncat_s( search, pszDirName, sizeof(search)-1 );

39	strncat_s( search, "\\", sizeof(search)-1 );

40	strncat_s( search, findinfo.name, sizeof(search)-1 );

41	if ( findinfo.attrib & _A_SUBDIR ) {

42	AU_DeleteDirectory( search );

      continue;

45	remove( search );

46	} while ( _findnext ( findhandle, &findinfo ) != -1 );

48	_findclose( findhandle );

49	_rmdir( pszDirName );

52	static bool AU_MoveDirectoryContents( const char pszDirName, const char pszDest )

54	char src[1024];

55	char dst[1024];

56	struct _finddata_t findinfo;

57	intptr_t findhandle;

59	memset( src, 0, sizeof(src) );

60	strncat_s( src, pszDirName, sizeof(src)-1 );

61	strncat_s( src, "\\*", sizeof(src)-1 );

63	findhandle = _findfirst( src, &findinfo );

64	if ( findhandle == -1 )

65	return true;

  do {

68	if ( findinfo.name[0] == '.' )

      continue;

71	memset( src, 0, sizeof(src) );

72	strncat_s( src, pszDirName, sizeof(src)-1 );

73	strncat_s( src, "\\", sizeof(src)-1 );

74	strncat_s( src, findinfo.name, sizeof(src)-1 );

76	memset( dst, 0, sizeof(dst) );

77	strncat_s( dst, pszDest, sizeof(dst)-1 );

78	strncat_s( dst, "\\", sizeof(dst)-1 );

79	strncat_s( dst, findinfo.name, sizeof(dst)-1 );

81	if ( findinfo.attrib & _A_SUBDIR ) {

82	_mkdir( dst );

83	if ( !AU_MoveDirectoryContents( src, dst ) )

84	return false;

      continue;

88	// move file

89	if ( !MoveFileEx( src, dst, MOVEFILE_REPLACE_EXISTING \| MOVEFILE_WRITE_THROUGH \| MOVEFILE_COPY_ALLOWED ) )

90	return false;

91	} while ( _findnext( findhandle, &findinfo ) != -1 );

93	_findclose( findhandle );

94	return true;

97	int APIENTRY WinMain( HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow )

99	// Extract argc and argv

  argc = 0;

101	memset( argv, 0, sizeof(char)MAX_NUM_ARGVS );

103	bool in_quote = false;

105	while ( *lpCmdLine && ( argc < MAX_NUM_ARGVS ) ) {

106	while ( lpCmdLine && ( lpCmdLine <= 32 ) )

107	++lpCmdLine;

109	if ( *lpCmdLine ) {

110	if ( *lpCmdLine == '"' ) {

111	in_quote = !in_quote;

112	++lpCmdLine;

114	argv[argc] = lpCmdLine;

      ++argc;

116	while ( lpCmdLine && ( ( lpCmdLine > 32 ) \|\| in_quote ) ) {

117	if ( in_quote && ( *lpCmdLine == '"' ) ) {

118	in_quote = !in_quote;

          break;

121	++lpCmdLine;

123	if ( *lpCmdLine ) {

124	*lpCmdLine = 0;

125	++lpCmdLine;

130	// argv[0] = temp directory

131	// argv[1] = game directory

132	// argv[2] = success message

133	// argv[3] = parent process id

135	if ( !argv[3] )

    return 0;

138	DWORD dwPID = atoi( argv[3] );

139	HANDLE hParent = OpenProcess( PROCESS_QUERY_INFORMATION \| SYNCHRONIZE, FALSE, dwPID );

140	if ( hParent == 0 )

    return 1;

143	WaitForSingleObject( hParent, INFINITE );

144	CloseHandle( hParent );

146	// Now we can install updates

147	bool bSuccess = AU_MoveDirectoryContents( argv[0], argv[1] );

148	AU_DeleteDirectory( argv[0] );

150	if ( !bSuccess ) {

151	char buf[64];

152	sprintf_s( buf, "Error installing update!\nError code: %u", GetLastError() );

153	MessageBox( 0, buf, NULL, MB_ICONSTOP );

  } else {

155	MessageBox( 0, argv[2], "", MB_ICONINFORMATION );

158	AU_SelfDelete();

  return 0;

Напиши им в поддержку. Может даже пришли безобидный исходный код, который у ихнего антивируса детектится.

А лучше забить. ТРУЪ юзер не юзает онтивирус.

Касперскому вашему не нравится ровно тот факт, что программка совершает операции с файлами. Для нее любая программа, которая совершает операции с файлами = вирус. Ну кроме винды, конечно.

Добавлено 27-03-2014 в 21:56:

А еще скажу: у тебя там рекурсивное удаление. С точки зрения любого антивируса это подозрительно. Т.е. порядочная программа должна срать в темп и никогда за собой не подчищать.

Против рекурсивного удаления касперский ничего не имеет.
Ему не нравится рекурсивное перемещение файлов. И вообще рекурсивный вызов AU_MoveDirectoryContents (ругается на вирус даже при закомментированном MoveFileEx).
В общем, чудеса какие-то. Скорее всего, баг в эвристике или в сигнатурах. Ну не может быть тут ничего подозрительного, тысячи программ файлы мувают.
Правда, есть нюанс, эта программка весит всего 8 кб. Может, это ему не нравится? Ну тогда надо статически с Qt слинковать, наверное.

Добавлено 28-03-2014 в 01:08:

Твою жеж мать! Слинковал статически с CRT, размер увеличился до 55 кб, касперский перестал ругаться!
Охренеть эвристика! Ну просто достойна Бабушкина. Интересно, а гусей он.. не тово?

Дядя Миша, у меня, кажется, Immunet на юнинсталл жаловался в ксаше. Но бомжарским антивирусам я такое прощаю.

Government-Man
Слушай, ну допустим, вероятность оказаться вирусом 95%.
Остальные 5% - это миниатюрные программы-автоапдейтеры, хранящиеся в ресурсах больших программ и извлекаемые по мере надобности.
Эвристике касперского, выходит, глубоко плевать на эти 5% честных программ?
Представим себе камеру осуждённых на смертную казнь, в ней 100 человек, но известно, что пятерым заменили казнь на пожизненное. И тут приходит указание сверху - казнить всех, кого положено. Касперский в этом случае казнит всех - зачем ему разбираться, кто на что осуждён? Всего-то 5 человек из 100, ну мелочь же?
Вот так работает его эвристика.

Добавлено 29-03-2014 в 13:13:

А как должна работать нормальная эвристика: анализировать, откуда приходят входные данные в программу. Если в программу вшиты какие-то пути, или она юзает GetSystemDirectory/SHGetSpecialFolderPath, и оперирует с файлами по этим путям - да, подозрительно. Если программа копирует или удаляет файлы, переданные ей в аргументах - это самая обычная утилита.
Я понимаю, когда Бабушкин вычисляет контрольную сумму cp/xcopy и любую другую программу, копирующую файлы, с другой суммой, записывает в "вирусы". Но это, блин, лаборатория Касперского, а не алтайский школьник...

Смешно: вирус допишет нулей сам в себя, вырастет и станет большим. Все довольны?

~ X ~
Сейчас есть вирусы, которые требуют минимум дотнет фреймворк 4.0 для запуска. И ничего!

XaeroX

т.е. они меня попросят скачать 200мб говна себена комп? ох ржунимагу!

KiQ, Отличная Шутка!

Нет, я про http://www.immunet.com/main/index.html
А бомжарским назвал, так как он основан на clamav.

>и демосцены надо сразу в вирусы записать. На всякий случай.
уж куда проще вообще запретить все программы не прошедшие сертификацию в каком ни будь мининформтехе. естественно, на уровне железа через DRM/TC. вангую, что через лет 5 так и будет -- столлман был прав во всём.

Какие пять лет? Вон на аппле всегда так было. Софта и так мало, еще весь огороженный. Пока не купишь - не работает.
Все эти ограничения позволяются лишь потому, что не сильно мешают, а где-то создают и видимое преимущество. Лично для меня всё закончилось в 2005 году - я перестал обновлять софт, т.к. не видел в этом никакой потребности.
Старый софт не ржавеет, не глючит, прекрасно себе работает, свои задачи выполняет. Где-то еще с MS-DOS не слезли. Обновление ради обновления - верный признак шизофрении.

Дядя Миша, в XashXT тоже? Ну, значит, он всё правильно сделал

Не, ну проблема вирусов всё-таки реально существует.
Беда в том, что вместо того, чтобы серьёзно работать над эвристиками, кои-кто тратит деньги непонятно на что, а взамен предлагает инновационные идеи "а ля Бабушкин".

XaeroX индекс - в студию! (хотя, ХРюшей не пользуюсь)

>Не, ну проблема вирусов всё-таки реально существует.

ну ты не так всё понял. суть в чём:
1)вступаем в справедливую россию
2)выдумываем там законопроект вроде "защиты детей от компьютерных вирусов".
3)в тексте законопроекта делаем так что запрещены вообще все программы и средства разработки.
4)на базе лаборатории кашпировского (и других примазавшихся) делаем службу сертификации продающую индульгенции. ну и, кочнено, договариваемся с InHELL и micro$oft что бы везде был DRM/TC.
5)тех, кто купил идульгенцию награждаем значком "за вклад в борьбе с мировым гомосексуальным заговором" и гладим по голове, тех кто индульгенцию не купил а что то там кодит -- сажаем в колонию поселение на два года с возможностью досрочного выхода.
6)???
7)PROFIT, чистые интернеты и никаких вирусов.

6*)пользователей gnu/linux и вообще свободного ПО вместо двух лет сажаем на 7 и отправляем на урановые рудники как пятую колонну и пособников мирового гомосексуального терорризма.

Ну чего ты добрый такой? Семь лет всего. Двадцать лет с последующим расстрелом. И народу всегда нравится когда кого-то сажают.

Дядя Миша

не хочу я себе 20 лет с последующим расстрелом. уж лучше уран копать.

ну ты же под вайном сидишь? Значит встал на скользкий путь исправления

Дядя Миша

я кстати выяснил что под вайном тормозит именно новый рендер (из за этого раньше и не замечал) -- видимо где то там вайновая трансляция и лажает. нельзя как ни будь по одной функции рендера включать/выключать что бы гадкое место выявить?

>путь исправления

нет. не получится у меня -- слишком надо трахаться с настрйоками что бы что то комфортное получилось.

XaeroX
быстро скопытишься, хоть и мучительно. почки откажут и привет.

thambs
А они в свинцовых костюмах работать заставят. Те же 20 лет протянешь, ну и доктора будут на подхвате, чтобы если что - адреналинчик впрыснуть. Как вариант - почечный диализ каждые 6 часов всей бригаде.

Сразу видно, кто языком почесать зашёл, а кто реально на этих рудниках горбатился. Респект!

Та не, я книжки читал. В нашей стране надо быть готовым ко всему, ну это все знают.

XaeroX

это тратиться надо. кто ж на заключённых тратиться будет, а главное, зачем?

Вот за что я люблю форум HLFX, так это за то, что тут с обсуждения автоапдейтера могут легко перейти к обсуждению добычи урана силами заключенных.

Government-Man когда админы сами флудёры - еще и не такое возможно.