Код на С++ и антивирус

Мое почтение, джентльмены.
Сегодня обнаружил ситуацию, о которой хотелось бы послушать мнение спецов, т.к. я в эту тему еще не погружался.

В свободное от работы время, я пишу библиотеку для себя, для коллег и для всех, кому она будет интересна на С/С++ уже несколько лет.
Данный продукт выкладываю на сайт для бесплатного использования всем желающим.
Поэтому иногда (редко) проверяю на вирусы, на всякий случай (была ситуация, когда появилась рефлексия на скрипт (VBA) у антивируса - "Касперского", и такой файл лежал на сайте, пришлось писать в "Касперского", прилагать файл - код был открыт, что бы этот файл удалили из вирусной базы, его удалили из вирусной базы. Его потом я вообще удалил с сайта, перенеся функционал в другой продукт)

В этот раз с Касперским все хорошо, но сайт www.virustotal.com выдает следующее при сканировании моей DDL 32-bit/x32
11 security vendors - Popular threat label - babar ссылка

Причем Касперский без рефлексии. ссылка

А главное, что на версию 64-bit/x64 нет рефлексии не у virustotal ссылка , не у Касперского ссылка , хотя код один и тот же, собирался в Visual Studio 2022, с настройками максимальной оптимизации.

Выкладывать ли такой продукт на сайт?
Как поступить, если я точно знаю, что ничего вредоносного там нет?

З.Ы.
Посмотрел, что за фрукт - Babar , также называемый SNOWGLOBE или Evil Bunny , - это вредоносная программа для шпионских целей, созданная Генеральным управлением внешней безопасности Франции , известная по крайней мере на ноябрь 2009 г..
Во Франции ни разу не был, с француженками (тем более французами) не встречался. Откуда подхватил - не понятно.
На сайт пока не выкладываю x32-версию библиотеки, во избежание, так сказать, эпидемии...

Добавлено через 1 час 26 минут
если собрать x32.dll без оптимизаций, Babar пропадает (но остается 2 пункта)
ссылка

0

Удивительно, что все эти UPX все еще работают на Windows. В каждой версии ОС предпринимаются все больше усилий к тому, чтобы запрещать выполнение произвольного ("сгенерированного") кода из памяти.

Сообщение от Undisputed Не знаю как вы это проверили (поделитесь?)

Я не особый знаток, но лично я не знаю способа зашарить память между процессами Windows из user mode, чтобы при этом там еще и успешно выполнялся код.
Плюс чтение мнения толковых специалистов на форумах в те времена, когда про UPX еще помнили и кое кто даже применял; на форумах тогда были обсуждения чем это хорошо и плохо, прямо отдельными ветками. Наверняка можно нагуглить.

0

Сообщение от KSergey9 Я не особый знаток, но лично я не знаю способа зашарить память между процессами Windows из user mode, чтобы при этом там еще и успешно выполнялся код.

Такой способ есть, см. третий параметер flProtect функции CreateFileMapping.

1

Прошло 1,5 года и достигнутое шаткое перемирие было нарушено Kaspersky (не реклама, просто стоит это антивирус и дома и в офисе у целевого пользователя, далее просто Антивирус), причем в самый пикантный момент обновления у пользователей на новую версию надстройки (благо неблагонадежный оказался только установщик, см.далее)

За это время из ранее обсуждаемого в этой теме:

Сообщение от bedvit В итоге, я правильно понимаю, что сейчас частная, не коммерческая разработка требует (в реальности, как сейчас у ТС): 1. Заплатить за сертификат к своему продукту 2. Заплатить за SSL (если свой сайт) 3. Постоянно держать руку на пульсе антивирусе, во избежание ложного срабатывания, и писать в разные инстанции, в случае оного, т.к. п1 не гарантирует отсутствия п.3. 4.Писать на свой страх и риск, что в один момент, этот продукт станет токсичным, по причине срабатывания п.3

п.2 - Был куплен SSL, что было вынужденной мерой, т.к. дожали.
п.4 - Поддерживается, что и приводит к дальнейшим рефлексиям... см. делее.
п.3 - Осуществляется, но случился следующий случай, который навел меня на некоторые размышления о дальнейшем... Вечером 17.02.2024 было все ОК, как всегда и не предвещало ничего необычного. Антивирусные базы были обновлены, новая версия просканирована и выложена на свой сайт. Утром, попросил друга оценить новый функционал, после чего был выслан мне скрин с трояном, и после срабатывания у товарища, одноименный Антивирус, стал каскадно срабатывать везде, вплоть до блокирования моего сайта (и всех ссылок на файлы с установщиком) как содержащий опасный контент.
Установщик был оперативно исключен из сборки и сборка перезалита, но ссылки и сайт попали в опалу у Антивируса (быстро у ребят работает, чётко.. могут, умеют)
Написал в службу поддержи Антивируса. В течении дня написали ответ (+писал еще в чат, оперативно отвечали), что это ложное срабатывание, сайт с ссылками разблокировали, установщик перестал вызывать рефлексию Антивируса.

В итоге:
1. Осадочек остался... Пока не знаю, кто успел лицезреть сообщение о трояне... Готовит ли СБ в офисе на меня досье... Установщик не решился вернуть обратно, т.е. пользователям нужно теперь вручную устанавливать надстройку в папку для надстроек и подключать (нажать на установщик и на запрос установки ответить утвердительно было намного проще ).
2. Подал заявку на участия в программе Allowlist от Антивируса (предполагаю, шансы небольшие)
3. Дожали по п.2, теперь дожимают по 1., в связи с чем вот этот большой пост и потребность в совете от комьюнити данного форума, есть ли сейчас возможность в России, как физ. лицо купить Сертификат Code Signing? Есть ли какие либо еще варианты сохранить репутацию и доверие как разработчика безопасного ПО?

0

Сообщение от bedvit Есть ли какие либо еще варианты сохранить репутацию и доверие как разработчика безопасного ПО?

Открой код, чтобы все видели, что там всё безопасно, и чтобы кто угодно мог сам компилировать.

Более того, безопасное ПО ≠ ПО, на которое не реагирует антивирус. Можно написать программу, на которую не среагирует ни один антивирус, но которая испортит полностью вашу систему. И наоборот, программа может быть классифицирована антивирусами как самый опасный вирус, но по факту, она может быть безопасной.

Так что, репутация создается не сертификатами.

1

Сообщение от bedvit п.2 - Был куплен SSL, что было вынужденной мерой, т.к. дожали.

При использовании Let's Encrypt были какие-то проблемы?

А в целом - это вы еще новый релиз в AppStore эпловский не выкладывали. Особенно когда есть обещанные сроки заказчику

Добавлено через 1 минуту

Сообщение от bedvit Пока не знаю, кто успел лицезреть сообщение о трояне...

Кому вообще всё это интересно - сообщил бы вам наверняка.
А более - кто ж смотрит-то.

0

Сообщение от Royal_X Открой код, чтобы все видели, что там всё безопасно, и чтобы кто угодно мог сам компилировать.

Признаюсь, такие мысли были. Это отдельная вопрос, ответа на который у меня нет. Когда конечный пользователь это не разработчик, он не будет смотреть исходники. Будет ли интересен этот код кому либо. И т.д.

Сообщение от Royal_X Более того, безопасное ПО ≠ ПО, на которое не реагирует антивирус.

Пользователь, эти различия не различает. Здесь сложно. Нужно дружить с антивирусами, по другому не выйти из песочницы.

Сообщение от KSergey9 Let's Encrypt были какие-то проблемы

Проблема в 3х месячной лицензии (если не ошибаюсь?) и самостоятельной установке ключа, чего нет у моего купленного конструктора от хостинга. Каждый раз писать в поддержку накладно по разным причинам (нужна заявка, нужно выполнить некую процедуру и т.д.). Поэтому был куплен недорогой с автопродлением на год, только счет пополняй...

Ходят слухи, что сертификат Code Signing несколько снижает рефлексию антивируса. Ну и иметь свою заверенную подпись для ПО говорят почерк более профессиональный. Вопрос лишь в возможности приобретения для физ.лица и стоимости.

0

Сообщение от bedvit Когда конечный пользователь это не разработчик, он не будет смотреть исходники. Будет ли интересен этот код кому либо. И т.д.

Не важно, смотрит он в этот код или нет. Например, многие пользователи, когда узнают, что какой-нибудь проект с открытым кодом, они с облегчением вздыхают и не колеблясь пользуются этим софтом, даже если они не разбираются в программировании и даже если они и не собираются копаться в исходниках. Просто самого факта, что код открыт, для них достаточно, чтобы верить разрабу. Ведь, они полагают, что будь в коде что-то плохое, то кто-нибудь понимающий это выявит и разоблачит разраба. Т.е. тут больше психологический эффект.

Сообщение от bedvit Пользователь, эти различия не различает.

Еще как различают. Если софт хороший, то пользователи качают его даже несмотря на многочисленные срабатывания на вирустотале. Либо когда они доверяют разраба - а это возможно, когда разраб честно скажет, в чем причины срабатываний. Например, многие качают лекарства, взломы, но они не боятся срабатываний антивируса, ибо им объяснили, почему там срабатывания.

0

Сообщение от KSergey9 релиз в AppStore эпловский не выкладывали

Есть особенности связанные с безопасностью?

Сообщение от Royal_X Если софт хороший, то пользователи качают его даже несмотря на многочисленные срабатывания на вирустотале.

Мой код еще не дорос до такой оценки. Да и пользователи натренированы СБ (Службой Безопасности), в чем не могу их винить.

0

Сообщение от KSergey9 вывод пользователь сделает самый логичный и очевидный

Есть продукты известных брендов, которые не своровать нельзя. Типа Hard Disk Sentinel.
И своруешь его именно в архиве под паролем. Ибо кряк ни один антивирь не пропустит.
А об продуктах вашего бренда... Я как пользователь уже имею вывод.
Ибо они мне ни на хрен не нужны.
Хоть ты их позолоти...

0

0

Наталья8, кому нужна эта программа, если есть бесплатная CrystalDiskInfo?

0

Бесплатно пишут по бесплатному.
Это особый подход. Не все способны бесплатно что то человечески написать.
Лучше когда платно...
Я пользуюсь много лет определёнными программами.
Теми которые незаменимы.
Это мне позволяет не платить лишние деньги.
То есть... Вообще ни каких не платить.

Добавлено через 13 минут

Сообщение от Royal_X CrystalDiskInfo

Софт знаю хорошо.
Всё пробовал.
Если оно мне не понравилось, значит не понравилось.
===========
Ещё раз про бесплатные продукты.
Можно перебирать варианты (решать проблемы) бесконечно.
Проблема при использовании RegisterTouchWindow

0

Сообщение от Наталья8 Лучше когда платно... Это мне позволяет не платить лишние деньги. То есть... Вообще ни каких не платить.

Тут бы эта, определиться. Лучше когда платно или лучше когда не платить? Взаимоисключающие параграфы написаны.

Ну а в целом - "я ворую - меня не поймали - я молодец, буду воровать дальше". Написано буквально это.

Добавлено через 2 часа 57 минут

Сообщение от bedvit Проблема в 3х месячной лицензии (если не ошибаюсь?) и самостоятельной установке ключа, чего нет у моего купленного конструктора от хостинга.

Точно также самообновляется раз в 3 месяца силами хостинговой панели или скриптом.
С учетом стоимости сертификата - быть может был резон просто сменить хостинг
Ну да это на следующий год можно будет опять посравнивать.
Хотя соскочить с конструктора... н-да.

Добавлено через 4 минуты
А что до разработки некоей программы - у меня такое впечатление, что в нынешних реалиях программы делать невыгодно во всех смыслах. Еще и с антивирусами бороться.

делать надо в Web, особенно всякие сервисные штуки. Глядя на некоторые сайты - диву даюсь какие гигантские возможности сейчас в нтерфейсе Web, возможности локальных десктопных программ полностью покрывает. Разве что вопросики к мощностям сервера могут возникнуть, если есть тяжелые расчеты.
Еще и формат монетизации проще организовать, в отличии от десктопной проги.

0

Сообщение от KSergey9 Разве что вопросики к мощностям сервера могут возникнуть, если есть тяжелые расчеты.

Wasm позволяет перенести эти расчеты на клиент, да и вообще писать на С++.
Единственная пока проблемма - слабое и сложное взаимодействие Wasm кода и сервера.

0

Я установил бесплатный телеграм.
месяц стоит...
За этот месяц. Два раза, при включении оного, вешалась вся винда...
Приходилось долго держать кнопку выключения компьютера.
Это наверное потому что он ещё и мультисистемный.
Я при его включении нервничаю, и сохраняю всё не сохранённое.

0

Наталья8, Web-версия отлично пашет. И ничего ставит не надо, удобно.

1

Сообщение от Наталья8 Я установил бесплатный телеграм.

А что, бывает платный?

0

Сообщение от gunslinger А что, бывает платный?

да, вот тут описание Telegram Premium и объяснение, в чем разница https://telegram.org/faq_premium

1

Royal_X, ну изначально-то он бесплатный. А монетизация это немного другое.

0

Сообщение от gunslinger ну изначально-то он бесплатный. А монетизация это немного другое.

да мне начхать на telegram, никогда не пользовался и не собираюсь пользоваться этой поделкой. В отличие от Signal, Threema или WhatsApp, сквозное шифрование только у секретных чатов, которые слишком ограничены и неудобны, и именно эта ограниченность, а порой незнание о существовании таких чатов, вынуждает людей пользоваться обычными чатами, что вообще не безопасно. Все данные копируются на сервера и хранятся там навсегда, сами же сервера работают по принципу "безопасность через неясность" и их код закрыт. Сам бизнес тоже непрозрачный, с сомнительными схемами собственности и инвестиций. К тому же, Дурова доверять вообще нельзя. Все его басни о том, что он не делится инфой с гос. структурами - это пустой треп. Могу точно заверить, что в тех странах, где телеграм разрешен, особенно в РФ, Дуров как миленький передает все данные гос. структурам.
Если же плевать на безопасность, то не спорю, что многие фичи мессенджера даже очень неплохи.

0