Altes Thema, neuer Frust

[Joshua06]

Hallo und guten morgen,

 

heute war es wieder so weit. Habe mir den RS runtergladen, installiert, plötzlich schlägt mein Kaspersky an und meldet mir einen generic.P2P worm.

 

Das Gleiche auch bei der Installationsdatei von DVBViewer.

 

Ich weiss das es ein false positive ist, dennoch ist das furchtbat lästig, wenn man erst den Virenscanner deaktivieren muss UND wie in meinem Fall, wenn man das Deaktivieren vergessen hat (macht man ja auch sonst nie) den RS/DVBViewer nochmal runterladen muss weil er von Kaspersky gelöscht wurde.

 

Es wäre schön, wenn man sich in künftigen Versionen dieses Problems mal annehmen würde.

 

Liebe Grüße

Joshua

[Griga]

Es wäre schön, wenn man sich in künftigen Versionen dieses Problems mal annehmen würde.

 

Wie stellst du dir das vor? Es sind keine wirksamen Maßnahmen bekannt, die solche Fehlalarme für den DVBViewer und Recording Service ausschließen.

[Joshua06]

Wie stellst du dir das vor? Es sind keine wirksamen Maßnahmen bekannt, die solche Fehlalarme für den DVBViewer und Recording Service ausschließen.

Irgendeine Ursache aber muß es ja haben, weil es sich nicht auf Kaspersky beschränkt. Ich will auch kein grosses Ding draus machen, nicht falsch verstehen. Nur, ich habe so einige Software am Start und DVBViewer und RS sind die Einzigen mit dieser Meldung.

 

Gruß

Joshua

[dbraner]

Da wird Dir wohl nichts anderes übrig bleiben als eine Antivir-Software einzusetzen, die Positivlisten unterstützt. Dort den DVBViewer und den Recordingservice eintragen und gut. Oder Du wechselst zu einem Virenscanner, dessen Heuristik-Engine keine Fehlalarme produziert - bitte Info an mich, wenn Du eine gefunden hast ;-)

 

Das Deaktivieren wäre für mich auch keine Option. Ist zu gefährlich. Ich setze die kostenlose Variante von Antivir ein und habe zumindest mit der aktuellen DVBViewer Version keine Probleme. Was nicht heißt, dass sich das beim nächsten Update der Antivirensoftware nicht ändert.

[Griga]

Ich setze die kostenlose Variante von Antivir ein und habe zumindest mit der aktuellen DVBViewer Version keine Probleme.

 

Du hättest vielleicht auch mit Kaspersky keine Probleme. Durch die personalisierten Downloads kann das je nach Benutzer verschieden ausgehen. Deshalb hilft es auch nicht, die EXE generell bei Kaspersky als unverdächtig bekanntzumachen.

[Joshua06]

Ok, es sind ja nur wenige Minuten in denen ich Kaspersky anhalten müsste, dass sehe ich nicht als Problem. Mehr ärgert mich das ich alles Zwei mal machen muss, wenn ich vergesse den Kaspersky zu deaktivieren

 

Eine andere Antiviren - Software kommt vorerst nicht in Frage, da ich erst im Februar eine weitere Jahreslizenz gekauft habe.

 

Deshalb hilft es auch nicht, die EXE generell bei Kaspersky als unverdächtig bekanntzumachen.

Genau, das geht nämlich nicht. Hatte es bereits über diesen Weg versucht.

 

 

 

Gruß

Joshua

[Ede_123]

Durch die personalisierten Downloads kann das je nach Benutzer verschieden ausgehen. Deshalb hilft es auch nicht, die EXE generell bei Kaspersky als unverdächtig bekanntzumachen.

 

Dann sollte man die personalisierten Downloads vielleicht nochmal überdenken... Bei immer mehr Virenscannern wird eine ausführbare Datei nunmal von vornherein als verdächtig eingestuft wenn sie wenig verbreitet ist, und im Falle von DVBViewer ist nunmal jede Installationsdatei sowie die generierte Programmdatei ein Unikat.

 

Wenn man im Bestreben Raubkopien zu unterbinden (ich bin nicht sicher, ob das auf diese Weise überhaupt klappt) mehr zahlende Kunden vor den Kopf stößt, als man Raubkopierer zum Kauf bewegt, hat man vielleicht etwas falsch gemacht.

Edited April 29, 2014 by Ede_123

[hackbart]

Das geht leider nicht anders, da es schlichweg unmöglich ist schwarze Schafe von normalen Nutzern zu trennen. Ohne jetzt auf Sinn und Unsinn einzugehen irgendwie müssen wir uns vor Raubkopien schützen und da ist es besser nicht jeden zu kriminalisieren, sondern exakt die Person zu identifizieren und zu sperren die Verteiler von solchen Versionen ist. Meist sind das Halbstarke aus dem mittleren Osten bzw. Nordafrika, denen rechtlich eh nicht beigekommen werden kann, aber zumindest können wir diese "Inverkehrbringer" von zukünftigen Downloads ausschließen. Was wir sicherlich nicht wollen ist das sich das Programm bei jedem Start auf unseren Server meldet und die Infos bekommt die für den Start notwendig sind. Was wir ebenso wenig wollen ist das der Schlüssel an die Hardware gekoppelt wäre. Das ist eine Gängelung, aber nicht das die Antivirensoftware einen Fehlalarm produziert.

Und ja die Heuristik nervt extrem und viele Nutzer interpretieren da ein Hexenwerk hinein, aber oftmals läuft es nur auf so banale Dinge Logik wie: "Programm X benutzt die WinInet API, wurde Laufzeitkomprimiert mit UPX und ist kleiner als ein definierter Schwellwert von xxx KBytes, ergo handelt es sich ggf. um einen Trojaner" hinaus. Übrigens werden echte Trojaner meist gar nicht als solche gefunden. Probiert doch mal so einen Anhang einer "Ihre Sparkasse informiert" Mail zu starten bzw. zu durchsuchen. Was bringt mir nen Scanner der zwar die Angst schürt, aber echte Übeltäter links liegen lässt.

[nuts]

Das mit der Heuristik ist wirklich grausam. Meine Skripte (UPX gepackt und den Scannern ganz sicher unbekannt) werden von den meisten Virenscanner als Schadsoftware erkannt.

Der Virenwächter bei uns im Büro entsorgt die meist ungefragt ganz.

 

Mit dem Thema muss man einfach umgehen auch wenn es keinen Spaß macht.

[Ede_123]

Ohne jetzt auf Sinn und Unsinn einzugehen irgendwie müssen wir uns vor Raubkopien schützen und da ist es besser nicht jeden zu kriminalisieren, sondern exakt die Person zu identifizieren und zu sperren die Verteiler von solchen Versionen ist.

 

Da muss ich dann aber doch nochmal nachhaken: Warum ist es jetzt leichter eine "Quelle" zu erkennen und zu sperren, wenn Installer und Programmdatei mit einem Marker versehen sind?

 

An Hand des Schlüssels kann man doch sowieso nachvollziehen wer die Datei verbreitet hat und dessen Account sperren, sowie den Schlüssel in den Folgeversionen deaktivieren. Inwiefern sollen da jetzt personalisierte Downloads weiterhelfen? Das verstand ich schon nicht als das neue Schlüsselsystem eingeführt wurde...

[Tjod]

Häufig taucht erst mal nur die Setup-Datei ohne Schlüssel auf. Die nutzt zwar so Otto Normalverbraucher nicht viel, aber dient in aller Regel als Basis für geknackt Versionen.

 

Außerdem reduzieren die individualisierten Versionen auch das Auftauchen der Setup-Dateien. Da so klar ist dass man keinem "hilft" wenn man nur mal das Setup der neuen Version in irgend einem Forum postet. Damit andere Nutzer nicht in den Mitgliederbereich müssen um die neue Version herunterzuladen.

(Und ja, das gab es vor den Individualisierten Versionen häufig. Viele Leute denken halt, das Setup zu posten ohne Benutzernamen schadet ja nicht. Dem ist aber absolut nicht so.)

[Griga]

dennoch ist das furchtbat lästig, wenn man erst den Virenscanner deaktivieren muss UND wie in meinem Fall, wenn man das Deaktivieren vergessen hat (macht man ja auch sonst nie) den RS/DVBViewer nochmal runterladen muss weil er von Kaspersky gelöscht wurde.

 

IMO liegt der schwarze Peter hier bei den Virenscannern, die aufgrund eines Ansprechens der Heuristik einfach Dateien löschen.

 

Als Anwender erwarte ich, dass ich informiert werde, wenn etwas Bedenkliches anliegt, und mir (zumindest optional) die Entscheidung überlassen wird. D.h. der Scanner soll den fraglichen Prozess anhalten und ein Dialogfenster präsentieren: Prozess/Datei XY ist aufgrund der folgenden Verhaltensmerkmale verdächtig (Liste mit verständlich formulierten Kriterien...). Fortsetzen oder Datei löschen?

 

MS macht mit der Benutzerkontensteuerung vor, wie sowas geht. Viele Virenscanner wollen dagegen den Anwender mit wichtigtuerischen proaktiven Maßnahmen beeindrucken, ohne die Karten auf den Tisch zu legen - das könnte der Konkurrenz ja etwas von den angewendeten Methoden verraten. Schon manches im Prinzip gute Produkt ist durch Einmischungen der Marketing-Abteilung verdorben worden. Wenn ich das Wort "Geschäftsmodell" im Zusammenhang mit IT höre, wird mir immer leicht übel

 

Letztlich las ich in einem Virenscanner-Test (ich glaube, es war in der c't): "Wer dieses Sicherheitspaket hat, braucht keine Schadsoftware mehr."

[Tüftler]

Ich für meinen Teil nutze Microsoft Security Essentials und EMET. Bisher bin ich damit gut gefahren und Kosten habe ich keine.

[hackbart]

Ich muss gestehen hier nutze ich die kostenlose Version von Avira in Kombination mit Malwarebytes Anti-Malware. Letzteres meldet sich eigentlich nie, außer ich proviziere es mit bestimmten Aktionen die ich bewusst herbeiführe. In dem Fall weiß ich was mich erwartet und "freue" mich darüber das eine Meldung auftaucht. Was bis jetzt bei der getesteten Malware stets der Fall war, insbesondere da diese im Vergleich zu herkömmlichen Viren dem Opfer richtig teuer zu stehen kommen kann. Das mache ich allerdings auch nur in virtuellen Systemen. Insbesondere wenn es darum geht irgendwelche Raubkopien vom DVBViewer zu testen. Der letzte getestete Fall hat mich besonders geärgert, weil da die beiden Hacker aus dem Mittleren Osten der Meinung waren in der Programminformationsbox das Gedenken an Lars zu schänden.

Ansonsten ist die kostenlose Version von Avira recht performant im Vergleich zu anderen Scannern und die Falschmeldungen sind relativ selten. Irgendwann im Forum habe ich glaube ich mal einen völlig harmlosen 10 Zeiligen Quellcode für Delphi7 erstellt, dessen Kombilat nahezu jeden Scanner zum Alarm führte.

 

Als Fazit sollte man generell für sich folgendes mitnehmen: Wenn man die Software von unseren Servern lädt und mit den Daten verwendet die man regulär gekauft hat, dann ist man ziemlich auf der sicheren Seite und kann so eine Meldung getrost ignorieren.

Alarme eines Scanners die offensichtlich von dessen Heuristik-Engine stammen sollte man zwar kritisch beäugen und ggf. via virustotal.com oder über den Ansprechpartner beim jeweiligen Antivirenanbieter ​testen lassen, allerdings auch nicht überbewerten.

[Tjod]

Prozess/Datei XY ist aufgrund der folgenden Verhaltensmerkmale verdächtig (Liste mit verständlich formulierten Kriterien...). Fortsetzen oder Datei löschen?

Wenn man lange genug such findet man das meistens

"generic.P2P worm" bedeutet z.B. das Program erstellt in Verdächtiger weise eine Kopie von sich selbst.

 

Als ich noch regelmäßig Windows genutzt habe. Habe ich avast Free verwendet, auch wenn das in der Standard Konfiguration einigen Müll veranstaltet kann man das so konfigurieren das es das mach was man will.

Außerdem kann man den einfach mal für 10 Minuten komplett abschalten.

 

Derzeit nutze ich aber auch nur Windows Defender (entspricht unter Windows 8.1 Microsoft Security Essentials ) und EMET auf der höchsten stufe.