24 Nov, 2009
Creiamo un Falso Positivo TR/VB.Downloader.Gen in VB6 per Avira
Scritto da: Gabriele Guizzardi In: Programmazione|Sicurezza|Software|Visual Basic 6
Iniziamo subito col dire che non ce l’ho con Avira ne mi diverto a far fare “brutte figure” agli anti-virus. Studiare certe tecniche di programmazione aiuta a comprendere come funzionano i Malware e a cosa si può andare incontro nella realizzazione di software.
Veniamo al nostro falso positivo che, come vedrete, è di una semplicità disarmante e se eseguito non produce alcun risultato ne funzionamento utile o dannoso, come fosse un programma morto pertanto totalmente innocuo.
Aprite VB6 e create un progetto. In Form1 mettete un controllo WebBrowser1 e nel codice copiate questo:
Private Declare Function SendMessage Lib "user32" _ Alias "SendMessageA" (ByVal hWnd As Long, _ ByVal wMsg As Long, ByVal wParam As Long, _ lParam As Any) As Long Private Sub Form_Load() ' End Sub
Per i più pigri trovate il progetto nella pagina Download.
Tutto qua. La combinazione del controllo web di VB6 e dell’API SendMessage per Avira Antivir è sufficiente a visualizzare un messaggio di Malware. In altri casi è sufficiente abbassare il livello di aggressività della funzione euristica del programma, ma non in questo caso poiché per Avira si tratta semplicemente di un tentativo di trasmettere all’esterno dati della macchina.
Cosa ci dice tutto questo? Innanzitutto un anti-virus non è un programma infallibile e chi li spaccia per tali vende fumo. Non date retta soprattutto a chi si schiera per l’uno o l’altro produttore, non è possibile avere una cultura aggiornata e totale su tutti i prodotti in commercio. Secondo, essere primo o decimo nella classifica dei migliori anti-virus per riconoscimento potrebbe non essere il massimo se poi il programma vi disturba per ogni legittimo tentativo di un certo tipo di connessione e controllo di Windows. Il miglior anti-virus spesso è un compromesso di tutto questo, buon livello di riconoscimento e basso profilo.
Questo test è stato eseguito con la versione 9.0.0.415 (aggiornato alla data di pubblicazione dell’articolo) di Avira in versione gratuita. Questo anti-virus resta comunque attualmente una buona soluzione gratuita sul mercato e la rilevazione di questo falso positivo non ne scredita certo l’ottimo livello di sicurezza.
Chi volesse divertirsi può provare lo stesso codice o soluzioni simili in altri linguaggi con differenti anti-virus.
