Antivirus et coïncidence amusante

Version imprimable

03/04/2013, 17h02
ClaudeBg

Antivirus et coïncidence amusante

Salut
-----

Je ne résiste pas à l'envie de partager cette expérience involontaire et amusante (du moins une fois qu'on a compris la raison).

Je travaillais sur un soft sur ma machine (clean). J'ai une licence Avast et mon anti-virus est à jour.

Un moment donné, je compile mon code avec F5, et là j'obtiens un message d'alerte virus "Evo-Gen" sur mon propre exécutable. Ahuri, j'arrête tout, me demande d'où vient ce virus et je scanne tout ma machine: aucun virus.
Perplexe, je me demande les opérations que j'ai réalisées en dernier lieu, et il s'agissait d'un "bête" messageBox dans lequel j'avais entré une longue chaîne au hasard (en tapant n'importe quoi au clavier) pour l'unique raison que j'avais besoin de connaître la largeur maximale que peut prendre le MessageBox.

Cette ligne est la suivante :

Code:

MessageBox.Show("sdqfqsdf qsdfmlkj kl klkljm lkmj ljk sdqfqsd q fqsdqsf lkmklmj lmkj lmkj lk jmlkj mlkj mlk jmlk jmlk jmlk ", "test", MessageBoxButtons.OKCancel, MessageBoxIcon.Warning);

Comme vous voyez, une ligne de n'importe quoi.

Je place donc un commentaire devant la ligne, je recompile.... plus de virus.

Je reprends la même chaîne et je l'assigne à une variable :

Code:

var t = "sdqfqsdf qsdfmlkj kl klkljm lkmj ljk sdqfqsd q fqsdqsf lkmklmj lmkj lmkj lk jmlkj mlkj mlk jmlk jmlk jmlk ";

Je recompile: de nouveau un virus détecté.

Si j'efface la fin ou le début de la chaîne, plus aucun virus détecté.
J'en déduis que ma séquence tapée parfaitement au hasard est en fait la signature d'un virus détectée par Avast.

Vous ne trouvez pas ça amusant?

A+
Claude
03/04/2013, 17h39
MarieKisSlaJoue

Ne sachant pas comment un antivirus détecte les signatures des programmes et des virus. non je ne trouve pas ça amusant désolé :D
Mais si il suffit d'avoir une chaine de caractère comme la tienne dans une variable pour affolé un antivirus, je vais l’essayer sur le mien :D
03/04/2013, 21h37
Graffito

J'ai eu ce même type de problème il y a plus de 15 ans sur un programme Delphi. Nous n'avons pas identifié les instructions ou les constantes qui généraient le problème, mais il a suffi de déclarer dans le source une chaîne de caractère inutile pour le faire disparaitre!
03/04/2013, 23h00
Pol63

en même temps on met rarement ce genre de message à l'utilisateur
et pour du debug on peut facilement faire plus court et plus explicite :lol:
04/04/2013, 12h03
ClaudeBg

Salut
-----

Citation:

J'ai eu ce même type de problème il y a plus de 15 ans sur un programme Delphi. Nous n'avons pas identifié les instructions ou les constantes qui généraient le problème, mais il a suffi de déclarer dans le source une chaîne de caractère inutile pour le faire disparaitre!

Mon problème semble être du même type:

En fait, je viens de faire plusieurs tests sur ce phénomène. Ce n'est pas lié au contenu de la chaîne mais à une notion de taille. Laquelle, je l'ignore puisque, manifestement, un code exécutable généré par VS a une taille multiple de 0x200 et donc avec mes petits essais "courts", n'a pas varié.

- Si je remplace la chaîne par une autre de taille identique -> virus
- Si je duplique la chaîne -> plus de virus
- Si j'utilise la chaîne dans un autre source -> pas de virus
- Si j'ajoute du code avant ou après la chaîne -> plus de virus
- Si je supprime du code -> plus de virus

Il y a donc une taille "critique" qui déclenche la détection du virus. J'en déduis que l'antivirus procède de façon "simpliste" pour détecter certains virus, probablement via des probabilités, et que, si on n'a pas de chance, on peut être détecté comme virus alors que ça n'en est pas.

Après une visite sur le forum d'Avast, il semble que les cas de faux positifs ne sont pas rares du tout.

A+
Claude
04/04/2013, 17h29
alavoler

Sans grande connaissance sur le sujet, je dirais que tu es tombé sur une collision de hash de ton exécutable avec un virus connus... pas de chance, mais ca peut arriver !

Ce n'est pas le message Box ou la chaine qui est incriminé... mais le hash généré de ton exécutable... en déplaçant ton message box dans le code, ou bien en en mettant 2 d'affilé tu ne devrais pu constater le problème: ce qui prouve que ça ne vient pas du hasard de ta frappe sur le message box, mais bien de l'écriture de tout le programme :)

Tu aurai sans doute préféré gagner à l'euromillions, ba la c'est un peu tout comme :)

Merci pour l’anecdote ca change !
04/04/2013, 19h19
ClaudeBg

Salut
-----

Citation:

Sans grande connaissance sur le sujet, je dirais que tu es tombé sur une collision de hash de ton exécutable avec un virus connus... pas de chance, mais ca peut arriver !

Oui, c'est ce que je me suis dit lors de mes derniers essais, lorsque j'ai constaté qu'en ajoutant quelque chose je n'avais plus le problème.
Le problème du hash, c'est qu'en principe il dépend du contenu. Or, si je remplace ma chaîne litigieuse par une autre complètement différente qui fait exactement la même longueur, ou même si j'écris deux chaînes dont le nombre total de caractères vaut le nombre initial, j'ai de nouveau une détection de virus.

Citation:

Tu aurai sans doute préféré gagner à l'euromillions,

Je pense que oui :lol:

Citation:

Merci pour l’anecdote ca change

Pas de quoi. J'ai pensé que ça divertirait certains et pourrait en intéresser d'autres.

A+
Claude