2015-10-26 7 views
0

У меня возник вопрос о настройке значков для PE. Я написал 2 файла PE, один из них - это пустой Win32 Aplication, а secont - Setter, setter выполняет следующие задачи. Он открывает файл ico, выполняет BeginUpdateResource, UpdateResource для каждого изображения в ico, создает GroupIconBuffer и UpdateResource с этим GroupIconBuffer и RT_GROUP_ICON в качестве параметра, а затем EndUpdateResource. После этого набор значков подходит. НО, AVG антивирус обнаруживает этот файл как вирус, Luhia.Fiha.a. Зачем???После установки проблемы с вирусом-вирусом

+1

Существует множество причин, по которым антивирусное программное обеспечение запускает тревогу: приложение использует подозрительные шаблоны (например, изменение образа PE), результирующее изображение содержит последовательность байтов, которая, по-видимому, соответствует известной сигнатуре вируса, ресурсу обновление было выполнено с помощью аргументов, которые превращают изображение в эксплойт при доступе, или один из значков содержит известный эксплойт. Мы не знаем, что это такое. Поскольку у вас есть репродукция, обратитесь в AVG. – IInspectable

ответ

0

Спасибо всем. Указанное поведение AVG. Это поведение исправляется с удалением 4px ico из двоичного файла.

0

И VG является правильным. Это «вирус», потому что он изменяет двоичный исполняемый файл ...

Любая программа-разработчик, которая модифицирует двоичный файл с исполняемым файлом, должна рассматриваться как вирус.

Также все исполняемые двоичные файлы должны иметь подпись, такая программа, которая модифицирует exe, должна уничтожить подпись. Также в UAC у вас никогда не будет доступа для записи к исполняемому файлу в папке программных файлов или в папке Windows.

+0

В файлах PE не существует исполняемого файла. PE задает формат контейнера, и в нем используются разные типы файлов: исполняемые изображения, библиотеки DLL, библиотеки только для ресурсов, объектные файлы, файлы .winmd и т. Д. Например, изменение только ресурсной библиотеки не изменяет ничего исполняемого. – IInspectable

+0

Поскольку ресурсы жестко привязаны к исполняемым файлам (просто подумайте о тексте с маской формата), изменение ресурса может существенно изменить поведение EXE или DLL. И он уничтожит подпись, если она существует. – xMRi

+0

6 AntiVirus не обнаруживает этот файл и метод. Только ANG Обнаруживает. VIsualStudio, я думаю, делает то же самое, когда установлен значок. – drem1lin