Блог

Я установил компилятор c для Windows с помощью MinGW. Я попытался создать простую программу:

 #include <iostream>
using namespace std;

int main() {
   cout << "Hello World!";
   return 0;
}
  

И сохранил его как try.cc . После этого я открыл cmd в папке и запустил g try.cc -o some.exe . Он сгенерирован some.exe , но мой антивирус (avast) распознал его как вредоносное ПО. Я думал, что это может быть ложное срабатывание, но в нем конкретно сказано, что это троян.

Я удалил файл из антивирусного хранилища и загрузил его в «https://www.virustotal.com /» Результат:

24 из 72 движков обнаружили его как вредоносное ПО, и многие из них — как троян.

Это ложное срабатывание? Почему он будет обнаружен как троян? Если это так, как мне избежать получения этого предупреждения каждый раз, когда я создаю новую программу?

Редактировать:

Спасибо всем за помощь, я провел полную проверку своего компьютера с помощью 2 антивирусов, и все казалось чистым. Я также проверил папку MinGW и ничего.

Проблема продолжает появляться каждый раз, когда я создаю новую программу на c . Я попытался изменить код и имя, но AV продолжал обнаруживать его как вирус. Забавно, что изменение кода изменило тип вируса, о котором сообщал av.

Я все еще не уверен на 100%, что компилятор чист, поэтому я не знаю, следует ли мне игнорировать его и запускать программы в любом случае. Я скачал MinGW с «https://osdn.net/projects/mingw/releases /»

Если кто-нибудь знает, как быть полностью уверенным, что созданные исполняемые файлы не являются вирусами, а только ложными срабатываниями, я был бы рад, если бы они поделились этим.

Правка 2:

Мне пришло в голову, что если компилятор заражен и добавляет код, я мог бы увидеть его с помощью декомпилятора / дизассемблера, загрузив в него исполняемый файл. Я скачал декомпилятор c , который я нашел здесь «snowman», и использовал его в файле. Проблема в том, что код перешел из 7 строк в исходном исполняемом файле в 5265, и его немного сложно понять. Если у кого-то есть некоторый опыт в обратном проектировании, ссылка на исходный файл находится в комментариях ниже.

Проблема возникала раньше. Программы, скомпилированные с помощью mingw, как правило, время от времени вызывают тревогу snake oil (т.Е. антивирусную программу). Вероятно, это связано с тем, что mingw является популярной цепочкой инструментов для авторов вирусов, и поэтому его выходные данные соответствуют общим шаблонам, встречающимся в true positives. Это повторялось снова и снова, также на SE (например https://security.stackexchange.com/questions/229576/program-compiled-with-mingw32-is-reported-as-infected). [rant] На мой взгляд, это истинное свидетельство неспособности AV-компаний, потому что это было бы легко исправить, и заставляет задуматься, лучше ли реализованы основные функции их программ. [/ rant]

Ваш случай немного подозрителен, потому что количество запущенных AV-программ очень велико. Хотя я никогда не слышал о взломанном mingw, и беглый поиск в Google этого не изменил, это не невозможно. Компрометация компиляторов, безусловно, является эффективным методом распространения вируса; самый известный пример с дополнительным уровнем косвенности — это взлом Кена Томпсона.

Также, безусловно, возможно, что ваш компьютер заражен вирусом, не созданным mingw, который просто внедряется в новые исполняемые файлы, которые он находит на диске. Это должно быть легко выяснить обычными средствами. Отправной точкой может стать онлайн-проверка нескольких других (не mingw) новых исполняемых файлов; они должны запускать те же AV-программы.

Обратите внимание, что, хотя у меня есть некоторый общий опыт в ИТ, у меня нет специальных знаний в области ИТ-безопасности; воспринимайте все, что я говорю, как отправную точку для ваших собственных исследований и действий.

Это может быть вызвано двумя причинами

1. Это действительно троянец, вы загрузили свой mingw из некоторых мест, где его код был изменен, чтобы добавить вирус в каждую созданную вами программу. Это делается почти для всех коммерческих компиляторов, все «бесплатные» (взломанные) версии содержат этот код внутри, каждый раз, когда вы компилируете свой код, вирус добавляется в ваш exe.

2. Хэш вашего exe-файла по какой-то причине соответствует существующему вирусу, вы можете подтвердить это, изменив один символ в своем коде, например, «привет, мир!» на «привет, мир?» и посмотрите, по-прежнему ли это считается вирусом, если да, существует очень высокая вероятность того, что ваш компилятор добавляет вирусы в ваши программы.

Обновить:

На самом деле это была какая-то коллизия хэшей, компилятор не был заражен. Я несколько раз менял строку в функции печати, как и предлагалось, даже добавляя разрывы строк, но каждый раз мой AV обнаруживал ее как вредоносную. Я также попытался удалить некоторые строки кода (includes и print), и он также обнаружил его как вредоносное ПО.

Как ни странно, когда я добавил больше строк в код, AV перестал распознавать его как вирус. Заставляет задуматься, как работает используемая хэш-функция и как она соотносится с фактическим содержимым программ.

Так решается, и все было хорошо, просто некоторая небрежность AV (которая, я думаю, имеет свои причины).