INST.$$A detected as virus by McAfee!?

[DoMi]

Hello
Impossible to update MMF2
McAfee (updated and licenced) detects INST.$$A as a Trojan...
INST.$$A is removed and prevent upgrade to be installed!?
What about this file?
Thanks in advance for your reply
DoMi

[DoMi]

... I deactivated McAfee et proceed to update successfully
Reactivating and rescanning with McAfee, it removed the same file.
What are the issues if INST.$$A is suppressed?
...

[BackStaged]

Why you talk in English on a French forum?

[Yves]

Super, encore un faux positif des anti-virus... ras le bol des bugs de ces softs... [img]<<GRAEMLIN_URL>>/frown.gif[/img]

INST.EXE est le runtime des installeurs qu'on crée avec MMF2 (commande Construire / Programme d'installation). Je vais changer un peu de code dans ce fichier pour que sa signature change dans le build 250 et je vais envoyer le fichier à McAfee pour qu'ils corrigent le problème dans une prochaine mise à jour. En attendant si vous générez des installeurs pour vos applications avec MMF2 il faut déclarer inst.exe comme exception dans votre programme anti-virus pour qu'il ne le détruise pas.

PS: c'est le forum Français ici, pas la peine de parler Anglais [img]<<GRAEMLIN_URL>>/smile.gif[/img]

[CrystalNoir]

hi,

May be this is a false positive.

Simply put the mmf2 directory in the mcafee exclusion.

I've the same problem with norton, but with another files (extension files), now that works fine.

[DoMi]

Merci pour votre attention et vos réponses.
Et désolé pour l'anglais. Lisant indifféremment les forums en français et en anglais, il arrive souvent de ne plus faire attention à la langue du forum...
for Crystal_Noir :
&quot;May be this is a false positive.
Simply put the mmf2 directory in the mcafee exclusion.&quot;
Sure, but there is no way to exclude directory or simply a choosen false positive file in McAfee!?

[Kerochan]

Dans le genre faux positif, certains exécutables créés par MMF2 sont repérés comme incluant le virus Autorun.AFA par nod32 depuis quelques jours. C'est le cas notamment de FanBand ou de Cy-Clone, dispos sur la gallerie click. Inutile de dire qu'il n'y a en réalité pas d'infection, et que d'ailleurs F-Secure (qui connait également Autorun.AFA) ne détecte rien d'anormal, et que donc le problème vient bien de nod32.

Apparamment, d'après ce que j'en comprends, le problème n'apparaitrait que pour les applis avec la compression du runtime désactivée.

[BackStaged]

<div class="ubbcode-block"><div class="ubbcode-header">Originally Posted By: Yves</div><div class="ubbcode-body">Super, encore un faux positif des anti-virus... ras le bol des bugs de ces softs... [img]<<GRAEMLIN_URL>>/frown.gif[/img]

INST.EXE est le runtime des installeurs qu'on crée avec MMF2 (commande Construire / Programme d'installation). Je vais changer un peu de code dans ce fichier pour que sa signature change dans le build 250 et je vais envoyer le fichier à McAfee pour qu'ils corrigent le problème dans une prochaine mise à jour. En attendant si vous générez des installeurs pour vos applications avec MMF2 il faut déclarer inst.exe comme exception dans votre programme anti-virus pour qu'il ne le détruise pas.

PS: c'est le forum Français ici, pas la peine de parler Anglais [img]<<GRAEMLIN_URL>>/smile.gif[/img]
</div></div>

Je te rassures Yves, moi aussi j'en ai plein le c*l des Faux Positifs qui me détruisent toutes mes applications sans préavis dès qu'une Maj d'antivirus est faite et que sa détection est faussée.

En revanche, c'est surtout lié aux analyses heuristiques, qui permettent de 'trouver' un possible nouveau virus avant qu'il ne soit identifié clairement, c'est à cause de certains &quot;codes&quot; dans les programmes que les fichiers ont parfois des faux-positifs, Kaspersky n'est pas épargné, mais avec Kaspersky, il est possible de soumettre les fichiers au VirusLab, ce qui permet d'éradiquer rapidement les Faux-Positifs, un processus facile et efficace, en 2 jours, pof, le faux-positif disparaît [img]<<GRAEMLIN_URL>>/wink.gif[/img]

[Yves]

Oui, je confirme, chez Kaspersky ils sont extrêmement rapides. Par exemple dans le cas présent j'ai soumis en même temps Vendredi inst.exe aux labs de McAfee et Kaspersky (et même un peu avant à McAfee) :

- Dans les heures qui ont suivi j'ai eu une confirmation de Kaspersky qu'il s'agissait bien d'un faux positif et le problème a été corrigé dans une de leurs mises à jour ce week-end. Efficace!

- Pour McAfee, j'ai juste eu un message automatique &quot;ce fichier ne contient peut-être pas de virus, nous allons le transmettre à un expert qui vous contactera&quot;. J'attend toujours la réponse de l'expert et le problème n'a pas encore été corrigé...

Bref, je n'ai pas de conseil à donner, mais si leur réactivité face aux nouveaux virus est aussi lente que leur réactivité face aux faux positifs, alors fuyez McAfee ! (et Norton, c'est en général pareil avec eux)

Tu as raison BackStaged, le problème vient de leur analyseurs heuristiques, on a commencé à &quot;cacher&quot; le code sensible depuis les derniers builds de MMF2 et Install Creator, on va continuer à le faire (je viens de le faire dans inst.exe, la prochaine version ne sera plus détectée comme un virus par les 3 ou 4 anti-virus exotiques qui restent).

PassingBy, pas vu de problème avec les EXEs générés avec le build 249, il est probable qu'ils aient été faits avec d'anciens builds.

[CrystalNoir]

Pour domi,

Pour Mcafee, je n'en sais rien je ne l'utilise pas.

Et effectivement les analyses heuristiques posent problème et souvent. Même plus que les analyses comportementales. La différence entre les deux c'est qu'en heuristique, l'antivirus va regarder les octets des fichiers pour voir si on ne trouve pas une signature ressemblante à un virus,si il trouve ben soit l'antivirus n'est pas débile et il demande si on veut l'exclure ou l'effacer, soit il est débile comme norton et il l'efface.

En comportemental, la question est toujours posée, donc on autorise une fois et c'est bon, car là il n'est pas question de vérifier le fichier mais de regarder ce qu'il fait au sein du système.

Pour Mcafee, il est étonnant de pas avoir un endroit où paramétrer des exclusions, mais franchement je n'en sais rien. Faut dire qu'ils veulent tellement tout faire en automatique qu'on peut plus rien configurer maintenant ^^