Как избежать ложных срабатываний антивируса в файлах данных

Question

Файл данных, используемый одним из моих приложений, был недавно помещен в карантин Symantec Antivirus (сработала подпись «Nightfall. 5815»).Файл записывается и читается динамически, а содержимое представляет собой произвольные данные.

Есть ли способ, чтобы мое приложение могло избежать этих файлов, вызывающих AV-сканирование?

Мне известны другие вопросы к SO относительно ложных срабатываний, но они, как правило, касаются исполняемых файлов и Delphi.Многие из ответов на этот тип вопросов включают в себя обращение к поставщикам AV, чтобы сообщить о ложном положительном результате.В моем случае это произвольный файл данных, который мне нужно защитить от карантина, поэтому я не уверен, что один отчет и разрешение не позволят мне снова вызвать его в будущем.Меня интересует, существуют ли какие-либо общие подходы, позволяющие избежать этого с точки зрения приложения (другие права доступа к файлу, изменение формата файла), или есть ли способ решить эту проблему, возможно, исключив каталог из сканирования.

Answer 1

Согласно терминологии Касперского (Virus.DOS.NightFall.5815), этот вирус, похоже, является старым заражателем файлов с таймером.AV-компании часто подписывали старые вирусы, чтобы улучшить свои результаты в процессах AV-сертификации, таких как AV-Comparatives или ICSA.

Они используют методы сопоставления с образцом для обнаружения определенной последовательности байтов.К сожалению, иногда последовательность слабая и создает слишком много ложных срабатываний.Я думаю, что вам просто не повезло с вашим файлом данных.

Вы можете попытаться изменить кодировку файла, тогда последовательность изменится и не будет захвачена слабой подписью.Чтобы проверить, все ли в порядке с вашим файлом, запустите его через перекрестный сканер AV, например Jotti .

Answer 2

Если вы можете последовательно запускать антивирус (ы) для файла, попробуйте заполнить начальные x-байты файла всеми 0 (например). Интересно, будут ли антивирусы использовать определенные последовательности байтов в определенных позициях или определенная последовательность байтов всегда будет считаться плохой.

В противном случае лучшим вариантом будет исключение каталога из проверки на вирусы.