使用Delphi 2010构建的文件报告病毒/木马。

Question

我试图通过电子邮件发送使用Delphi构建的DLL文件，但接收到了一封拒绝邮件，报告如下：

"您的电子邮件被拒绝，因为它包含Trojan.Delf-9364"

所以我将该文件上传到http://scanner.novirusthanks.org，而它确实在其中一个病毒扫描器中报告了阳性：

"F-PROT6 20100630 4.5.1.85 W32/Swizzor-based.2！Maximus"

然后我建立了一个空的exe文件（文件 - 新建 - VCL窗体应用程序），再次上传，这次我又得到了另一个阳性：

"VBA32 01/07/2010 3.12.12.2 Trojan.Win32.Swisyn.acyl"

更多细节请参见：http://scanner.novirusthanks.org/analysis/e59033c40f1a6e37c210cb1c4f40f059/UHJvamVjdDEuZXhl/

所以我不确定如何解释这些结果。以上所有的都是误报吗？我的计算机是否感染了一种可以感染所有二进制文件的病毒，还是我的 Delphi 复本感染了一种特定于 Delphi 的病毒？我使用 AVG 杀毒软件并且它在我的电脑上没有发现问题。也许其他使用 Delphi 2010 的人可以尝试上传一个 project1.exe 文件并查看他们是否收到不同的结果？

- Ville Krumlinde

---

今天我遇到了类似的问题，一个一直正常工作的DLL开始被电子邮件服务器报告为TROJAN。我仍在调查中。 - Cesar Romero

Answer 1

我认为这是误报。这里有更多关于Delphi应用程序被检测为病毒的问题，但那些都是误报。

将其报告为误报。

有一种病毒会通过修改SysConst.pas并编译它来感染您的Delphi安装（4,5,6,7），并在您的lib目录中留下一个SysConst.bak文件。您可以检查此文件。请点击此链接获取更多信息：http://www.securelist.com/en/weblog?weblogid=208187826
但是您使用的是Delphi 2010，所以不受该病毒影响。

- The_Fox

---

发布前我已经检查过了。lib目录中的文件都没有最近修改，也没有bak文件。但你说得对，这可能是一个误报。 - Ville Krumlinde

Answer 2

我刚刚从D2010上传了一个空项目，也遇到了“VBA32 01/07/2010 3.12.12.2 Trojan.Win32.Swisyn.acyl”的问题。看起来这只是误报。

过去也发生过几次类似的情况。Delphi非常擅长快速创建良好的软件。但不幸的是，即使涉及到邪恶的“软件”，这一点也适用。它被广泛用于不良目的，以至于防病毒制造商在其定义中插入了“病毒签名”，实际上是VCL或RTL的一部分。看起来又发生了类似的事情。您应该将此报告为误报。

- Mason Wheeler

---

感谢您的测试，我同意这可能是一个误报。很奇怪的巧合是，突然间有三个不同的扫描器都报告 Delphi 文件为阳性，而且每个木马的名称都不同。也许 Embarcadero 可以在这里走在前面，将无害的 Delphi 文件的最新副本提供给杀毒软件供应商，以避免未来发生这种情况。 - Ville Krumlinde

@VilleK - 好主意，但不会奏效，因为反病毒公司已经对常识产生了免疫力。这很好，因为如果他们负责机场安全，我们所有人都可能因类似于已知恐怖分子的某种外表而被逮捕。或者被枪击。 - Chris Thornton

Answer 3

@VilleK，尝试将汇编信息提供给Delphi项目，例如名称、版本等。我之前也遇到过类似的情况。

查看Delphi 7，MCafee和病毒以了解更多信息。我认为这也适用于Delphi 2010。

- Senthil Kumar B