開発したソフトがウィルスに誤検出されないために

TwitがTrojanに感染してる - 一分一秒真剣勝負！
ヒビノアワ: Twit Ver3.90公開しました

アップデートする度に Twitter クライアント Twit がAvastやらカスペルスキーに誤検出されてるようですが、これには実は理由があります。

Comments

1. Posted by 通りすがり的な   2011年08月20日 00:47

ヘッダなどを考慮しないバイナリ文字列の部分一致型パターン定義による誤検出を考察した結果であり、あまりハッキリした根拠がある話ではないのですが･･･
誤検出は実質タダの運(もとい確率)であり、回避できる類の物ではないと思います。

自作プログラムがavastに誤検出された時に、ファイル分割で検出パターンを絞り込めた事があったのですが、WinMainCRTStartup辺りのライブラリ側のコードがパターンとして登録されていました。
該当部分はライブラリの処理の特徴を含むコード断片であり、マルウェア固有コードとの偶然一致の可能性はありませんでした。
このパターンが大問題を起こしていなかった理由は単純で、広域変数のオフセットがパターンに含まれていたからでした。
つまり、ライブラリより先にリンクされた.dataセクション使用量が誤検出対象と一致したら誤検出です。

別の誤検出では、ファイルの先頭数十KBの前方一致として振舞うパターンもありました。
あるオフセットより前であれば何処を変更しても誤検出が抑制されたため、恐らくは衝突が発生する程度にビット数の少ないハッシュパターンだったと思われます。

この手の単純一致パターンやハッシュパターンはリンカのパラメータで容易に変化する為、それらを変えた時点で回避できるのは当然です。
とすれば、「こういったパラメータなら誤検出が少ない」というのは統計的にどちらが安全かという話でなくてはなりません。

PEヘッダの完全一致パターン(又はそれと同等の衝突率を持つPEヘッダのハッシュパターン)が存在するなら、Richヘッダやバージョンリソースで衝突率が明確に下がる可能性もありますが、幾ら馬鹿なアンチウィルスベンダでも流石にPEヘッダだけで検出はしないと思います。

以上の考察から、リンカの種類やリソース追加は関係なく、誤検出は運(もとい確率)によるものだと思います。