[TASHIA] Virus sur Tashia Remix (faux positif)

[Armand]

Le titre est assez exhaustif. Regardez ce que j'ai trouvé en passant à l'antivirus l'archive rar de tashia remix téléchargé il y a peine 5 minutes :

[Coyote]

Nous l'avons découvert il y a quelques minutes suite à un rapport de mon antivirus nommé Avira Antivir Personal. Voici un extrait :

C:\Documents and Settings\Utilisateur\Bureau\Programmation Mod\Nouveau dossier (3)\musique\Setup_FreeBurner.exe
[RESULTAT] Contient le cheval de Troie TR/Agent.6776280
C:\Documents and Settings\Utilisateur\Bureau\Programmation Mod\Nouveau dossier (3)\BG2\Tashia_Remix_v1.0.exe
[0] Type d'archive: RAR SFX (self extracting)
--> Tashia\music.exe
[1] Type d'archive: OVL
[RESULTAT] Contient le modèle de détection du dropper DR/Delphi.Gen
C:\Documents and Settings\Utilisateur\Bureau\Programmation Mod\Nouveau dossier (3)\BG2\tashia205g.zip
[0] Type d'archive: ZIP
--> Tashia/music.exe
[1] Type d'archive: OVL
[RESULTAT] Contient le modèle de détection du dropper DR/Delphi.Gen

>> Le programme intégré dans le mod Tashia a été classé 'dropper' par mon antivirus. Qu'est-ce qu'un dropper ? Voici ce que nous dit Wikipédia :

Un injecteur (ou dropper, en anglais), aussi appelé programme seringue ou virus compte-gouttes est un programme informatique créé pour installer un logiciel malveillant sur un système cible. Il s'agit d'une forme minimaliste de cheval de Troie.
Le code du logiciel malveillant est soit inclus à même l'injecteur ou est soit téléchargé sur la machine à partir d'Internet un fois activé. Une fois le logiciel malveillant activé, il arrive que l'injecteur s'autodétruise. Les injecteurs sont peu courants[1].

Ceci n'est pas un fake. De même, nous n'accusons pas l'auteur du mod à qui nous laissons le bénéfice du doute (mais avouez que la marge est faible quand même...). Il nous semble simplement important de mettre en garde tous les joueurs intéressés par ce mod : peut-être nous trompons-nous également et que des personnes plus versées en informatique pourraient venir confirmer/infirmer notre supposition.

En tout cas, s'il y a vraiment une saleté intégrée dans ce mod, je trouve cela vraiment minable et révoltant...

[Armand]

Effectivement ceci semble confirmer cela : Virus in Tashia Remix v1.1 !!! - Spellhold Studios


EDIT :

There wasn't any virus, don't worry--it's a false positive. Some virus scanners think WeiDU is a virus.

Désolé pour la gaffe.

[Graoumf]

D'après le sujet sur SHS, c'est le music.exe qui poserait problème (il doit d'ailleurs être remplacé par un oggdec.exe dans la version 1.2), mais cela reste un faux positif.

Les fausses détections de virus sur des mods WeiDU ont toujours été monnaie courante pour certains antivirus, avec certaines versions de WeiDU. Tashia doit malheureusement rentrer dans cette catégorie.

[Coyote]

Mieux vaut prévenir que guérir : de nos jours, on ne peut plus installer un programme sans d'abord le passer au scanner. Le fait que ce soit un mod PNJ n'en fait pas non plus une valeur sûre.

[Isaya]

Il semble que de nombreux antivirus aient les mêmes doutes à propos de WeiDU ou de programmes utilisés dans des mods.

Les rapports de Norton Internet Security considèrent aussi depuis de très nombreux mois que certains exécutables setup-xxx.exe de mods sont des virus. Pas toutes les versions de WeiDU, uniquement certaines. Pendant plusieurs mois, j'avais une grosse mise en garde de la protection de sites quand j'allais sur le site Gibberlings Three car il "abritait des programmes douteux" (ce n'était pas dit comme ça, mais c'est l'idée). C'est fini maintenant, mais j'ignore si c'est parce que Norton s'est rendu compte de l'erreur ou a amélioré sa détection de virus.

Depuis début janvier, il était incapable de faire une contrôle complet de tous les fichiers de ma machine et se plantait lamentablement en cours d'opération. Depuis il semble s'être remis mais il s'est vengé sur au moins 4 mods qu'il a pris en grippe, tout à cause du setup-xxx.exe. Je l'ai laissé faire car il s'agissait pour l'essentiel de vieilles versions de mods.

Il y a quelques temps, j'avais récupéré une version 212 de WeiDU (qui a été retiré rapidement à cause de problèmes) et il la considérait aussi comme douteuse.

C'est un peu inquiétant quand on télécharge une nouvelle archive mais il ne fait aucun doute que les antivirus causent régulièrement des problèmes de faux-positif. Il n'y a pas trop de raison de craindre une infection à partir de sites connus comme Spellhold Studios ou G3. Le mieux est effectivement de signaler le problème sur le forum du mod. Les administrateurs seront à même de vérifier si l'archive a été récemment piratée et pourrait présenter un risque.
En cas de doute, il peut être intéressant d'utiliser les moyens de vérification en ligne que proposent certains éditeurs comme Kapersky ou BitDefender et sans doute d'autres, de façon à avoir plusieurs avis.

[Dedalus]

Personnellement, mon anti-virus considère 5 mods Weidu comme étant infecté. J'ai mis ses mods sur une clé USB et je l'ai passé sur un autre anti-virus : RAS.

J'ai lu sur des sites anglophones que cela était des faux positifs donc j'ai modifié les paramètres de mon anti-virus pour qu'il ne bloque plus dessus.