c++ winapi CreateProcess Suspended 识别为恶意答案

【问题标题】：c++ winapi CreateProcess Suspended recognized as maliciousc++ winapi CreateProcess Suspended 识别为恶意
【发布时间】：2015-01-29 01:45:35
【问题描述】：

CreateProcessA(szFilePath, NULL, NULL, NULL, FALSE, CREATE_SUSPENDED, NULL, NULL, &SI, &PI)

就像标题一样，windows 将此行识别为恶意行。我通过删除项目中的行来检查它。此行导致我的项目被识别为“Worm:Win32/Rebhip.A”类型的病毒。我必须创建暂停的进程，有没有其他方法可以避免这种警告？

【问题讨论】：

获得更好的病毒检查器。
说真的，没有其他库可以用来在 Windows 中创建进程？
在我看来，这个故事还不止于此。我已经多次创建挂起的进程，没有任何防病毒（或类似）程序有任何问题。
您可以尝试跳过 kernel32 并直接调用 NtCreateProcess()，但本机 API 不适合胆小的人。同时，我建议您向您的防病毒软件供应商提交一份关于此问题的投诉。
另一方面，如果是基于签名的检测，那只是运气不好，微不足道的更改可能会解决问题。例如，尝试传递一个有效的命令行，而不是 NULL。

标签： c++ winapi process createprocess

【解决方案1】：

创建挂起进程有时会被病毒用于恶意目的，因此它们可以更改 CONTEXT->EIP 或在 Microsoft/Mozilla .exe 中注入线程，然后绕过防火墙等。但这些技巧很老，可能不会工作了吗？

启动暂停进程也有绝对正当的理由，将其附加到 Job 对象就是一个例子。

我建议您在开发应用程序时将其列入白名单，并希望在应用程序完成后不再触发防病毒。这实际上取决于它是由签名还是运行时启发式触发的。如果它仍然在您完成的应用程序上触发，您需要向供应商 submit a false-positive report 并可能命名并羞辱他们......

【讨论】：