Jump to content

Browser sagen jeder download ist ein Virus


Gu4rdi4n
Direkt zur Lösung Gelöst von Gu4rdi4n,
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hi,

ich habe hier Windows 7 und Windows 10 Rechner. Auf den Rechnern wird eine SRP angewendet.

 

Jetzt habe ich ein seltsames verhalten nur bei den W10 Rechnern:

Wenn ein User sich ohne Admin Rechte am Windows 10 anmeldet und versucht eine Datei herunter zu laden (egal ob Chrome oder Edge), sagt der Browser entweder "Fehler beim Virenscan" (Chrome) oder "XYZ.datei enthielt einen Virus und wurde gelöscht" (Edge) etc. Bei Firefox etc funktioniert es. Ich kann mir vorstellen, da chrome ja teilweise auf die Windows Vorgaben zugreift, ist das ein generelles "Windows Problem"

 

Ich habe den Defender schon deaktiviert - keine Besserung

 

Jetzt zum eigentlich seltsamen

 

Ich habe SRP im Einsatz. 

Als der erste W10 Rechner das Problem zeigte, hab ich die Schuld erstmal auf HP Sureclick geschoben. Hab's dann deinstalliert und es funktionierte dann wieder.

Jetzt allerdings taucht das Problem bei anderen W10 Rechnern ebenfalls auf. Auch ohne Sureclick.

Wenn ich den Browser als Admin starte, funktionieren die Downloads.

 

Also habe ich 1+1 zusammen gezählt und die SRP als "Übeltäter" identifiziert.

 

Jetzt stellen sich mir allerdings 2 Fragen:

- Wieso kann der eine Client trotz greifender SRP Dateien herunterladen und andere nicht, bzw, warum hilft es bei anderen Clients die SRP GPO zu deaktivieren und bei einem Client funktioniert es trotzdem? Gleiches Image, gleiche Software, gleiche Hardware auf beiden PCs

- Was könnte eine SRP unter Windows 10 blocken, was ein Browser braucht um Dateien herunterzuladen? Unter Windows 7 funktionieren die Richtlinien so wie sie sollen.

 

Ach, und Applocker ist keine Option, da Windows 10 Pro

 

 

Link zu diesem Kommentar

Die GPO für SRP kopieren in eine OU und die Vererbung von oben deaktivieren. Jetzt einzelne Einträge aus der Test GPO deaktivieren und probieren. Außer Du findest im Ereignisprotokoll noch Details. Die TEMP-Einstellungen würde ich vermutlich als erstes deaktivieren.

 

BTW: Bei der Masse an Ausnahmen kann man SRP ja fast weglassen. Weshalb braucht man im NETLOGON so eine Ausnahme?

bearbeitet von Sunny61
Link zu diesem Kommentar

Naja, bis auf netlogon, wo du übrigens recht hast - das hab ich vergessen nach einem Test wieder raus zu nehmen - sind das alles Programme, die ohne die Ausnahme nicht lauffähig sind.

 

Viele Programme brauchen leider unter AppData ausnahmen, da sie sonst nicht lauffähig sind. 

Beispiel Ninite oder SFirm. Da geht ohne AppData garnichts - was ich auch nicht sonderlich toll finde

Allerdings kann der Normalo User dort auch nichts reinspeichern, wo SRP Ausnahmen sind. Also weitestgehend gesichert.

 

Wenn ich die Einträge aus der Test GPO deaktiviere, dann schränke ich doch alles noch weiter ein? Es ist ja eine Whitelist und keine Blacklist. Also müsste ich doch eigentlich immer mehr whitelisten bis ich es gefunden habe?

Link zu diesem Kommentar

Dann mach es anders, Testclient in eine TestOU. Keinerlei GPO-Vererbung zulassen, erstell ein neues GPO für SRP und setz eine Einstellung nach der anderen. Anschließend immer einmal booten und testen.

 

BTW: Gibt es für euch keinen Ersatz für SFirm? Programme mit solch weitreichenden Berechtigungen sehe ich als sehr kritisch an.

Link zu diesem Kommentar
vor 11 Minuten schrieb Sunny61:

Dann mach es anders, Testclient in eine TestOU. Keinerlei GPO-Vererbung zulassen, erstell ein neues GPO für SRP und setz eine Einstellung nach der anderen. Anschließend immer einmal booten und testen.

 

BTW: Gibt es für euch keinen Ersatz für SFirm? Programme mit solch weitreichenden Berechtigungen sehe ich als sehr kritisch an.

Ist leider von der Sparkasse ein Programm das mein Chef haben will.

Ich weiß nicht ob er es wirklich braucht oder ob es dafür alternativen gibt.

Link zu diesem Kommentar

Wir haben den TEMP-Ordner generell auf C:\TEMP verschoben. Für diesen dämlichen Updater von SFirm muss man in der Tat ein paar Ausnahmen im Temp definieren.

Es ist ein ein schlechtes Design, dort EXE-Dateien hinzukopieren um sie dann von dort auszuführen. Das könnten die genauso gut auch auf der zentralen Netzwerkressource machen.

TEMP würde ich aber  auf keinen Fall generell erlauben (die Viren freuen sich...)

Auf Netogon braucht man Ausnahmen, wenn man dort BAT-oder CMD-Dateien ausführen will (soweit dies in der SRP enthalten ist).

Ansonsten hilft Event 865 im Anwendungslog weiter.

bearbeitet von zahni
Link zu diesem Kommentar
vor 23 Minuten schrieb zahni:

Wir haben den TEMP-Ordner generell auf C:\TEMP verschoben. Für diesen dämlichen Updater von SFirm muss man in der Tat ein paar Ausnahmen im Temp definieren.

Es ist ein ein schlechtes Design, dort EXE-Dateien hinzukopieren um sie dann von dort auszuführen. Das könnten die genauso gut auch auf der zentralen Netzwerkressource machen.

TEMP würde ich aber  auf keinen Fall generell erlauben (die Viren freuen sich...)

Auf Netogon braucht man Ausnahmen, wenn man dort BAT-oder CMD-Dateien ausführen will (soweit dies in der SRP enthalten ist).

Ansonsten hilft Event 865 im Anwendungslog weiter.

genau das ist das Problem. Einfach mieses Software design.

 

So also ich bin scchonmal so weit, dass ich weiß, dass der komplette Ausschluss von  AppData nicht hilft. Muss also irgendwo anders liegen

Mal immer weiter die ebenen nach unten klettern. 

Wenn ich Komplett C:\ freigebe, funktioniert's.:grins2: Also fehlt irgendwas definitiv 

 

Das Event 865 wird in diesem Fall leider nicht geworfen

 

bearbeitet von Gu4rdi4n
Link zu diesem Kommentar

Ja, wie gesagt, Event 865 wird bei den Downloads leider nicht geworfen.

 

Ist auf benutzer konfiguriert und hat unter W7 auch so funktioniert.

 

Ich komme der Spur näher. Scheinbar irgendwas im ProgramData ordner was fehlt

 

Edit:

HAHA!

 

Hab den Übelträter!!!

 

c:\ProgramData\Microsoft\Windows Defender

 

https://social.technet.microsoft.com/Forums/en-US/1afeb5c9-0aee-47f6-b678-7d26bb201b3a/software-restriction-policy-breaks-windows-defender-definition-updates?forum=win10itprosecurity

bearbeitet von Gu4rdi4n
Link zu diesem Kommentar

Eigentlich blockiert SRP auch keinen Download (schreiben), sondern nur die Ausführung.  Da muss noch etwas Anders quer liegen. SRP erzeugt immer einen 865, wenn etwas blockiert wird.

Ich würde mal beim Virenscanner vorbeischauen. oder vielleicht beim Smartscreen Filter?

Gab es beim mitgelieferten Windows 10 Virenschutz von 1803 nicht irgendeine Funktion, die so etwas ähnliches macht?

Sorry, muss jetzt los...

 

Link zu diesem Kommentar
  • Beste Lösung
vor 4 Minuten schrieb zahni:

Eigentlich blockiert SRP auch keinen Download (schreiben), sondern nur die Ausführung.  Da muss noch etwas Anders quer liegen. SRP erzeugt immer einen 865, wenn etwas blockiert wird.

Ich würde mal beim Virenscanner vorbeischauen. oder vielleicht beim Smartscreen Filter?

Gab es beim mitgelieferten Windows 10 Virenschutz von 1803 nicht irgendeine Funktion, die so etwas ähnliches macht?

Sorry, muss jetzt los...

 

Ja so in etwa. Richtige Richtung gedacht.

 

https://social.technet.microsoft.com/Forums/en-US/1afeb5c9-0aee-47f6-b678-7d26bb201b3a/software-restriction-policy-breaks-windows-defender-definition-updates?forum=win10itprosecurity

 

Es ist der Defender im ProgramData verzeichnis

 

Scheinbar loggt die 865 nicht bei DLLs

Zitat

Enabling log tracing for SRP didn't work because it didn't list DLLs as Unrestricted or Disallowed; only EXE and other listed file types. 

 

bearbeitet von Gu4rdi4n
Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...