Brauch bitte help, hab ich einen Virus ?

[rg88]

Mag ja sein, aber dann erkläre bitte mal, wie das dann passiv zum Absturz des Rechners führen kann:

Der Rechner stürzt doch nicht ab. Das OS tut es. Und das durch den Virenscanner

 

[PHuV]

Der Rechner stürzt doch nicht ab. Das OS tut es.

Ja. 🙄 Spiel aber hier keine Rolle, ob OS oder HW, das Gerät geht aus als Gesamtphänomen.

Und das durch den Virenscanner

Trotzdem seltsam, wenn eine vermeidlich passiv daliegende Datei gescannt wird und eventuell entfernt werden sollte. Wie gesagt, ich vermute, da war irgend ein Prozess noch drauf, was den AV-Scanner dann störte. Nur werden wir das nicht mehr rausbekommen, weil durch das Löschen das Verhalten nicht mehr so nachgestellt werden kann. Sehr ungewöhnlich.

 

[rg88]

Ja. 🙄 Spiel aber hier keine Rolle, ob OS oder HW, das Gerät geht aus als Gesamtphänomen.

Ein Bluescreen ist kein "ausgehen", das sind für mich zwei vollkommen verschiedene Sachen.
Wenn wir schon zwei Threads haben, wo die Temp-Dateien von CPUZ in Kombination mit AVG zu nem Bluescreen führen, ist hier ein Softwarefehler vorhanden und in dem Sinn liegt der wohl bei AVG.

Ergänzung (22. Juli 2022)

Trotzdem seltsam, wenn eine vermeidlich passiv daliegende Datei gescannt wird und eventuell entfernt werden sollte. Wie gesagt, ich vermute, da war irgend ein Prozess noch drauf, was den AV-Scanner dann störte. Nur werden wir das nicht mehr rausbekommen, weil durch das Löschen das Verhalten nicht mehr so nachgestellt werden kann. Sehr ungewöhnlich.

Das kann einfach eine Heuristik sein, die den Treiber in ner Sandbox lädt und da ist ein Bug und das reisst das ganze System mit.

 

[PHuV]

Das kann einfach eine Heuristik sein, die den Treiber in ner Sandbox lädt und da ist ein Bug und das reisst das ganze System mit.

Ungewöhnlich, aber ja, könnte sein (sollte aber nicht sein, daß eine Sandbox das OS lahmlegt). Das werden wir aber leider nicht genauer erfahren, weil wir das nicht weiter analysieren können. Ich hätte an der Stelle mal geprüft, ob einerseits diese sys.-Datei aktiv verwendet wird, und ob der Rechner generell noch ein weiteres Problem hat, das nur in dieser Kombination zu diesem Problem führt. Ich hatte es bisher in meiner Laufbahn so noch nicht erlebt, daß ein AV-Scanner das OS so runterreißt. Blockieren, ja, aber kein Absturz.

 

[Marco01_809]

Das führt dann dazu, dass Temp-Dateien existent bleiben.

Ja aber bleibt der Treiber im Kernel auch geladen wenn das Programm das ihn geladen hat terminiert? Auch nach einem Reboot noch? Wäre ja denkbar, wüsste ich aber nicht sicher.

Es sind auch nicht die noch rumliegenden Temp-Dateien von CPU-Z. Seht nochmal meinen Post #77, es ist höchstwahrscheinlich Corsair iCUE, welches ebenfalls den cpuz1XX_x64.sys Treiber verwendet und einen permanent laufenden Hintergrundprozess hat!

Das kann einfach eine Heuristik sein, die den Treiber in ner Sandbox lädt und da ist ein Bug und das reisst das ganze System mit.

Das wäre aber keine Sandbox wenn das System dadurch crashen kann. Im BSOD steht ja der Name des Treibers. Und mal testweise einen Treiber in den Kernel laden wäre das denkbar dümmste was ein AV machen kann. Nein, der Treiber ist schon wirklich im Kernel geladen & läuft.

 

[rg88]

Ungewöhnlich, aber ja, könnte sein (sollte aber nicht sein, daß eine Sandbox das OS lahmlegt).

Sollte auch nicht sein, dass Anti-Viren-Programme überhaupt Probleme verursachen, nur ist es aus meiner Erfahrung so, dass auf einen Rechnerausfall durch Virus etwas 50 Ausfälle durch fehlerhafte AV-Software kommt...
Die Frage ist, ob nicht solche Software der eigentliche Virus sind, zumindest schaden sie dem System sehr oft. Das einzige was sie nicht machen ist, dass sie sich selbst weiterverbreiten.

Ich hatte es bisher in meiner Laufbahn so noch nicht erlebt, daß ein AV-Scanner das OS so runterreißt. Blockieren, ja, aber kein Absturz.

Dann kennst du wenig
Vor ein paar Jahren hat ein Kasperky Update das ganze System lahmgelegt mit Bluescreen beim Windows-Start. Das war ein Spaß damals... Das war kein Einzelfall sondern ein übergreifender Bug damals. Böse.

Hier ist es sicher ein kleiner Teil der Nutzer die betroffen sind, aber ändert nichts daran, dass so Programme oft mehr schaden als nutzen bringen.

Ja aber bleibt der Treiber im Kernel auch geladen wenn das Programm das ihn geladen hat terminiert? Auch nach einem Reboot noch? Wäre ja denkbar, wüsste ich aber nicht sicher.

Nope, aber mein Gedanke mit Heuristik ist vielleicht eher realistisch.

Seht nochmal meinen Post #77, es ist höchstwahrscheinlich Corsair iCUE, welches ebenfalls den cpuz1XX_x64.sys Treiber verwendet und einen permanent laufenden Hintergrundprozess hat!

Selbst dann ist AVG Schuld, wenn der Bluescreen erst kommt, wenn er diesen Treiber anpackt und wohl irgendwie abschießt. Da ist die Schuld nicht bei Corsair oder CPUID zu suchen.

Das wäre aber keine Sandbox wenn das System dadurch crashen kann.

Das wäre eine Sandbox, die eben nicht so sicher ist, wie sie sein sollte.
Deine Theorie ist ja auch nicht falsch.
Fakt bleibt aber, dass es AVG ist, was den Fehler verursacht. WO er ihn versursacht ist nur das Symptom, deshalb sieht man dann die CPUZ sys.

Und mal testweise einen Treiber in den Kernel laden wäre das denkbar dümmste was ein AV machen kann.

Weiß mans? Ist ja nicht so, dass diese AV-Programme besonders gut wären. Im Grunde sind die weit entfernt von guter Software und reissen mehr Lücken ins System, als sie vermeintlich Bedrohungen abhalten.
Schau dir einen x-beliebigen HTTPS-Scanner an. Der KANN gar nicht funktionieren, außer er schleußt sich selbst in den Datenverkehr ein und macht eine Man-in-the-middle-Attacke. Im Grunde jubelt er also dem System ein falsches Zertifikat unter und macht daurch die ganze Kette kaputt und unsicher.
Damit ist per Definition das Scan-Programm die eigentliche Schadsoftware

 

[PHuV]

Dann kennst du wenig

An sich nicht.

Vor ein paar Jahren hat ein Kasperky Update das ganze System lahmgelegt mit Bluescreen beim Windows-Start. Das war ein Spaß damals... Das war kein Einzelfall sondern ein übergreifender Bug damals. Böse.

Hm, wir hatten auch 11 Jahre Kaspersky im Einsatz. Wie gesagt, Blockade ja, aber Bluescreens?

 

[rg88]

Hm, wir hatten auch 11 Jahre Kaspersky im Einsatz. Wie gesagt, Blockade ja, aber Bluescreens?

Doch schon so lange her
https://www.heise.de/security/meldung/Kaspersky-Update-zerlegte-Vista-64-Update-207104.html

 

[Marco01_809]

Ist ja nicht so, dass diese AV-Programme besonders gut wären. Im Grunde sind die weit entfernt von guter Software und reissen mehr Lücken ins System, als sie vermeintlich Bedrohungen abhalten.
[...]
Damit ist per Definition das Scan-Programm die eigentliche Schadsoftware

Ich bin da ganz bei dir (siehe), aber ich halte diese Herstellertools für mindestens genauso minderwertig wie Third-Party-AVs. Letztenendes stehen im BSOD nur ein Treibername, eine Speicheradresse und eine Hand voll Register aber es ist ohne den Memorydump und die Treiber selbst auseinanderzunehmen schwer zu sagen ob nicht Treiber A vorher irgendwelche Datenstrukturen im Kernel memory kaputtgedoktort hat und das erst später explodiert wenn Treiber B auf diese zugreift.

Letztenendes würde ich also den AV UND Corsair iCUE runterwerfen. Die Anzahl Third-Party Kerneltreiber reduzieren ist immer eine gute Idee um Stabilität & Sicherheit zu erhöhen. Autoruns aus der SysinternalSuite ist ganz nett um sich die geladenen non-MS Treiber anzeigen zu lassen.

 

[PC295]

reissen mehr Lücken ins System, als sie vermeintlich Bedrohungen abhalten.

Woher nimmst du diesen Unsinn?
Die Liste von Sicherheitslücken in Antivirus-Produkten ist sehr klein.
Schau da mal in die Zahlen von Browsern oder Windows selbst.

 

[rg88]

Woher nimmst du diesen Unsinn?

Wenn du nicht alles liest, was ich schreibe, dann kann ich leider da nicht weiterhelfen und auch keine Antwort geben

Die Liste von Sicherheitslücken in Antivirus-Produkten ist sehr klein.

Vollkommen egal. Eine reicht, man brauch nicht mehrere. Und das Konzept ansich ist die Lücke.

Schau da mal in die Zahlen von Browsern oder Windows selbst.

Whataboutism. Am Thema vorbei. Wo übrigens die Browser mittlerweile ihre Inhalte in einer Sandbox ausführen und somit kaum Restrisiko übrig bleibt.
Und Windowslücken auch mit einem zusätzlichem AV-Tool vorhanden sind.

 

[Marco01_809]

Die Liste von Sicherheitslücken in Antivirus-Produkten ist sehr klein.

Woher nimmst du das? cvedetails listet dutzende CVEs je AV. Und darüber hinaus, ist davon auszugehen dass die AV-Hersteller für jede Sicherheitslücke die sie in ihren Scannern finden CVEs anlegen? Ich bezweifle das ganz stark, denn da steht ihre Reputation auf dem Spiel. Für Angreifer/Security researcher sind 3rd-party AVs auch nicht so interessant, dann da gibt es ganz viele von, allesamt mit deutlich weniger Nutzern als dem Defender und der Hand voll Browsern.

AV Scanner sind by-design so konstruiert dass sie jede Datei in jedem bekannten Dateiformat versuchen einzulesen. Wieso ist davon auszugehen dass der Parser von irgendeinem AV korrekter & abgehärteter ist als z.B. der PDF Parser von Adobe & Co.? Nur weil der in einer Sandbox läuft? Wie gut das bei Browsern funktioniert hast du ja selbst schon angemerkt.

 

[PC295]

Und darüber hinaus, ist davon auszugehen dass die AV-Hersteller für jede Sicherheitslücke die sie in ihren Scannern finden CVEs anlegen?

Wo werden sie dann erwähnt?
Stattessen kommst du mit einem Bluescreen-Problem vor 10 Jahren.
Was aktuelleres hast du wohl nicht gefunden?

 

[rg88]

Stattessen kommst du mit einem Bluescreen-Problem vor 10 Jahren.
Was aktuelleres hast du wohl nicht gefunden?

du bringst hier wohl einiges durcheinander. Morgen nochmal nüchtern versuchen oder tief durchatmen und nochmal den Thread durchlesen -> Mein Tipp

 

[PC295]

du bringst hier wohl einiges durcheinander.

Probleme/Bluescreens und Sicherheitslücken werden gleichermaßen verwendet um AV-Produkte schlecht zu reden.

 

[rg88]

Probleme/Bluescreens und Sicherheitslücken werden gleichermaßen verwendet um AV-Produkte schlecht zu reden.

Hier wird nichts schlecht geredet, sondern nur Fakten aufgezählt.
Einzelen Probleme die man selbst erlebt hat, werden natürlich nicht in News-Zeilen zu finden sein, weil es eben vereinzelte Probleme sind. Das ändert nichts am grundsätzlich fragwürdigem Konzept, wie solche Tools funktionieren.
Keine Ahnung, ob du so unerfahren oder blauäugig bist oder ob du für da vorbleastet bist, weil du in dem Bereich arbeitest. Aber deine Art der Verteidigung hier lässt zumindest vermuten, dass eines davon zutrifft.

 

[PC295]

Hier wird nichts schlecht geredet, sondern nur Fakten aufgezählt.

Von Fakten ist hier nichts zu lesen, nur dumme Vergleiche und Unterstellungen.

 

[Marco01_809]

Dann schau mal den Post an den ich in #89 verlinkt habe, der hat haufenweise Quellen für Crashes/BSODs und Sicherheitslücken in AVs und die Meinungen mehrerer Sicherheitsforscher die von Third-party AVs abraten.

Die meiste Kritik trifft auf 1st party AVs wie dem Defender nicht zu, da der eben keine Sicherheitsmechanismen aufbrechen muss um in andere Prozesse reinzukommen, sondern an sauber definierten Schnittstellen in das OS integriert ist. Das der Defender viel seltener Inkompatibilitäten mit Windows Updates hat liegt auch auf der Hand.

 

[rg88]

Von Fakten ist hier nichts zu lesen, nur dumme Vergleiche und Unterstellungen.

Wenn man Fakten ignoriert, dann mag das so wirken, ja

 

[PC295]

der hat haufenweise Quellen für Crashes/BSODs und Sicherheitslücken in AVs und die Meinungen mehrerer Sicherheitsforscher die von Third-party AVs abraten.

Auch die Quellen sind mehrere Jahre alt und von "haufenweise" kann man hier noch lange nicht sprechen.
Viele dort genannten Probleme resultierten auch daraus, weil Nutzer ihr System, Browser oder die Antivirensoftware nicht aktuell gehalten hatten.