Frage zum Microsoft Defender (welxhe Datei-Endungen) werden gescannt

[1lluminate23]

Hallo zusammen,

ich habe eine Frage zum Microsoft Defender, und zwar welche Dateiendungen er scannt, oder scannt er "alle Dateien", ISOs und Archive eingeschlossen, und bis zu welcher Tiefe werden Archive gescannt? Grund der Frage ist, dass ich mitunter mein File-Archiv scannen lasse, und dabei kam mir die Frage auf. Kann ich irgendwo festlegen, welche Dateien, Archive etc. er scannen soll?

 

[madmax2010]

Dateiendungen sagen nichts aus. Die sind vor allem da damit der exporer weiss welche Vorschau / welches Icon er anzeigen soll.
Typ und Inhalt und womit sie geöffne
t werden werden weitestgehend vom header bestimmt.
Eine Datei ist, sehr einfach gesagt, nur ein haufen zusammenhängender text. Jede datei kann fuer "Angriffe" genutzt werden

Wenn man solche tools nutzen will, sollte man sie alles scannen lassen.

Die Zeiten von Linkinpark.numb.mp3.exe sind vorbei..

 

[Conqi]

Der Defender scannt erstmal alles und ja, der guckt auch in unverschlüsselte Archive. Die Tiefe spielt dabei keine Rolle außer du meinst, jemand packt Archive in Archive in Archive. Das flagged er vermutlich irgendwann als auffällig, egal was drin ist.

In der Enterprise-Version kann man auch einstellen, dass bestimmte Formate ignoriert werden; in der Consumer-Version geht das meines Wissens nach nicht.

Dateiendungen sagen nichts aus. Die sind vor allem da damit der exporer weiss welche Vorschau / welches Icon er anzeigen soll.

Etwas mehr ist es schon. Das Programm, welches die Datei bei Doppelklick öffnet, wird auch über die Dateiendung bestimmt. Diverse Programme wollen auch nur Dateien mit entsprechenden Endungen öffnen.

Generell weiß ich aber nicht, was du damit sagen willst. Ob ein zip-Archiv nun als zip benannt ist oder nicht, ist dem Defender vielleicht egal, aber ändert an der Frage doch nichts.

 

[BFF]

Etwas mehr ist es schon. Das Programm, welches die Datei bei Doppelklick öffnet, wird auch über die Dateiendung bestimmt.

Was aber nur unter Windows so ist. Und selbst das Windows könnte es anders wenn es die Dateiheader lesen würde.

 

[prian]

@Conqi
Ich bin prizipiell bei Dir, dass die Endung bestimmt, welches Programm unter Windows sich dafür verantwortlich fühlt. Dabei sagt aber die Endung NICHTs über den Inhalt, eine zip kann eine bat sein oder eine exe (vom Typ) und eben kein Archiv. Einzig unter Linux ist es vernünftig geregel, das x in den Flags sagt aus ob die Datei mit ./Dateiname direkt gestartet werden kann oder nicht.
Unter Windows gibt es ja weitere Probleme, da auch andere Datein was auslösen können, aktiver Inhalt in PDFs oder Word- oder Excel-Dateien.
Ist das Anzeige-/Bearbeitungsprogramm falsch eingestellt, schwupps ist die K*cka am Dampfen.
Da wären wir dann beim Argument vo @madmax2010.

Somit - soviel ich weiß - gruscht der Defender alles durch was er findet, bei verschachtelten Archiven erwarte ich dass er irgendwann aufhört und das Archiv erst mal aussondert (das weiß ich aber nicht).
Jedenfalls wird in diversen Patch-Dateien (zu Sicherungskopien von Programmen/Games) regelmäßig verdächtige .dll Dateien gefunden, somit schaut der Defender auch rein und gibt seine Meinung dazu ab.

 

[br3adwhale]

Joa unter Windows ist das leicht trügerisch, da kann eine EXE-Datei mit dem Symbol einer PDF-Datei oder sonst was kompiliert werden, da kann man dann nur noch hoffen dass der Defender die Signatur schon kennt und die Datei schon vor der Ablage wegfegt.

 

[Conqi]

Was aber nur unter Windows so ist.

Also ich sitze hier gerade an einem PC mit Linux und wenn ich ein Bild von jpg zu txt umbenenne, öffnet sich ein Texteditor und zeigt Blödsinn an. Zumindest Dolphin verhält sich da genau so wie der Windows Explorer.

Unter Windows gibt es ja weitere Probleme, da auch andere Datein was auslösen können, aktiver Inhalt in PDFs oder Word- oder Excel-Dateien.

Aktive Javascript-Inhalte in PDFs oder Makros in Office-Dateien sind doch kein reines Windows-Phänomen. Das funktioniert auch mit jedem anderen OS, das entsprechende Software anbietet.

Manchmal wird hier echt so getan als gäbe es da draußen keine Malware für Linux, Android, iOS und Co. Wobei ich immer noch nicht weiß, was das alles mit der ursprünglichen Frage zu tun hat.
Fakt ist: der Defender richtet sich bei der Behandlung von Dateien teilweise nach der Endung, wenn man entsprechende Einstellungen nutzt (die es meines Wissens nach eben nur bei den kostenpflichtigen Versionen für Firmen gibt), aber grundsätzlich erkennt der schon was eine Datei tatsächlich ist.

 

[JennyCB]

Mit Powershell kann man einiges vom Scannen ausschließen, z. B.:

Ordner:
Add-MpPreference -ExclusionPath "$env:SYSTEMROOT\System32\spool\PRINTERS"

Laufwerke:
Add-MpPreference -ExclusionPath "F:\"

Dateiendungen:
Add-MpPreference -ExclusionExtension ".iso"
Add-MpPreference -ExclusionExtension ".zip"

 

[BFF]

Dann mach mal Folgendes. @Conqi

Die (1) ist eine JPG mit dem Namen ddr. Die (2) ist eine MP3 mit dem Namen DDR.

Rate mal was aufgeht wenn man auf diese Datei(en) einen Doppelklick macht?
Ich bin da gerade unter einem Mint 22.3 unterwegs.

Hoffe jetzt ist klarer was @madmax2010 meint mit

Dateiendungen sagen nichts aus.