Anzeige

Am Puls von Microsoft

Anzeige

[gelöst] Warnung vor Defender-Sandbox

mh0001

gehört zum Inventar
Hallo!

Wenn ihr wie damals in der News (https://www.drwindows.de/news/sicherheit-microsoft-packt-den-windows-defender-in-eine-sandbox) beschrieben die Defender-Sandbox manuell aktiviert habt, solltet ihr jetzt unbedingt nochmal checken, ob der Echtzeitschutz noch korrekt funktioniert. Evtl. wurde das, obwohl es anfangs bei mir noch korrekt lief, mit einem der Updates in der Zwischenzeit kaputt gemacht.

Ich habe gestern durch Zufall bemerkt, dass der Defender-Echtzeitschutz teilweise komplett tot ist. Ich habe dann das eicar.com-Testfile geladen und mit Schrecken festgestellt, dass ich mit diesem nach Belieben rumhantieren und dieses rumkopieren konnte, ohne dass der Defender angeschlagen hat.
Es war erforderlich, manuell Rechtsklick drauf zu machen und mit Defender die Datei scannen zu lassen, damit der Testvirus erkannt und gelöscht wurde.

Mit Edge das Testfile herunterzuladen schlägt an, weil Edge selber diesen Scan auslöst. Lädt man es z.B. mit Firefox runter, passiert rein gar nichts!
Ebenso, und hier ist auch der Download mit Edge betroffen, ist die cloudbasierte Erkennung sowie PUP-Erkennung bei Downloads komplett lahmgelegt.

Ich habe die Defender-Sandbox wieder deaktiviert, und sofort nach einem Neustart war alles wieder so wie es sein sollte. Die Echtzeit-Erkennung funktioniert nun wieder einwandfrei.

Testet es besser auch bei euch, wenn ihr die Sandbox aktiviert habt: https://demo.wd.microsoft.com/
Die oberen drei Tests sollten allesamt sofort im Defender anschlagen, wenn ihr die Test-Dateien herunterladet. Bei aktivierter Sandbox passiert bei mir, in egal welchem Browser, rein gar nichts mehr wenn ich die Testdateien lade.

Oder schmeißt Firefox an und ladet eicar.com: http://2016.eicar.org/85-0-Download.html
Ohne Sandbox wird das Ding sofort nach dem Download gekillt, mit Sandbox passiert bei mir nix.
 
Anzeige
G

Gelöschtes Mitglied 73230

Gast
Keine Sorge.Bei mir auf der aktuellen Insiderbuild läuft alles wie es soll.Alles aktiv und alles funktioniert wie es soll.Muss da echt nichts runterladen.
Also kein Grund zu Panik und Phantomjagd.Trotzdem danke für die Info.
 

Anhänge

  • ms.jpg
    ms.jpg
    145,5 KB · Aufrufe: 113
  • def1.jpg
    def1.jpg
    45,2 KB · Aufrufe: 103
  • def2.jpg
    def2.jpg
    42,7 KB · Aufrufe: 97

areiland

Computer Legastheniker
Drei Posts und davon können zwei gar nicht bestätigen, dass der Eicar-Testvirus bei aktivierter Defender Sandbox auf den Rechner gelangen konnte. Da würde ich doch mal anfangen, auf dem eigenen Rechner nach der Ursache zu suchen. Denn auch bei mir schlägt der Defender mit aktivierter Sandbox direkt an, wenn ich Eicar downloaden möchte.
 

Jürgen

Moderator
Teammitglied
sorry mh0001, ich habe die Defender-Sandbox gerade aktiviert in der normalen 1809 Version und auch versucht mit Firefox die Tests durchzuführen , und es wurden alle erkannt, demnach ist es also ok mit aktivierter Sandbox zu verfahren,
 

mh0001

gehört zum Inventar
Ich wollte auch nicht sagen, dass es bei allen so sein MUSS. Da ich das gleiche Verhalten sowohl auf PC als auch Surface Go habe, dachte ich nur es wäre angebracht, das als Hinweis zu teilen damit es andere zumindest mal bei sich checken.

Ich selber habe nämlich damals in der News kommentiert, dass ich es getestet habe und es einwandfrei funktioniert, nachdem dort ein anderer User vom selben Problem berichtet hat, dass der Defender danach nichts mehr erkennt.

Jetzt ist das bei mir auf zwei Rechnern auf einmal ganz genau so. Es ist schön, wenn das bei euch funktioniert, es sollte eben wie gesagt nur eine Info sein. Besser checken ob es tut als dass es irgendwann mal etwas durchlässt, das kein Testvirus sondern echte Malware ist.

Ob es nun an einer speziellen Rechnerkonfiguration liegt oder nicht, kann ich nicht sagen. Fakt ist einfach: Bei aktivierter Sandbox landet eicar.com bei mir in jeder Variante auf dem Rechner und dem Defender ist es glatt egal.
Bei deaktivierter Sandbox erkennt er es instantan.
Folglich ist es FÜR MICH durchaus ein Grund zur Sorge, ganz einfach.
 

areiland

Computer Legastheniker
Deine Beschreibung las sich nun mal so, als wäre der Echtzeitschutz generell tot wenn die Sandbox aktiviert ist. Darauf haben wir entsprechend mit dem Hinweis reagiert, dass dies offenbar nicht überall so ist und auf unseren Rechnern der Testvirus, auch bei aktiver Sandbox, wie erwartet blockiert wird.
 

ExtraDrei

gehört zum Inventar
Bei mir ist es wie folgt (1809) bei aktivierter Sandbox:

- Eicar-Testvirus wird anscheinend runtergeladen, nix schlägt an, kein Hinweis, nix.
- Testvirus befindet sich nicht im Download-Ordner.
- Testvirus ist zu finden unter Bedrohungsverlauf/Bedrohungen unter Quarantäne.

Demnach hat der Defender zugeschlagen - es aber nicht kundgetan. Ist bei mir schon eine Weile so.
Das hat mich aber nicht weiter beunruhigt, denn das Ding war ja in Quarantäne.
 

EckRentner

treuer Stammgast
Defender und eicar-Test

Hallo,
Ich kann die Eicar-Testdatei ohne Probleme runterladen - sie befindet sich dann im Donwload-Ordner.
Der Defender hat den Download nicht verhindert und sich nicht gemeldet.
Erst bei einem Scan wacht der Defender auf und erkennt das Test-Virus.
Muß ich mir Sorgen machen - oder ist das normal?

Es spielt dabei keine Rolle, ob die Sandbox vom Defender aktiviert ist oder nicht. Jeweils gleiches Verhalten.
Win 10, 1809/17763.292

P.S.
Malwarebytes (Scan) erkennt erkennt das Testvirus überhaupt nicht.
 

PeterK

eben noch da
AW: Defender und eicar-Test

Muß ich mir Sorgen machen - oder ist das normal?
Da würde ich mir Sorgen machen!

Wenn ich auf der Webseite auf den ersten Link gehe um die Eicar-Testdatei herunter zu laden tut mein Antivirusprogramm die ganze Download Seite schon sperren und der die Eicar-Testdatei wird in den Viruskontainer verschoben, das wäre die richtige Umsetzung.

Wenn der Windows Defender den Download nicht unterbindet oder Meldet dann nützt dir der Windows Defender auch nichts, also unnötiger Programm Balast!
 

Jürgen

Moderator
Teammitglied
AW: Defender und eicar-Test

Spätestens beim öffnen muss der Defender sich melden,wenn gespeichert wurde, mit Editor öffnen löst ebenfalls eine Meldung aus, ansonsten falsche Einstellungen und bitte auch mal im Verlauf nachschauen
 

marlon09

treuer Stammgast
AW: Defender und eicar-Test

Mhhh, auf meinem Rechner (1809) habe ich das gleiche Problem.


Wenn ich unter https://www.etes.de/downloads/eicar-testvirus/ den Testlink (Download eicar.com) herunterlade, landet die Datei auf dem Rechner unter Downloads (siehe Photo).
Erst wenn ich sie dann anklicke kommt die Warnmeldung, und die Datei wird gelöscht.
 

Anhänge

  • 9.png
    9.png
    36,3 KB · Aufrufe: 75

marlon09

treuer Stammgast
Moment, ich dachte es dürfte erst gar nicht zum Download kommen..?

Sprich, das System sollte schon eingreifen BEVOR es zum Download kommt..?
 
G

Gelöschtes Mitglied 73230

Gast
Wenn ich oben von # 144 den Link klicke und das Eicar runterladen will,kommt gleich dies.
Im Downloadordner erscheint nix,wurd wohl gar nicht,bzw. nur teilweise, runtergeladen. Recht so !
 

Anhänge

  • Screenshot (2).png
    Screenshot (2).png
    256,9 KB · Aufrufe: 71
  • Screenshot (3).png
    Screenshot (3).png
    84,8 KB · Aufrufe: 65
  • eicar3.jpg
    eicar3.jpg
    29,3 KB · Aufrufe: 56
Zuletzt bearbeitet von einem Moderator:

Jürgen

Moderator
Teammitglied
Der Unterschied liegt am Download beim Firefox , siehe Bild

Aber im Verlauf ist es auch nachvollziehbar

img_001.png
 

Anhänge

  • img_004.png
    img_004.png
    21,2 KB · Aufrufe: 56
Zuletzt bearbeitet:
Anzeige
Oben