Merkwürdiges Verhalten des Avira Echtzeitschutzes Einstellungen

[dietlmann]

Ich habe vor kurzem eher zufällig eine merkwürdige Erfahrung mit dem Avira-Echtzeitschutz gemacht. Auf dem Computer meiner Tochter hat der Avira Guard den Download eines adware-verseuchten Programms blockiert. Das Programm nennt sich Free Opener und ist wohl auch als Adware bekannt. So weit, so gut! Meine Tochter wollte mir dann noch einmal zeigen, was sie gemacht hat und wir haben den Download erneut angeklickt, in der Erwartung, der Echtzeitschutz schlägt wieder an. Doch das Setup-Programm (eine EXE) ließ sich ohne Reaktion von Avira herunterladen und speichern, obwohl die Adware-Erkennung eingeschaltet ist. Beim manuellen Scan wurde die Setup-Datei dann auch direkt als infiziert erkannt. Dieses für mich sonderbare Verhalten des Echtzeitschutzes hat mich etwas beunruhigt und ich habe den Download der selben Setup-Datei in der Folge mehrfach während unterschiedlicher Computersitzungen versucht. In den meisten Fällen schreitet der Guard wie erwünscht beim Speichern der Datei ein. Doch wiederholt landete das EXE-File unbehelligt auf dem PC ohne Intervention des Wächters und immer war der von mir anschließend getätigte manuelle Scan positiv. Wie ist das technisch zu erklären? Arbeitet der Echtzeitschutz hier unzuverlässig? Habe diese Frage auch schon im Avira-Forum gestellt, aber keine für mich befriedigende Antwort bekommen.

[Gast_claudia_*]

habe hier im Forum schon zigfach geschrieben, das die Erkennung von Avira On-Demand sehr gut ist, aber der On-Access (Echtzeitschutz)
viele Fragen aufwirft.
Habe zwar in der letzten Zeit Avira nur wenig getestet, aber großes Vertrauen hätte ich immer noch nicht.

Es werden jetzt die Befürworter gleich schreiben, das sie es schon lange benutzen und immer geschützt waren, könnte aber genug
Gegenbeispiele aus meinem Umfeld nennen, wo das nicht der Fall war.

[Gast_J4U_*]

War es immer der selbe Anbieter beim Download?
Davon abgesehen, die Erkennung sollte falsch sein, das Programm ist i.d.R. sauber. Es will zwar einige "nette" Sachen mit installieren (hierbei sollte/dürfte/könnte Avira anschlagen), das lässt sich aber bei der Installation abwählen. Ist, glaube ich, eine ganz ordentliche Klickorgie.

[dietlmann]

@Claudia: Da der Echtzeitschutz die Datei prüft und die selben Signaturen wie beim On-Demand-Scan zugrunde liegen, ist mir dieses Verhalten rätselhaft. Und meine Befürchtung ist, das dies kein Einzelfall sein könnte, denn in diversen Tests schneidet der On-Demand-Scanner mit höherer Erkennungsleistung ab als der On-Access-Schutz.

@J4U: Ja, es war immer die Anbieterseite direkt und es ist auch immer die gleiche Setup-Datei. Avira erkennt sie als "APPL/InstallIQ.Gen5", wenn der Adware-Schutz eingeschaltet ist und Avira ist nicht das einzige AV, welches die Datei schädlich einstuft

https://www.virustotal.com/de/file/689dc90f...30d6d/analysis/

Aber darum geht's ja auch nicht. Mich interessiert einzig das merkwürdige Verhalten des Guard in dieser Angelegenheit.

[Gast_claudia_*]

deine Befürchtung sind berechtigt, weil ich die selben Erfahrungen gesammelt habe.
Ob du damit leben kannst oder nach Alternativen Umschau hältst, muß du selber entscheiden.

[simracer]

@dietlmann
Falls du bis jetzt Avira Free auf dem PC deiner Tochter einsetzt und evtl. wegen einer Alternative überlegst, dann kannst du dir ja mal AVG Free anschauen oder AVG Antivirus Vollversion von einer Promotion Aktion mit 374 Tagen Laufzeit: http://www.mydealz.de/31503/1-jahr-kostenl...virus-pro-2014/. Ich habe in den letzten Tagen mit AVG Free in einem anderen Forum die Erfahrung gemacht das AVG Free bei Installern die Adware "mitschleppen" angeschlagen hat und den Download verhinderte bzw spätestens bei dem Ausführungsversuch dieser Installer eingriff. Es wäre auch nicht verkehrt(falls du es noch nicht gemacht hast)das du mal den PC deiner Tochter auf schon vorhandene Adware/Scareware hin überprüfst. Das könntest du zum Beispiel mit Malwarebytes Free(Vollständige Überprüfung)und/oder Emsisoft Emergency Kit(Detail Scan)machen um sicher zu gehen das nicht schon Adware/Scareware auf dem PC deiner Tochter "sitzt".

[Solution-Design]

Obwohl VirusTotal anschlägt, so passiert dies unter Avira Free hier nicht. http://www.chip.de/downloads/Free-Opener_49299995.html

AVs schlagen auch nur an, aufgrund der vielen tollen Tools, welche man auswählen darf. Warum bei dir sich Avira bei einem Scan gemeldet hat (?)...

Lizenznehmer : Avira Antivirus Free
Plattform : Microsoft Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\DOKUME~1\UWEKRA~1\LOKALE~1\Temp\98ae588b.avp
Protokollierung.......................: standard
Primäre Aktion........................: Interaktiv
Sekundäre Aktion......................: Ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Prüfe alle Dateien....................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Mittwoch, 16. April 2014 17:30
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\Dokumente und Einstellungen\Uwe Kraatz\Desktop\freeopener2.0.1.0.exe'
Ende des Suchlaufs: Mittwoch, 16. April 2014 17:30
Benötigte Zeit: 00:00 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
0 Verzeichnisse wurden überprüft
5 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
5 Dateien ohne Befall
5 Archive wurden durchsucht
0 Warnungen
0 Hinweise

[Gast_Jeannie87_*]

Also bei mir hat Avira nach mehren Versuchen jedesmal vor dem Abspeichern der Datei Free Opener angeschlagen,bei chip.de sowie auf der
Homepage dieser Anwendung.Erkannt wurde vom Scanner Adware namens APPL/InstallIQ.Gen5

[dietlmann]

@simracer: Der PC meiner Tochter ist sauber. Malwarebytes, HitmanPro, ADWCleaner setze ich regelmässig ein. Avira als Grundschutz ist mir zur Zeit wieder sympatisch (seit die Toolbar und der Notifier weg sind), weil "made in Germany" und auch die Erkennungsleistungen (zumindest des On-Demand-Scanners) sind in letzter Zeit spitze.

@Solution-Design: Du hast Recht, es kommt darauf an, was mit in den Installer gepackt wird. Wenn du den Download direkt von der Free Opener-Website machst, schlägt zumindest der On-Demand-Scanner immer an, und bei etwas Glück auch der Echtzeitschutz (Du musst natürlich alle Gefahrenkategorien aktiviert haben.)

@Jeannie87: Genau wie bei mir, aber ich behaupte mal, wenn du dies während unterschiedlicher Computersitzungen mehrfach versuchst, wird der Guard die Datei auch mal ungehindert durchlassen.

@Claudia: Das würde für mich aber bedeuten, dass der Echtzeitschutz einen Bug hat und ich frage mich ob die Leute von Avira das wissen. Gibt es hier im Forum keinen Avira-Experten, der dazu was sagen kann?

Der Beitrag wurde von dietlmann bearbeitet: 16.04.2014, 19:51

[Mike]

Es werden jetzt die Befürworter gleich schreiben, das sie es schon lange benutzen und immer geschützt waren, könnte aber genug
Gegenbeispiele aus meinem Umfeld nennen, wo das nicht der Fall war.

Claudia da meinst du bestimmt mich damit gel , und ja ich nutze es seit Jahren ohne Probleme und auch in zahlreichen Tests schneidet es gerade von der Erkennung her immer sehr gut ab, und landet zusammen mit Bitdefender und Kaspersky in der Spitzenklasse , und ich glaube mehr braucht man dazu auch nicht sagen und habe da auch keine Lust dazu mehr zu sagen.

Der Beitrag wurde von Mike bearbeitet: 16.04.2014, 20:08

[Solution-Design]

@Solution-Design: Du hast Recht, es kommt darauf an, was mit in den Installer gepackt wird. Wenn du den Download direkt von der Free Opener-Website machst, schlägt zumindest der On-Demand-Scanner immer an, und bei etwas Glück auch der Echtzeitschutz (Du musst natürlich alle Gefahrenkategorien aktiviert haben.)

Wer mach denn so was? Alles mögliche einschalten, bedeutet auch bei Avira => lahme Kiste draus machen Stimmt aber, bei mir war es Avira-Free mit Standard-Einstellungen, also den vorgegebenen. Wichtig bei AVs ist, dass sie in Standardeinstellungen auf richtige Böslinge mit echter Verbreitung reagieren. Adware ist da ja nicht mal böse. Die deinstalliert man wieder und gut ist. Und das man bei Programminstallationen auf die (evtl. unerwünschten) Beilagen achten muss, ist ja nicht erst seit Gestern neu.

Habe Avira ja schon Jahre nicht mehr installiert. Wusste gar nicht, wie lahm das Produkt geworden ist. Im Vergleich zu NOD32 ist die VM ein "mit angezogener Handbremse-PC" geworden. Egal ob schneller Scan, oder Signatur-Update...weia. So was kann man ja nicht wirklich empfehlen. Egal, ist OT.

[dietlmann]

@Solution-Design: Ich finde es gut, wenn AVs auch vor Adware warnen. Ja, ich persönlich würde mir sogar einen noch konsequenteren Schutz wünschen. Schau mal in die Foren, die sind voll mit Leuten, die die Kiste voller Adware zugemüllt haben und das Zeug nicht mehr entfernt bekommen. Mit einer einfachen Deinstallation ist es oft nicht getan. Und Avira läuft auf dem Win8.1-Laptop meiner Tochter durchaus performant, auch mit erweiterten Gefahrenkategorien.

[Der Moloch]

Du musst natürlich alle Gefahrenkategorien aktiviert haben.

Wer mach denn so was? Alles mögliche einschalten, bedeutet auch bei Avira => lahme Kiste draus machen

Ob das Programm nun PUPs erkennt oder nicht, sollte keinen Einfluss auf die Geschwindigkeit haben.

Der Beitrag wurde von Der Moloch bearbeitet: 16.04.2014, 21:25

[Solution-Design]

Menschen, welche ihren PC mit Adware "vollmüllen" bekommen diese auch nicht deinstalliert, wenn man ihnen jeden zu bedienenden Knopf vorsagt. Und falls doch, haben sie es morgen wieder vergessen. Die wenige Browser-Adware, welche es in die News schafft, Deltsa Search mal genannt, die ist zu vernachlässigen. Die PC-Sicherheit einem AV auszuhändigen, auch darüber wurde schon genug gesagt/geschrieben.

Performance...ja, mag sein, dass das Programm als "noch gut" bezeichnet werden darf. Ich benutze nichts dergleichen, bin somit immer wieder überrascht, was die Dinger für Bremsen sind.

Zum Thema. So langsam gehen mir die Optionen aus. Avira auf "Jungblut redet - Volle Pulle gestellt". Ergebnis des Downloads der Herstellerseite, als auch Chip:

Avira Free Antivirus
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira Antivirus Free
Seriennummer : 0000149996-AVHOE-0000001
Plattform : Microsoft Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Beginne mit der Suche in 'C:\Dokumente und Einstellungen\User\Desktop\freeopener2.0.1.0.exe'
Beginne mit der Suche in 'C:\Dokumente und Einstellungen\User\Desktop\freeopener_d2197264.exe'
Ende des Suchlaufs: Mittwoch, 16. April 2014 21:56
Benötigte Zeit: 00:00 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
0 Verzeichnisse wurden überprüft
12 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
12 Dateien ohne Befall
13 Archive wurden durchsucht

Und nun?

Edit: Das Adware erkannt wird, siehe Screenshot



Der Beitrag wurde von Solution-Design bearbeitet: 16.04.2014, 21:29

[dietlmann]

@Solution-Design: Das ist merkwürdig. Wie bei Jeannie87 schlägt Avira hier lokal an und auch unter Virustotal.

Der Beitrag wurde von dietlmann bearbeitet: 16.04.2014, 21:56

[Gast_claudia_*]

Claudia da meinst du bestimmt mich damit gel , und ja ich nutze es seit Jahren ohne Probleme und auch in zahlreichen Tests schneidet es gerade von der Erkennung her immer sehr gut ab, und landet zusammen mit Bitdefender und Kaspersky in der Spitzenklasse , und ich glaube mehr braucht man dazu auch nicht sagen und habe da auch keine Lust dazu mehr zu sagen.

nein wieso auch, du benutzt doch jetzt eine anständige Schutzlösung

[Solution-Design]

Das ist merkwürdig. Wie bei Jeannie87 schlägt Avira hier lokal an und auch unter Virustotal.

Nicht merkwürdig. Ich habe noch etwas übersehen. Sollte mal wieder Scanner installieren, kenne ja nicht mal mehr alle Optionen ...grrr...



Obig hast du sicher "alle" ausgewählt. Nun, das habe ich jetzt auch mal und dann erfolgt das nächste Bild nach wenigen Sekunden:


Nach weiteren Sekunden dies:


Also, Avira macht alles das, was der User wünscht. OnAccess.

Edit:

@Jeannie87: Genau wie bei mir, aber ich behaupte mal, wenn du dies während unterschiedlicher Computersitzungen mehrfach versuchst, wird der Guard die Datei auch mal ungehindert durchlassen.

Das habe ich jetzt x-mal inkl. Neu-Boot, oder ohne Boot ausprobiert. Das einzige, was aufgefallen ist, dass eine Datei einige Sekunden später erkannt wurde (Eine Datei, welche sich schon auf dem PC befand, mit der Maus überfahren wurde). Also Fazit: Avira macht das, was es soll. Empfehlenswerte Free-Version.

Der Beitrag wurde von Solution-Design bearbeitet: 16.04.2014, 22:39

[dietlmann]

@Solution-Design: Funktioniert bei mir auch in neun von zehn Fällen. Ich habe noch keine richtig erkennbaren Zusammenhänge ausmachen können. Nur folgendes: Wenn es einmal funktioniert, funktioniert es während einer Computersitzung immer. Mal startest du den Computer und dann funktioniert es auf einmal nicht. Und auch wenn du es erneut versuchst funktioniert es nicht. Ich habe den Verdacht, dass es evtl. nach einem Signatur-Update auftritt, aber wie gesagt nur ein Verdacht. Trotzdem Danke für deine Bemühungen

[Solution-Design]

9 von 10 Neustarts. Das sieht nach einem alten Windows-Problem aus, welches sich bis einschl. Windows 7 durchgequält hat. Programme werden -aus welchen Gründen auch immer- nicht vollständig geladen. Macht sich besonders gern bemerkbar, wenn der PC durchstartet, bis auf den Desktop. Das hat sich mit Windows 8 geändert. Bis hin zu Autostarts, kommt es zu einem verzögertem Boot. Seither kenne ich keine Probleme, das irgendein Programm nicht das tut, was es soll.

Findige "Wie bekomme ich Windows schneller"-Freaks haben das dann wieder über "StartupDelayInMSec"=dword:00000000 rückgängig zu schalten gewusst; allerdings holt man sich definitiv wieder das uralte Problem an Bord. Oftmals hilft unter < Win 8 eine vollständige Defragmentierung, oder ab-/anmelden.

Wenn somit ein 10-maliges Ab- und wieder Anmelden inkl. Prüfung bei dir zu einem ähnlichen Ergebnis führt, dann "könnte" es an Avira liegen.

[SkeeveDCD]

Ok, hier ist der Avira Mitarbeiter

Der Bug ist *sehr* interessant für uns! Wir brauchen aber mehr Informationen um das Problem zu reproduzieren:

* Welcher Browser wurde benutzt?
* Wurden spezielle Plugins oder Download Helper benutzt?
* Welche Version und Komponenten von Avira waren installiert bzw. aktiviert/deaktiviert?

Sehr hilfreich wäre das Log des Avira Support Collectors, wenn möglich das bitte an heuristik2@avira.com schicken!

BTW, damit diese Erkennung angezeigt wird, muss die Erkennungskategorie APPL eingeschaltet sein. Und diese Kategorie ist genau für derartige Software gedacht, die haufenweise "fragwürdige" Bonus-Software mitinstalliert.

APPL ist per Default aus.