Merkwürdiges Verhalten des Avira Echtzeitschutzes Einstellungen

[dietlmann]

Ich habe vor kurzem eher zufällig eine merkwürdige Erfahrung mit dem Avira-Echtzeitschutz gemacht. Auf dem Computer meiner Tochter hat der Avira Guard den Download eines adware-verseuchten Programms blockiert. Das Programm nennt sich Free Opener und ist wohl auch als Adware bekannt. So weit, so gut! Meine Tochter wollte mir dann noch einmal zeigen, was sie gemacht hat und wir haben den Download erneut angeklickt, in der Erwartung, der Echtzeitschutz schlägt wieder an. Doch das Setup-Programm (eine EXE) ließ sich ohne Reaktion von Avira herunterladen und speichern, obwohl die Adware-Erkennung eingeschaltet ist. Beim manuellen Scan wurde die Setup-Datei dann auch direkt als infiziert erkannt. Dieses für mich sonderbare Verhalten des Echtzeitschutzes hat mich etwas beunruhigt und ich habe den Download der selben Setup-Datei in der Folge mehrfach während unterschiedlicher Computersitzungen versucht. In den meisten Fällen schreitet der Guard wie erwünscht beim Speichern der Datei ein. Doch wiederholt landete das EXE-File unbehelligt auf dem PC ohne Intervention des Wächters und immer war der von mir anschließend getätigte manuelle Scan positiv. Wie ist das technisch zu erklären? Arbeitet der Echtzeitschutz hier unzuverlässig? Habe diese Frage auch schon im Avira-Forum gestellt, aber keine für mich befriedigende Antwort bekommen.

[SkeeveDCD]

In keinen dieser Beiträge wird On-Execute erwähnt. Wenn ich dich richtig verstehe, willst du Scan ONLY on-execute der Performance wegen, oder?
Falls ja, was ist mit Scripten, Dokumenten, Exploits in Java, Flash, PDF? Alle diese Dateien werden nicht "executed", es gibt nur Datei öffnen (oder anlegen).

Das Problem bei diesen Optionen ist, das die User nicht wirklich einschätzen können, wie sehr sie damit die Schutzfaktor verändern und potentiell zu sehr einschränken.

Aber ich bin auch kein Fan davon, den Usern zu bevormunden.

[SLE]

betreff: on-execute
In Avira hieß die Option doch "beim lesen", die Alternative war "lesen und schreiben" - das gibt es nicht mehr?
Und sowas greift doch dann, je nach Implementierung, beim öffnen aller Dateitypen und prüft auch was denn da ausgeführt wird. Denn die ganze Exploitproblematik beruht doch auch nur im Wesentlichen darauf, dass Scripte a.) etwas erstellen und/oder b.) Code ausführen.

Scanner die immer on-access rumrattern, nur weil etwas gespeichert wird oder von A nach B kopiert, ok für den der es will. Aber eine Nichtdeaktivierbarkeit hierbei ist in meinen Augen eine Bevormundung.