Se pueden producir problemas de compatibilidad cuando las aplicaciones de terceros inyectan procesos McAfee

Artículos técnicos ID: KB83123
Última modificación: 30/11/2021

Entorno

McAfee Agent 5.x
McAfee Endpoint Security 10.x
McAfee Threat Intelligence Exchange módulo para VirusScan Enterprise 1.x
McAfee VirusScan Enterprise 8.8 Actualización 4 Hotfix 929019
McAfee VirusScan Enterprise 8.8 Actualización 5 y posteriores

Todos los productos McAfee anteriores utilizan SysCore. Todos los productos de McAfee compatibles que utilizan SysCore ahora incluyen una compilación posterior de SysCore que la versión mínima de 15.3, en la que se introdujo la autoprotección.

Entre las aplicaciones de enlace de terceros se incluyen:¹:

Protección de privilegios de Avecto
BeyondTrust

¹ Esta lista se actualizará a medida que se identifiquen otras aplicaciones de enlace de terceros.

Resumen

Los productos McAfee incluyen mecanismos de autoprotección para evitar la manipulación de archivos McAfee, carpetas, procesos, entradas de registro y ejecutables. Los mecanismos de autoprotección son necesarios para proporcionar y mantener un alto nivel de seguridad y confianza en el software, especialmente para protegerlos de malware ataques.

Es posible que algunas aplicaciones de software de terceros inyecten o "enlacen" procesos de McAfee o intenten cargar su propio código (una DLL) en el proceso de McAfee. Las aplicaciones de terceros podrían utilizar técnicas de enlace como medio para proporcionar más funcionalidad al usuario o al administrador. Sin embargo, no existe una razón legítima para conectar los servicios de nivel de sistema protegidos McAfee.

Aunque este comportamiento es similar a un ataque de malware, desde el punto de vista del proveedor de terceros, la aplicación de terceros se comporta de la forma esperada. Proporciona funcionalidad que admite la finalidad de la aplicación de terceros. Los proveedores de terceros reconocen que no necesitan enlazar todos los procesos, y muchas proporcionan una configuración de compatibilidad que permite excluir procesos específicos de la inserción con su código.

Pueden producirse efectos adversos cuando código de terceros que no es de confianza inyectar o enlazar servicios protegidos McAfee. Entre los problemas conocidos se incluyen los interbloqueos del sistema que requieren corrección manual.

Problema

Se pueden producir los problemas siguientes cuando las aplicaciones de terceros que no son de confianza inyectan o enganchen servicios McAfee protegidos:

El sistema no responde durante el arranque.
No se puede cargar el escritorio de Windows.
Se produce un interbloqueo tras la instalación de McAfee Agent 5.xEndpoint Security 10.xVirusScan Enterprise 8.8 Actualización 4 Hotfix 929019 o VirusScan Enterprise 8.8 Actualización 5 y posteriores.
Un cambio de reputación que se produce al utilizar Threat Intelligence Exchange, puede dar lugar a la limpieza fallida de un archivo PE (portable ejecutable) en ejecución que se considere malicioso tras la ejecución.
El rendimiento es deficiente, como por ejemplo, una experiencia de usuario lenta.

Cambio de sistema

Se ha instalado alguno de los siguientes productos:

McAfee Agent 5.x
Endpoint Security 10.x
VirusScan Enterprise 8.8 Actualización 4 Hotfix 929019
VirusScan Enterprise 8.8 Actualización 5 y posteriores
Threat Intelligence Exchange módulo para VirusScan Enterprise 1.x

Solución 1

McAfee le permite confiar en el certificado digital de un producto de terceros. Para obtener información y riesgos asociados con esta acción, consulte la solución 1, paso 2 "resolución del problema de aplicación de terceros (Hook)" en: KB74176-DLL de aplicación de terceros no firmada (ID de evento 514/516/519).

Solución 2

Evite el enlace de procesos de McAfee consultando al proveedor de terceros para ver las opciones de configuración disponibles.

Los siguientes procesos de McAfee no se deben inyectar. Esta lista no es todo. Utilice Manager de tareas para confirmar qué procesos de McAfee se están utilizando en su entorno.

Proceso	Ruta completa
dxlservice.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservice.exe
dxlservicemonitor.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservicemonitor.exe
fcag.exe	C:\Program Files\McAfee\DLP\Agent\fcag.exe
fcags.exe	C:\Program Files\McAfee\DLP\Agent\fcags.exe
fcagte.exe	C:\Program Files\McAfee\DLP\Agent\fcagte.exe
fcagswd.exe	C:\Program Files\McAfee\DLP\Agent\fcagswd.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\fcpst.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcpst.exe
macmnsvc.exe	C:\Program Files\McAfee\Agent\macmnsvc.exe
macompatsvc	C:\Program Files\McAfee\Agent\x86\macompatsvc.exe
masvc.exe	C:\Program Files\McAfee\Agent\masvc.exe
mcshield.exe	C:\Program Files\Common Files\McAfee\AVSolution\mcshield.exe
mctray.exe	C:\Program Files\McAfee\Agent\x86\mctray.exe
mfeatp.exe	C:\Program Files\McAfee\Endpoint Security\Adaptive Threat Protection\mfeatp.exe
mfeesp.exe	C:\Program Files\McAfee\Endpoint Security\Endpoint Security Platform\mfeesp.exe
mfefire.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfefire.exe
mfefw.exe	C:\Program Files\McAfee\Endpoint Security\Firewall\mfefw.exe
mfemactl.exe	C:\Program Files\McAfee\Agent\x86\mfemactl.exe
mfemms.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfemms.exe
mfetp.exe	C:\Program Files\McAfee\Endpoint Security\Threat Prevention\mfetp.exe
mfevtps.exe	C:\Windows\System32\mfevtps.exe
mfewc.exe	C:\Program Files\McAfee\Endpoint Security\Web Control\mfewc.exe
TIEService.exe	C:\Program Files\McAfee\TIEM\TIEService.exe

Solución 3

Producto de terceros: protección de privilegios de Avecto

Existen tres opciones para este producto de terceros:

Opción 1: Agregue archivos binarios de McAfee a la lista de exclusiones de inyección de privilegios de Avecto. Se consigue modificando el registro en el Endpoint
Opción 2: Agregue archivos binarios de McAfee a la lista de exclusión de inyección de privilegios de Avecto modificando el registro mediante una directiva de objeto de directiva de grupo (GPO)
Opción 3: agregar archivos binarios de McAfee a la lista de exclusión de inyección de privilegios de Avecto en la extensión de ePO proporcionada por Avecto

NOTA: La opción 2 y 3 entran en conflicto entre sí si utiliza ambas opciones, y si las directivas son distintas.

Opción 1: Agregue archivos binarios de McAfee a la lista de exclusiones de inyección de privilegios de Avecto. Se consigue modificando el registro en el Endpoint

PRECAUCIÓN: Este artículo contiene información sobre cómo abrir o modificar el registro.

La información siguiente va dirigida a administradores de sistemas. Las modificaciones del Registro son irreversibles y podrían provocar un fallo del sistema si se realizan de modo incorrecto.
Antes de continuar, Soporte técnico le recomienda encarecidamente crear una copia de seguridad del Registro y asegurarse de comprender el proceso de restauración. Para obtener más información, consulte el artículo Microsoft Windows información del registro para usuarios avanzados.
No ejecute ningún archivo REG si no está seguro de que sea un archivo de importación del Registro auténtico.

Pulse Windows + R, escriba regedity haga clic en Aceptar.
Desplácese hasta la siguiente ubicación del registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Avecto\Privilege Guard Client\
Haga clic en Editar, Nuevo, Valor de cadena múltiple y asigne a la nueva entrada de registro el nombre DriverHookExclusions.
Haga clic con el botón derecho DriverHookExclusions y seleccione Escritura.
En Información del valor , agregue las rutas de archivo completas de la solución 2.

NOTA: Separe las rutas de archivo completas con un retorno de carro; tarea no Utilice comas. Las rutas de acceso completas y los procesos distinguen entre mayúsculas y minúsculas.
Haga clic en Aceptar.
Repita los pasos 2 – 6 para la siguiente ubicación del registro:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Avecto\Privilege Guard Client\
Reinicie el sistema.

Opción 2: Agregue McAfee archivos binarios a la lista de exclusión de inyección de privilegios de Avecto modificando el registro mediante una directiva de objeto de directiva de grupo (GPO)

PRECAUCIÓN: Este artículo contiene información sobre cómo abrir o modificar el registro.

La información siguiente va dirigida a administradores de sistemas. Las modificaciones del Registro son irreversibles y podrían provocar un fallo del sistema si se realizan de modo incorrecto.
Antes de continuar, Soporte técnico le recomienda encarecidamente crear una copia de seguridad del Registro y asegurarse de comprender el proceso de restauración. Para obtener más información, consulte el artículo Microsoft Windows información del registro para usuarios avanzados.
No ejecute ningún archivo REG si no está seguro de que sea un archivo de importación del Registro auténtico.

En la consola de administración del protector de privilegios de Avecto, vaya a Configuración del equipo, Las.
Haga clic con el botón derecho Configuración de protección de privilegios y seleccione Configuración de Agent avanzada.
Seleccione Valores de Agent de 64 bits de la Editar lista desplegable situada en la parte inferior izquierda de la ventana.
Haga clic en Agregar valor y asigne a la nueva entrada de registro el nombre HookExclusions.
Seleccione Cadena múltiple En Escriba columnist.
Haga doble clic en el Información del valor columnist.
En Información del valor , agregue los nombres de los procesos de la solución 2.

NOTA: Separe los nombres de los procesos con un retorno de carro; tarea no Utilice comas. Los nombres de los procesos distinguen entre mayúsculas y minúsculas.
Haga clic en Aceptar.

Esta directiva de grupo se aplica como cualquier otra directiva de grupo. En primer lugar, el cambio se replica en todos los controladores de dominio. A continuación, los clientes buscan actualizaciones de directivas sobre cada 90 minutos. O bien, las directivas se actualizan tras un reinicio o un inicio de sesión. Para buscar actualizaciones de directivas manualmente, ejecute gpupdate desde un símbolo del sistema. Para forzar una actualización de directiva independientemente de si las directivas han cambiado, ejecute gpupdate /force desde un símbolo del sistema.

Descargo de responsabilidad

El contenido de este artículo se creó en inglés. En caso de darse cualquier diferencia entre el contenido en inglés y su traducción, el primero siempre será el más preciso. La traducción de algunas partes de este contenido la ha proporcionado Microsoft mediante el uso de traducción automática.

Productos implicados

Idiomas:

Este artículo se encuentra disponible en los siguientes idiomas:

Knowledge Center

Se pueden producir problemas de compatibilidad cuando las aplicaciones de terceros inyectan procesos McAfee

Entorno

Resumen

Problema

Cambio de sistema

Solución 1

Solución 2

Solución 3

Descargo de responsabilidad

Productos implicados

Idiomas:

Title

Title

Knowledge Center

Se pueden producir problemas de compatibilidad cuando las aplicaciones de terceros inyectan procesos McAfee

Entorno

Resumen

Problema

Cambio de sistema

Solución 1

Solución 2

Solución 3

Descargo de responsabilidad

Productos implicados

Idiomas:

Wählen Sie Ihre Region

Title

Title