Problemas de compatibilidade podem ocorrer quando aplicativos de terceiros injetam processos de McAfee

Artigos técnicos ID: KB83123
Última modificação: 30/11/2021

Ambiente

McAfee Agent 5.x
McAfee Endpoint Security 10.x
Módulo McAfee Threat Intelligence Exchange para VirusScan Enterprise 1.x
McAfee VirusScan Enterprise 8.8 Atualização 4 Hotfix 929019
McAfee VirusScan Enterprise 8.8 Atualização 5 e versões posteriores

Todos os produtos McAfeedos acima usam o SysCore. Todos os produtos de McAfee compatíveis que usam o SysCore agora incluem uma compilação mais recente do SysCore do que a versão mínima do 15.3, no qual a autoproteção foi introduzida.

Os aplicativos de interceptação de terceiros incluem¹:

Proteção de privilégios Avecto
BeyondTrust

¹ Essa lista será atualizada à medida que outros aplicativos de interceptação de terceiros forem identificados.

Resumo

Os produtos da McAfee incluem mecanismos de autoproteção para impedir a adulteração de McAfee arquivos, pastas, processos, entradas de registro e executáveis. Os mecanismos de autoproteção são necessários para fornecer e manter um alto nível de segurança e confiança no software, especialmente para proteção contra ataques de malware.

Alguns aplicativos de software de terceiros podem injetar ou "interceptar" McAfee processos, ou tentar, carregando seu próprio código (uma DLL) para o processo de McAfee. Aplicativos de terceiros podem usar técnicas de interceptação como um meio de fornecer mais funcionalidade ao usuário ou administrador. No entanto, não há motivo legítimo para interceptar os McAfee serviços de nível de sistema protegidos.

Embora esse comportamento seja semelhante a um ataque de malware, a partir do ponto de vista do fornecedor terceirizado, o aplicativo de terceiros está apenas se comportando como esperado. Ele fornece funcionalidades que suportam a finalidade do aplicativo de terceiros. Os fornecedores de terceiros reconhecem que não precisam interceptar todos os processos, e muitos fornecem uma configuração de compatibilidade que permite excluir processos específicos de serem injetados com seu código.

Efeitos adversos podem ocorrer quando um código de terceiros não confiável injeta ou engancha os serviços de McAfee protegidos. Os problemas conhecidos incluem deadlocks do sistema que requerem correção manual.

Problema

Os problemas a seguir podem ocorrer quando aplicativos de terceiros não confiáveis injetam ou interceptam serviços de McAfee protegidos:

O sistema não está respondendo na inicialização.
Falha no carregamento da área de trabalho do Windows.
Ocorre um deadlock após A instalação do McAfee Agent 5.xEndpoint Security 10.xVirusScan Enterprise 8.8 Atualização 4 Hotfix 929019 ou VirusScan Enterprise 8.8 Atualização 5 e versões posteriores.
Uma alteração de reputação que ocorre ao usar Threat Intelligence Exchange, pode resultar na limpeza com falha de um PE (executável portátil) em execução que tenha sido considerado malicioso após a execução.
Há um desempenho insatisfatório, como uma experiência de usuário lenta.

Alteração de sistema

Qualquer um dos produtos a seguir foi instalado:

McAfee Agent 5.x
Endpoint Security 10.x
VirusScan Enterprise 8.8 Atualização 4 Hotfix 929019
VirusScan Enterprise 8.8 Atualização 5 e versões posteriores
Módulo Threat Intelligence Exchange para VirusScan Enterprise 1.x

Solução 1

A McAfee permite que você confie no certificado digital de um produto de terceiros. Para obter informações e riscos associados a essa ação, consulte a solução 1, etapa 2 "resolver o problema de aplicativo (Hook) de terceiros" em: ARTIGO KB74176-DLL de aplicativo de terceiros não assinada (ID de evento 514/516/519).

Solução 2

Evite a interceptação de processos de McAfee consultando o fornecedor de terceiros para obter as opções de configuração disponíveis.

Os processos de McAfee a seguir não devem ser injetados. Essa lista não é completa. Use a Manager de tarefas para confirmar o que os McAfee processos estão em uso no seu ambiente.

Processos	Caminho totalmente qualificado
dxlservice.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservice.exe
dxlservicemonitor.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservicemonitor.exe
fcag.exe	C:\Program Files\McAfee\DLP\Agent\fcag.exe
fcags.exe	C:\Program Files\McAfee\DLP\Agent\fcags.exe
fcagte.exe	C:\Program Files\McAfee\DLP\Agent\fcagte.exe
fcagswd.exe	C:\Program Files\McAfee\DLP\Agent\fcagswd.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\fcpst.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcpst.exe
macmnsvc.exe	C:\Program Files\McAfee\Agent\macmnsvc.exe
macompatsvc	C:\Program Files\McAfee\Agent\x86\macompatsvc.exe
masvc.exe	C:\Program Files\McAfee\Agent\masvc.exe
mcshield.exe	C:\Program Files\Common Files\McAfee\AVSolution\mcshield.exe
mctray.exe	C:\Program Files\McAfee\Agent\x86\mctray.exe
mfeatp.exe	C:\Program Files\McAfee\Endpoint Security\Adaptive Threat Protection\mfeatp.exe
mfeesp.exe	C:\Program Files\McAfee\Endpoint Security\Endpoint Security Platform\mfeesp.exe
mfefire.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfefire.exe
mfefw.exe	C:\Program Files\McAfee\Endpoint Security\Firewall\mfefw.exe
mfemactl.exe	C:\Program Files\McAfee\Agent\x86\mfemactl.exe
mfemms.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfemms.exe
mfetp.exe	C:\Program Files\McAfee\Endpoint Security\Threat Prevention\mfetp.exe
mfevtps.exe	C:\Windows\System32\mfevtps.exe
mfewc.exe	C:\Program Files\McAfee\Endpoint Security\Web Control\mfewc.exe
TIEService.exe	C:\Program Files\McAfee\TIEM\TIEService.exe

Solução 3

Produto de terceiros: proteção de privilégios Avecto

Há três opções para este produto de terceiros:

Opção 1: Adicione McAfee binários à lista de exclusão de injeção do protetor de privilégios do Avecto. Obtido modificando o registro no ponto de extremidade
Opção 2: Adicionar McAfee binários à lista de exclusão de injeção do protetor de privilégios do Avecto modificando o registro usando uma política de objeto de política de grupo (GPO)
Opção 3: Adicione McAfee binários à lista de exclusão de injeção do protetor de privilégios do Avecto na extensão do ePO fornecida pelo Avecto

INDICADO As opções 2 e 3 entram em conflito entre si se você usar ambas, e se as políticas forem diferentes.

Opção 1: Adicione McAfee binários à lista de exclusão de injeção do protetor de privilégios do Avecto. Obtido modificando o registro no ponto de extremidade

Cuidado Este artigo contém informações sobre como abrir ou modificar o registro.

As informações a seguir destinam-se a Administradores de Sistema. As modificações no registro são irreversíveis e podem causar falhas do sistema caso sejam executadas de forma incorreta.
Antes de continuar, o Suporte técnico recomenda que você faça backup do seu registro e compreenda o processo de restauração. Para obter mais informações, consulte o artigo Microsoft Windows informações sobre o registro para usuários avançados.
Não execute um arquivo REG que não esteja confirmado como um arquivo de importação de registro genuíno.

Pressione Windows + R, digite regedit, e clique em Okey.
Navegue até o seguinte local de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Avecto\Privilege Guard Client\
Clique Edições, Novo, Valor de cadeia múltipla e nomeie a nova entrada do registro DriverHookExclusions.
Clique com o botão direito DriverHookExclusions e selecione Modificá.
Na guia Dados do valor Adicione os caminhos de arquivo completos, a partir da solução 2.

INDICADO Separe os caminhos de arquivo completos com um retorno de carro; fazê válida Use vírgulas. Os caminhos e processos completos diferenciam maiúsculas e minúsculas.
Clique em OK.
Repita as etapas de 2 a 6 para o seguinte local de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Avecto\Privilege Guard Client\
Reinicialize o sistema.

Opção 2: Adicionar McAfee binários à lista de exclusão de injeção do protetor de privilégios do Avecto modificando o registro usando uma política de objeto de política de grupo (GPO)

Cuidado Este artigo contém informações sobre como abrir ou modificar o registro.

As informações a seguir destinam-se a Administradores de Sistema. As modificações no registro são irreversíveis e podem causar falhas do sistema caso sejam executadas de forma incorreta.
Antes de continuar, o Suporte técnico recomenda que você faça backup do seu registro e compreenda o processo de restauração. Para obter mais informações, consulte o artigo Microsoft Windows informações sobre o registro para usuários avançados.
Não execute um arquivo REG que não esteja confirmado como um arquivo de importação de registro genuíno.

No console de gerenciamento do Avecto Privilege Guard, navegue até Configuração do computador, Políticas.
Clique com o botão direito Configurações do protetor de privilégios e selecione Configurações de Agent avançadas.
Selecionados 64 bits Agent valores na guia Edições lista suspensa no canto inferior esquerdo da janela.
Clique Adicionar valor e nomeie a nova entrada do registro HookExclusions.
Selecionados Cadeia múltipla na guia Ferência pilha.
Clique duas vezes na guia Dados do valor pilha.
Na guia Dados do valor , adicione os nomes dos processos a partir da solução 2.

INDICADO Separe os nomes dos processos com um retorno de carro; fazê válida Use vírgulas. Os nomes dos processos diferenciam maiúsculas e minúsculas.
Clique em OK.

Essa política de grupo é aplicada como qualquer outra política de grupo. Primeiro, a alteração é replicada em todos os controladores de domínio. Em seguida, os clientes procuram atualizações de políticas a cada 90 minutos. Ou, as políticas são atualizadas após uma reinicialização ou um logon. Para procurar atualizações de políticas manualmente, execute gpupdate a partir de um prompt de comando. Para forçar uma atualização de política independentemente de as políticas terem sido alteradas, execute gpupdate /force a partir de um prompt de comando.

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Idiomas:

Este artigo está disponível nos seguintes idiomas:

Knowledge Center

Problemas de compatibilidade podem ocorrer quando aplicativos de terceiros injetam processos de McAfee

Ambiente

Resumo

Problema

Alteração de sistema

Solução 1

Solução 2

Solução 3

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Problemas de compatibilidade podem ocorrer quando aplicativos de terceiros injetam processos de McAfee

Ambiente

Resumo

Problema

Alteração de sistema

Solução 1

Solução 2

Solução 3

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title