Des problèmes de compatibilité peuvent se produire lorsque des applications tierces injectent des processus McAfee

Articles techniques ID: KB83123
Date de la dernière modification : 2021-11-30 19:39:54 Etc/GMT

Environnement

McAfee Agent 5.x
McAfee Endpoint Security 10.x
McAfee Threat Intelligence Exchange module pour VirusScan Enterprise 1.x
McAfee VirusScan Enterprise 8.8 Mise à jour 4 HotFix 929019
McAfee VirusScan Enterprise 8.8 Mise à jour 5 et versions ultérieures

Tous les produits McAfee ci-dessus utilisent SysCore. Tous les produits McAfee pris en charge utilisant SysCore incluent désormais un build ultérieur de SysCore que la version minimale de 15.3, dans laquelle l’autoprotection a été introduite.

Les applications d’accrochage tierces incluent^an:

Avecto Privilege Guard
BeyondTrust

^an Cette liste sera mise à jour à mesure que d’autres applications d’accrochage tierces sont identifiées.

Synthèse

Les produits McAfee incluent des mécanismes d’autoprotection qui empêchent la falsification avec les fichiers, les dossiers, les processus, les entrées de Registre et les fichiers exécutables McAfee. Des mécanismes d’autoprotection sont nécessaires pour fournir et maintenir un niveau élevé de sécurité et d’approbation dans le logiciel, en particulier pour la sécurisation contre les attaques de logiciels malveillants.

Certaines applications logicielles tierces sont susceptibles d’injecter ou de « raccorder McAfee » des processus, ou d’essayer de charger leur propre code (DLL) dans le processus McAfee. Les applications tierces peuvent utiliser des techniques d’accrochage pour fournir davantage de fonctionnalités à l’utilisateur ou à l’administrateur. Mais il n’existe pas de raison légitime de l’accrochage des services de niveau système McAfee protégés.

Bien que ce comportement soit similaire à une attaque par logiciel malveillant, du point de vue du fournisseur tiers, le application tiers se comporte comme prévu. Elle fournit des fonctionnalités qui prennent en charge l’objectif du application tiers. Les fournisseurs tiers reconnaissent qu’ils n’ont pas besoin de raccorder tous les processus, et un grand nombre d’entre eux fournissent un paramètre de compatibilité qui permet d’exclure des processus spécifiques de l’injection avec leur code.

Des effets néfastes peuvent se produire lorsque du code tiers non approuvé injecte ou intercepte les services McAfee protégés. Les problèmes connus incluent les blocages de système nécessitant une correction manuelle.

Problème

Les problèmes suivants peuvent se produire lorsque des applications tierces non approuvées injectent ou accrochent des services McAfee protégés :

Le système ne répond pas au démarrage.
Le chargement du poste de travail Windows échoue.
Un interblocage se produit après l’installation de McAfee Agent 5.xEndpoint Security 10.xVirusScan Enterprise 8.8 Mise à jour 4 HotFix 929019 ou VirusScan Enterprise 8.8 Mise à jour 5 et versions ultérieures.
Un changement de réputation qui se produit lors de l’utilisation de Threat Intelligence Exchange, peut provoquer l’échec du nettoyage d’un PE en cours d’exécution (exécutable portable) qui a été jugé malveillant après l’exécution.
Les performances sont faibles, par exemple une expérience utilisateur lente.

Modification du système

L’un des produits suivants a été installé :

McAfee Agent 5.x
Endpoint Security 10.x
VirusScan Enterprise 8.8 Mise à jour 4 HotFix 929019
VirusScan Enterprise 8.8 Mise à jour 5 et versions ultérieures
Threat Intelligence Exchange module pour VirusScan Enterprise 1.x

Solution 1

McAfee vous permet de faire confiance au certificat numérique d’un produit tiers. Pour obtenir des informations et des risques associés à cette action, reportez-vous à la solution 1, Etape 2 "résoudre le problème de application tiers (Hook)" dans : KB74176-application DLL tierce partie non signée (ID d’événement 514/516/519).

Solution 2

Bloquez le raccordement des processus McAfee en consultant le fournisseur tiers pour obtenir les options de configuration disponibles.

Les processus de McAfee suivants ne doivent pas être injectés. Cette liste n’est pas exhaustive. Utilisez le gestionnaire des tâches pour vérifier quels processus McAfee sont en cours d’utilisation dans votre environnement.

Processus	Chemin d’accès complet
dxlservice.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservice.exe
dxlservicemonitor.exe	C:\Program Files\McAfee\Data_Exchange_Layer\bin\dxlservicemonitor.exe
fcag.exe	C:\Program Files\McAfee\DLP\Agent\fcag.exe
fcags.exe	C:\Program Files\McAfee\DLP\Agent\fcags.exe
fcagte.exe	C:\Program Files\McAfee\DLP\Agent\fcagte.exe
fcagswd.exe	C:\Program Files\McAfee\DLP\Agent\fcagswd.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\fcpst.exe
fcagd.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcagd.exe
fcpst.exe	C:\Program Files\McAfee\DLP\Agent\x86\fcpst.exe
macmnsvc.exe	C:\Program Files\McAfee\Agent\macmnsvc.exe
macompatsvc	C:\Program Files\McAfee\Agent\x86\macompatsvc.exe
masvc.exe	C:\Program Files\McAfee\Agent\masvc.exe
mcshield.exe	C:\Program Files\Common Files\McAfee\AVSolution\mcshield.exe
mctray.exe	C:\Program Files\McAfee\Agent\x86\mctray.exe
mfeatp.exe	C:\Program Files\McAfee\Endpoint Security\Adaptive Threat Protection\mfeatp.exe
mfeesp.exe	C:\Program Files\McAfee\Endpoint Security\Endpoint Security Platform\mfeesp.exe
mfefire.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfefire.exe
mfefw.exe	C:\Program Files\McAfee\Endpoint Security\Firewall\mfefw.exe
mfemactl.exe	C:\Program Files\McAfee\Agent\x86\mfemactl.exe
mfemms.exe	C:\Program Files\Common Files\McAfee\SystemCore\mfemms.exe
mfetp.exe	C:\Program Files\McAfee\Endpoint Security\Threat Prevention\mfetp.exe
mfevtps.exe	C:\Windows\System32\mfevtps.exe
mfewc.exe	C:\Program Files\McAfee\Endpoint Security\Web Control\mfewc.exe
TIEService.exe	C:\Program Files\McAfee\TIEM\TIEService.exe

Solution 3

Produit tiers : Avecto Privilege Guard

Trois options sont disponibles pour ce produit tiers :

Option 1: Ajoutez des fichiers binaires McAfee à la liste exclusion de l’injection de protection des privilèges Avecto. Obtenu en modifiant le registre sur le poste client
Option 2: Ajoutez des fichiers binaires McAfee à la liste d’exclusion de l’injection de protection des privilèges Avecto en modifiant le registre à l’aide d’une stratégie d’objet stratégie de groupe (GPO).
Option 3 : ajoutez des fichiers binaires McAfee à la liste des exclusion d’injection de Avecto Privilege Guard dans les extension ePO fournis par Avecto

Veuillez L’option 2 et 3 est en conflit avec les autres si vous utilisez les deux, et si les stratégies sont différentes.

Option 1 : Ajoutez des fichiers binaires McAfee à la liste exclusion d’injection de protection des privilèges Avecto. Obtenu en modifiant le registre sur le poste client

ATTENTION : Cet article contient des informations sur l’ouverture ou la modification du Registre.

Les informations suivantes sont destinées aux administrateurs système. Les modifications apportées au Registre sont irréversibles et peuvent causer des défaillances du système si elles ne sont pas effectuées correctement.
Avant de poursuivre, le Support technique vous recommande fortement de sauvegarder votre Registre et de bien connaître la procédure de restauration. Pour plus d’informations, reportez-vous à l’article Microsoft Windows informations de Registre pour les utilisateurs expérimentés.
N'exécutez pas de fichier .REG si vous n'êtes pas certain qu'il s'agit d'un fichier d'importation de Registre authentique.

Appuyez sur Windows + R, saisissez regedit, puis cliquez sur OK.
Accédez à l’emplacement de Registre suivant :

HKEY_LOCAL_MACHINE\SOFTWARE\Avecto\Privilege Guard Client\
Cliquez sur Modifier, Nouveau, Valeur de chaînes multiples et nommez la nouvelle entrée de Registre DriverHookExclusions.
Cliquez avec le bouton droit sur DriverHookExclusions et sélectionnez Modifier.
Dans la Données de la valeur , ajoutez les chemins d’accès complets au fichier, à partir de la solution 2.

Veuillez Séparez les chemins d’accès des fichiers complets par un retour chariot ; sont existant Utilisez des virgules. Les chemins d’accès complets et les processus sont sensibles à la casse.
Cliquez sur OK.
Répétez les étapes 2 à 6 pour l’emplacement de Registre suivant :

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Avecto\Privilege Guard Client\
Redémarrez le système.

Option 2 : Ajoutez des fichiers binaires McAfee à la liste d’exclusion de l’injection de protection des privilèges Avecto en modifiant le registre à l’aide d’une stratégie d’objet stratégie de groupe (GPO).

ATTENTION : Cet article contient des informations sur l’ouverture ou la modification du Registre.

Les informations suivantes sont destinées aux administrateurs système. Les modifications apportées au Registre sont irréversibles et peuvent causer des défaillances du système si elles ne sont pas effectuées correctement.
Avant de poursuivre, le Support technique vous recommande fortement de sauvegarder votre Registre et de bien connaître la procédure de restauration. Pour plus d’informations, reportez-vous à l’article Microsoft Windows informations de Registre pour les utilisateurs expérimentés.
N'exécutez pas de fichier .REG si vous n'êtes pas certain qu'il s'agit d'un fichier d'importation de Registre authentique.

Dans la console de gestion Avecto Privilege Guard, accédez à Configuration de l’ordinateur, Politique.
Cliquez avec le bouton droit sur Paramètres de protection contre les privilèges et sélectionnez Paramètres de l'agent avancés.
Sélectionnez 64-valeurs Agent bits dans la Modifier liste déroulante dans la partie inférieure gauche de la fenêtre.
Cliquez sur Ajouter une valeur et nommez la nouvelle entrée de Registre HookExclusions.
Sélectionnez Multi-String dans la Type Column.
Double-cliquez sur la Données de la valeur Column.
Dans la Données de la valeur , ajoutez les noms des processus à partir de la solution 2.

Veuillez Séparez les noms de processus par un retour chariot. sont existant Utilisez des virgules. Les noms des processus sont sensibles à la casse.
Cliquez sur OK.

Cette stratégie de groupe est appliquée comme n’importe quelle autre stratégie de groupe. La modification est d’abord répliquée sur tous les contrôleurs de domaine. Ensuite, les clients recherchent les mises à jour des stratégies toutes les 90 minutes. Ou, les stratégies sont mises à jour après un redémarrage ou une connexion. Pour rechercher manuellement les mises à jour de stratégie, exécutez gpupdate a partir d’une invite de commande. Pour forcer une mise à jour des stratégies, que les stratégies aient été modifiées ou non, exécutez gpupdate /force a partir d’une invite de commande.

Clause d'exclusion de responsabilité

Le contenu du présent article a été rédigé en anglais. En cas de divergences entre la version anglaise et sa traduction, la version en anglais prévaut. Certaines parties de ce contenu ont été traduites par le moteur de traduction automatique de Microsoft.

Produits affectés

Langues :

Cet article est disponible dans les langues suivantes :

Knowledge Center

Des problèmes de compatibilité peuvent se produire lorsque des applications tierces injectent des processus McAfee

Environnement

Synthèse

Problème

Modification du système

Solution 1

Solution 2

Solution 3

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Title

Title

Knowledge Center

Des problèmes de compatibilité peuvent se produire lorsque des applications tierces injectent des processus McAfee

Environnement

Synthèse

Problème

Modification du système

Solution 1

Solution 2

Solution 3

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Choisissez votre région

Title

Title