Compatibiliteitsprobleem met hookingtoepassingen van derden wanneer SYSCore 15.3 is geïnstalleerd

Technische artikelen ID: KB83123
Laatst gewijzigd: 30-11-2021

Omgeving

McAfee Agent (MA) 5.0 (gebruikt SYSCore 15.3)
McAfee Endpoint Security (ENS) 10.0 (gebruikt SYSCore 15.3)

McAfee VirusScan Enterprise (VSE) 8.8 Patch 4 Hotfix 929019 (gebruikt SYSCore 15.3)

OPMERKING: VSE 8.8 Patch 4 Hotfix 929019 is vereist voor integratie met Threat Intelligence Exchange (TIE) 1.0.

Hookingtoepassingen van derden zijn onder andere*:

Avecto Privilege Guard

*Deze lijst wordt bijgewerkt wanneer er andere hookingtoepassingen van derden bekend zijn.

Samenvatting

McAfee-producten beschikken over zelfbeschermingsmechanismen om te voorkomen dat er wordt geknoeid met bestanden, mappen, processen, registervermeldingen en uitvoerbare bestanden van McAfee. Zelfbeschermingsmechanismen zijn nodig om een hoog beveiligingsniveau en vertrouwen in de software te bieden en te behouden en vooral als bescherming tegen malwareaanvallen.

Sommige toepassingen van derden kunnen McAfee-processen (proberen te) hooken door hun eigen code (een DLL-bestand) te laden in een McAfee-proces. Toepassingen van derden kunnen gebruikmaken van hookingtechnieken om extra functionaliteit toe te voegen voor de gebruiker of de beheerder, maar er is geen legitieme geldige reden voor het hooken van beschermde services van McAfee op systeemniveau.

Hoewel dit gedrag veel lijkt op een malwareaanval, gedraagt de toepassing van derden zich zoals de leverancier van de toepassing verwacht en voegt deze functionaliteit toe waarvoor de toepassing is bedoeld. Leveranciers van dergelijke toepassingen erkennen dat ze niet alle processen hoeven te hooken en veel leveranciers bieden een compatibiliteitsinstelling waarmee u kunt zorgen dat hun code niet wordt geïnjecteerd in specifieke processen.

Er ontstaat een probleem wanneer niet-vertrouwde code van derden bepaalde beveiligde McAfee-services probeert te injecteren of te hooken tijdens het opstarten of tijdens de initialisatie van die McAfee-services. Hierdoor kan een deadlocksituatie in het systeem ontstaan die handmatig moet worden opgelost.

Probleem

Het volgende probleem kan optreden wanneer een niet-vertrouwde toepassing van derden bepaalde beveiligde McAfee-services probeert te injecteren of te hooken:

Het systeem reageert niet meer of start opnieuw op.
Het bureaublad van Windows wordt niet geladen.
Er treedt een deadlocksituatie op na de installatie van McAfee Agent 5.0, Endpoint Security 10.0 of VirusScan Enterprise 8.8 Patch 4 Hotfix 929019.

Systeemwijziging

Een of meer van de volgende toepassingen zijn geïnstalleerd:

McAfee Agent 5.0
Endpoint Security 10.0
VirusScan Enterprise 8.8 Patch 4 Hotfix 929019

Oplossing 1

Vertrouw het digitale certificaat van het product van derden. Zie Oplossing 1, stap 2 "Het probleem met een toepassing van derden (hook) oplossen" in KB74176 voor informatie en de risico's bij het uitvoeren van deze actie.

Oplossing 2

Product van derden: Avecto Privilege Guard

Er zijn drie opties voor dit product:

Optie 1: voeg binaire bestanden van McAfee toe aan de lijst met uitsluitingen voor injectie door Avecto Privilege Guard door het register op het eindpunt te wijzigen
Optie 2: voeg binaire bestanden van McAfee toe aan de lijst met uitsluitingen voor injectie door Avecto Privilege Guard door het register te wijzigen met behulp van een GPO-beleid (Group Policy Object)
Optie 3: voeg binaire bestanden van McAfee toe aan de lijst met uitsluitingen voor injectie door Avecto Privilege Guard in de ePO-extensie die Avecto heeft geleverd

OPMERKING: optie 2 en 3 zijn met elkaar in conflict als u beide opties gebruikt en het beleid verschillend is.

Optie 1: voeg binaire bestanden van McAfee toe aan de lijst met uitsluitingen voor injectie door Avecto Privilege Guard door het register op het eindpunt te wijzigen

CAUTION: Dit artikel bevat informatie over het openen of wijzigen van het register.

De volgende informatie is bedoeld voor systeembeheerders. Aanpassingen in het register kunnen niet meer ongedaan worden gemaakt en kunnen een systeemfout veroorzaken als ze niet goed worden uitgevoerd.
Technische ondersteuning adviseert ten zeerste om een back-up te maken van uw register voordat u doorgaat. Zorg ook dat u weet hoe u het herstelproces moet uitvoeren. Raadpleeg http://support.microsoft.com/kb/256986 voor meer informatie.
Voer geen REG-betand uit waarvan u niet zeker weet dat het een echt importbestand voor het register is.

Klik op Starten en Uitvoeren, typ regedit en klik op OK.
Ga naar:

HKEY_LOCAL_MACHINE\SOFTWARE\Avecto\Privilege Guard Client\
Klik op Bewerken, Nieuw, Waarde met meerdere tekenreeksen en geef de nieuwe registervermelding de naam HookExclusions.
Klik met de rechtermuisknop op HookExclusions en selecteer Wijzigen.
Voeg in het veld Waardegegevens de volgende procesnamen toe:

mfemms.exe
mfevtps.exe
mfefire.exe

OPMERKING: scheid de procesnamen met een regeleinde, gebruik geen komma's.
Klik op OK.
Start het systeem opnieuw op om de wijziging toe te passen.

Optie 2: voeg binaire bestanden van McAfee toe aan de lijst met uitsluitingen voor injectie door Avecto Privilege Guard door het register te wijzigen met behulp van een GPO-beleid (Group Policy Object)

CAUTION: Dit artikel bevat informatie over het openen of wijzigen van het register.

De volgende informatie is bedoeld voor systeembeheerders. Aanpassingen in het register kunnen niet meer ongedaan worden gemaakt en kunnen een systeemfout veroorzaken als ze niet goed worden uitgevoerd.
Technische ondersteuning adviseert ten zeerste om een back-up te maken van uw register voordat u doorgaat. Zorg ook dat u weet hoe u het herstelproces moet uitvoeren. Raadpleeg http://support.microsoft.com/kb/256986 voor meer informatie.
Voer geen REG-betand uit waarvan u niet zeker weet dat het een echt importbestand voor het register is.

Navigeer in de beheerconsole van Avecto Privilege Guard naar Computerconfiguratie, Beleid.
Klik met de rechtermuisknop op Instellingen van Privilege Guard en selecteer Geavanceerde instellingen van agent.
Selecteer 64-bits waarden van agent in de vervolgkeuzelijst Bewerken linksonder in het venster.
Klik op Waarde toevoegen en geef de nieuwe registervermelding de naam HookExclusions.
Selecteer Meerdere tekenreeksen in de kolom Type.
Dubbelklik in de kolom Waardegegevens.
Voeg in het veld Waardegegevens de volgende procesnamen toe:

mfemms.exe
mfevtps.exe
mfefire.exe

OPMERKING: scheid de procesnamen met een regeleinde, gebruik geen komma's.
Klik op OK.

Dit groepsbeleid wordt toegepast zoals elk ander groepsbeleid. Eerst wordt de wijziging gerepliceerd naar alle domeincontrollers. Daarna controleren de clients ongeveer elke 90 minuten of er beleidsupdates zijn. Het beleid wordt ook bijgewerkt na opnieuw opstarten en opnieuw aanmelden. Als u handmatig wilt controleren of er beleidsupdates zijn, voert u gpupdate uit vanaf een opdrachtprompt. Als u een beleidsupdate wilt forceren, of het beleid nu is gewijzigd of niet, voert u gpupdate /force uit vanaf een opdrachtprompt.

ontkenning

De inhoud van dit artikel is oorspronkelijk in het Engels uitgebracht. Als er verschillen zijn tussen de Engelse inhoud en de vertaling, is de Engelse inhoud altijd het meest accuraat. Een deel van deze inhoud is het resultaat van het gebruik van de machinevertaling van Microsoft.

Betrokken producten

Talen:

Dit artikel is beschikbaar in de volgende talen:

Knowledge Center

Compatibiliteitsprobleem met hookingtoepassingen van derden wanneer SYSCore 15.3 is geïnstalleerd

Omgeving

Samenvatting

Probleem

Systeemwijziging

Oplossing 1

Oplossing 2

ontkenning

Betrokken producten

Talen:

Title

Title

Knowledge Center

Compatibiliteitsprobleem met hookingtoepassingen van derden wanneer SYSCore 15.3 is geïnstalleerd

Omgeving

Samenvatting

Probleem

Systeemwijziging

Oplossing 1

Oplossing 2

ontkenning

Betrokken producten

Talen:

Kies uw regio

Title

Title