Problem
Wenn die Bereinigungsoption Ihrer Antiviren-Software "Zugriff verweigern und verschieben nach…" oder "Dateien löschen" lautete, wurden durch die False Positive-Meldung "Shh/Updater-B" unter Umständen verhindert, dass Anwendungen anderer Anbieter, wie etwa Adobe und JavaTM, Updates zu beziehen oder ausgeführt werden können. Unter Umständen sind auch von Endbenutzern installierte Anwendungen betroffen. Dies könnte ein Sicherheitsrisiko darstellen.
In dem Artikel wird erläutert, wie Sie betroffene Anwendungen anderer Anbieter ermitteln und reparieren können.
Hinweis: Wenn die Bereinigungskonfiguration "Nur Zugriff verweigern" lautete, ist der Artikel für Sie nicht relevant.
Möchten Sie Ihre Anti-Virus-Einstellungen überprüfen?
Vorbereitende Schritte
Informieren Sie sich zunächst über das Shh/Updater-B-Problem und reparieren Sie dann Ihre Sophos Anwendungen. Wenn Sie dies bereits erledigt haben, wählen Sie den auf Ihre Situation zutreffenden Link unten aus:
Vorgehensweise
1. Hauptschritte
- Ausführen eines Sophos Skripts auf der Konsole zur Ermittlung betroffener Computer.
- Reparieren von Anwendungen, wenn entsprechende Dateien verschoben wurden.
- Ermitteln von Anwendungen, wenn entsprechende Dateien gelöscht wurden.
- Reparieren von Anwendungen, wenn entsprechende Dateien gelöscht wurden.
2. Ausführen eines Sophos Skripts auf der Konsole zur Ermittlung betroffener Computer.
Verfahren Sie auf dem Management-Server bzw. dem Server mit der Sophos SQL Server-Instanz wie folgt:
- Rechtsklicken Sie auf den Link: fpdf.bat, wählen Sie "Link speichern" oder "Ziel speichern" und wählen Sie als Speicherort den Desktop Ihres Servers.
- Öffnen Sie eine Befehlszeile (klicken Sie auf "Start" > "Ausführen", geben Sie
cmd.exe ein, und klicken Sie auf "OK") und wechseln Sie zum Desktop des Servers (Verzeichnis wechseln: cd).
- Geben Sie folgenden Befehl ein, um die Batch-Datei auszuführen und eine Ausgabetextdatei zu erstellen.
fpdf.bat > FpActionedFiles.txt
Wenn der Befehl ausgeführt wurde, wird eine neue Textdatei auf dem Desktop des Servers mit der Bezeichnung "FpActionedFiles.txt" angezeigt.
- Öffnen Sie "FpActionFiles.txt": Auf allen betroffenen Computern verschobene bzw. gelöschte Dateien werden aufgeführt.
Wenn keine Computerliste vorhanden ist, haben Sie die Datei möglicherweise auf dem falschen Computer ausgeführt. Anhand der Anweisungen im Support-Artikel 113030 können Sie feststellen, ob auf dem Server SQL installiert ist und ob darauf die wichtigsten Sophos Datenbanken gehostet werden.
3. Reparieren von Anwendungen, wenn entsprechende Dateien verschoben wurden.
Wenn Dateien verschoben wurden, können Sie zugehörige Anwendungen mit einem Sophos Skript reparieren. Anweisungen hierzu entnehmen Sie bitte dem Support-Artikel 118323.
Wenn die Bereinigung der Virenschutzsoftware nicht zum Löschen von Dateien konfiguriert wurde, sollten keine weiteren Reparaturen erforderlich sein. Es empfiehlt sich jedoch, das Skript aus dem Support-Artikel 118323 nur für alle Fälle auf allen Endpoints auszuführen.
Wenn Dateien durch die Bereinigungseinstellungen der Virenschutzsoftware gelöscht wurden, fahren Sie bitte mit dem nächsten Abschnitt fort.
4. Ermitteln von Anwendungen, wenn entsprechende Dateien gelöscht wurden
Möglichweise können Sie aus dem Dateipfad und -namen auf die betroffene Anwendung schließen. Wenn ja, führen Sie eine Reparatur oder Neuinstallation durch. Mehr Informationen können Sie der Diskussion in SophosTalk entnehmen (in englischer Sprache): Shh/Updater-B: remediating third party applications
Wenn Sie weiterhin Anwendungen ermitteln möchten, zu denen Dateien gelöscht wurden, bieten sich zwei Methoden:
- Über ein Online-Tool von Sophos
- Über ein Skript, das auf den Endpoints ausgeführt wird
5.1. Über ein Online-Tool von Sophos
- Rufen Sie Datei-/Anwendungssuche für das "Shh/Updater-B"-Problem im Webbrowser auf.
- Geben Sie den Dateinamen (nicht den vollständigen Pfad) ein, den Sie zuordnen möchten.
Wenn das Online-Tool die Dateien nicht ermitteln kann, verwenden Sie ein Skript auf den Endpoints (nächster Abschnitt).
5.2. Über ein Skript, das auf den Endpoints ausgeführt wird
- Führen Sie das Tool "FixUpdate.vbs" aus dem Support-Artikel 118323 aus. Zur Erstellung einer Protokolldatei, in der möglicherweise betroffene Produkte aufgeführt werden, müssen Sie den Befehlszeilenparameter "
/checkaffectedproducts:true" verwenden.
Hinweis: Standardmäßig befindet sich die Protokolldatei in dem Verzeichnis, in dem das Skript ausgeführt wurde. Verwenden Sie die Option /logpath:<Pfad>, um die Protokolldateien an einem Ort abzulegen, an dem sie zentral gespeichert und analysiert werden können.
- Öffnen Sie die Protokolldatei.
Suchen Sie auf einem Endpoint die Protokolldatei, deren Name folgendes Format aufweist:
JJJJ-M-TT_hh-mm-ss_#Systemname#_007-AffectedProducts.txt
Wenn Sie einen einzelnen Report zu mehreren Endpoints erstellen möchten, ziehen Sie bitte Support-Artikel 118346 zu Rate.
Unter Umständen finden Sie in der Protokolldatei Informationen zu Sophos Produkten und Produkten anderer Hersteller. Sie können die Protokolldatei (CSV-Datei) in einer Tabelle in Microsoft Excel öffnen und genauer analysieren.
- Betroffene Anwendungen gehen aus der Protokolldatei "AffectedProducts" hervor.
Bei manchen Dateien wird möglicherweise angezeigt, dass sie von einem unbekannten Hersteller stammen. Protokolle können mit dem im folgenden Artikel beschriebenen Tool an Sophos übermittelt werden: 118405. Dies kann bei der Ermittlung von Anwendungen anderer Anbieter behilflich sein.
6. Reparieren von Anwendungen, wenn entsprechende Dateien gelöscht wurden
Wenn Dateien gelöscht wurden, kann Sophos Ihre Anwendungen nicht wiederherstellen. Sie müssen sie reparieren oder erneut installieren. Folgende Diskussion im SophosTalk-Forum (in englischer Sprache) kann Ihnen dabei behilflich sein.
Shh/Updater-B: remediating third party applications
Hinweis:
- Unter Umständen enthalten die Protokolldateien Informationen zu Anwendungen anderer Hersteller. Diese Angaben sind ohne Gewähr und dienen nur der Orientierung. Die Daten basieren auf Dateien, die aufgrund der False Positive verschoben oder gelöscht wurden. Die Informationen sollen Ihnen bei der Ermittlung des Status von Anwendungen anderer Anbieter und bei der Reparatur behilflich sein.
- Manche Sophos Dateien befanden sich unter Umständen in selbstextrahierenden Ordnern. Beispiel: 'C:\sec_50\', 'C:\esw_100_sa\'. Wenn eine Installation mit dem beschädigten Selbstentpack-Programm versucht wird, ist nicht bekannt, was passiert. Hierzu bieten sich zwei Methoden:
- Löschen Sie das temporäre Verzeichnis, das von dem Selbstentpack-Programm verwendet wird und laden Sie es bei Bedarf erneut herunter (empfohlen),
- Versuchen Sie, das vom Selbstentpack-Programm verwendete temporäre Verzeichnis zu reparieren.
- Andere Sophos Dateien, wie etwa ".dat"-Dateien im "Warehouse"-Verzeichnis, werden beim nächsten Sophos Update ersetzt. Beispiele: ":\ProgramData\Sophos\Update Manager\Update Manager\Warehouse\" oder Dateien im Cache-Verzeichnis von AutoUpdate. Beispiel: "C:\ProgramData\Sophos\AutoUpdate\Cache\".