Dateibasierter Virenscanner (temporäre Dateien)

[Postamt]

Hallo Zusammen,

uns ist aufgefallen, dass sobald man den Dateibasierten Virenscanner in den Regeln aktiviert, dieser bei jeder E-Mail, welche die Regel nutzt, eine .exe-Datei in dem Ordner für den Dateibasierten Virenscanner erstell, obwohl diese E-Mails keinen Anhang beinhalten.
Aufgrund dessen spuckt der Microsoft Defender bei manchen Überprüfungen der .exe-Dateien eine False Positiv Meldung aus und verwirft diese Datei, was dazu führt. dass NSP die E-Mail permanent Abweist.

Solche Dateien werden erstellt:


In manchen Fällen schlägt der Defender einen positiven Alarm.


Im Message Tracking sieht es dann wie folgt aus:


Obwohl es keinen Anhang in der E-Mail gibt/gab.


Ist es üblich das NSP bei jeder E-Mail die die Aktion des dateibasieren Virenscanners "durchläuft" eine .exe-Datei im temporären Ordner für den On-Access Virenscanner erstellt, obwohl die E-Mail keinen Dateianhang hat?

Vielen Dank im Voraus.

Gruß
Das Postamt (Kevin)

 

[Postamt]

Hat da keiner eine Idee?

Gruß
Das Postamt (Stefan)

 

[JanJäschke]

Hallo Stefan,

sry das ich erst jetzt dazu komme eine Rückmeldung zu geben.
Wir schreiben (teile) der E-Mail in eine Datei um diese vom lokalen Virenscanner mit prüfen zu lassen. Hierbei kommt es in der Benamung zu einer GUID + EXE. Ich gebe zu, dass ist vom Dateityp her nicht das beste und ich werde einmal hinterfragen ob das einen näheren Sinn hat. Ich schätze jedoch nicht, so dass wir das in Zukunft mal verbessern könnten.

Also ersteinmal ist das so vollkommen richtig

Gruß
Jan

 

[Postamt]

Hallo Jan,
es ist ja kein Supportfall sondern ja ein Forum...deswegen alles gut.....
Aber trotzdem ist die Namensgebung als ????.EXE statt als z.B. ????.TMP oder als ????.NSP zu hinterfragen.
Der Grund und dessen Sinn würde mich aber technisch schon interessieren

Gruß
Das Postamt (Stefan)

 

[869288141]

Hallo Jan,

Hierbei kommt es in der Benamung zu einer GUID + EXE. Ich gebe zu, dass ist vom Dateityp her nicht das beste und ich werde einmal hinterfragen ob das einen näheren Sinn hat.

es soll Leute geben die ihre Server mit Applocker härten. Mit dem Dateityp .exe öffnet man gewohntermaßen das Scheuentor und einen erheblichen Angriffsvektor. Von daher wäre ein eindeutiger Dateityp wie .nsp eine Überlegung wert - so dass die Wahrscheinlichkeit groß ist einzigartig zu sein.


Gruß,
Daniel

 

[JanJäschke]

Hallo Jan,
es ist ja kein Supportfall sondern ja ein Forum...deswegen alles gut.....
Aber trotzdem ist die Namensgebung als ????.EXE statt als z.B. ????.TMP oder als ????.NSP zu hinterfragen.
Der Grund und dessen Sinn würde mich aber technisch schon interessieren

Gruß
Das Postamt (Stefan)

Guten Morgen Stefan,

der Sinn ist recht einfach:
du kannst in eine E-Mail schadhaften Code integrieren der dann wiederum von Benutzern unbeabsichtigt ausgeführt werden kann.
Durch das kurze prüfen über den Virenscanner wird somit einfach eine weitere unabhängige Überprüfung gemacht.
Einfachstes Beispiel (was so gut wie immer anschlagen sollte): pack den EICAR string in eine email ^^

Gruß
Jan

 

[Postamt]

Hallo Jan,

ich glaub du hast mich Missverstanden..... ich meinte nicht die Sinnhaftigkeit eines Virenscanns!
Warum benennt ihr die zu prüfende Email GUID.EXE...und nicht GUID.TMP oder GUID.NSP?

Wie Daniel ja auch schrieb wäre dies wirklich eine Überlegung wert.

Gruß
Das Postamt (Stefan)

 

[JanJäschke]

Ah da habe ich dich wirklich falsch verstanden.

Wie schon erwähnt werde ich dem nach gehen

Gruß
Jan