Extrem hohe Scanzeiten mit Kaspersky-Pure

[tam tam]

Ich bin total ratlos. Und im I-Net finde ich auch nix dazu.


Ich hab vor über einem Monat die akt. Kaspersky Internet Security 2011 getestet. Wegen zu stark beanspruchender Ressourcen war ich mir nach der Testzeit jedoch noch unschlüssig und installierte darauf nun Gestern deren Pure-Version. Was mir schon vorher seltsam auffiel, daß der Download sich extrem lange hinzog(bis zu 5kb) und genauso das Updaten nach der Installation. Ok, darüber kann man hinwegblicken, auch weil man sowas im Hintergrund laufen lassen kann. Was aber jetzt wirklich sehr sehr komsich und obendrein sehr nervig und ärgerlich ist, die extrem hohe Scanzeit! Dabei habe ich alle Einstellungen gegenüber Internet Security beibehalten. Jedoch verhundertfacht sich(o. gar mehr) im Vergleich die Scanzeit, selbst wenn ich den Haken Ressourcen für andere Programme freigeben rausnehme, erkenne ich keinen Unterschied. Jetzt seit 3h lass ich schon den Scan laufen, und er befindet sich noch immer bei 1%. Und Gestern selbst nach ganze 10h befand er sich noch bei 1%(da hatte ich noch den Haken drinnen)! Nur bei der schnellen Untersuchung benötigt er nicht einmal 1min. Bei Kaspersky Internet Security 2011 beanspruchte es nicht einmal 1h für einen kompletten Scan und aller Partitionen mit den sichersten Einstellung und für die höchste Scanqualität. Und deren letzter Scan liegt gerad mal 1 Woche zurück. Irgendwie hab ich den EIndruck, daß er in einer Endlosschleife läuft und dabei immer wieder die gleichen Ordner/Dateien scannt(z.B. Documents and Settings, wo er eigentlich schon vor 2h durch war).

Ich hatte bisher immer G-Data's Antiviren-Kit. Die vergeben jedoch in der Mediamarkt-Kaufversion leider nur immer eine 1 Jahres-Lizenz. Und wg. einer nicht erkannten Bedrohung kurz vor Ablauf dieser Zeit(was mich sehr verwunderte, da ja G-Data's Erkennung die Beste sein soll), installierte ich mir dann alternativ diese Testversionen v. Kaspersky. Aber dieses Problem schreckt mich jetzt ganz schön ab. :(

Vielleicht kennt jemand dieses Problem und weiß Rat?


Und was mich noch interssiert...

Gibt es im I-Net seriöse Anlaufstellen, die auch individuell best. Tool's/Programme auf Viren überprüfen, also ob diese auch wirklich schädlichen Code beinhalten? Eines meiner kl. Hobbys ist auch das Modden, und dabei greift man nat. auch wie z.B. bei Loki auf spez. Packer/Entpacker zurück(da ist es z.B. eine xmd.exe), die auch nur in Dos-emulierter Umgebung(cmd) ausführbar sind. Und da wurd ich z.B. in dem Fall endlos v. G-Data penetriert, so daß ich am Ende in einer absolut sicheren und vom Hauptsystem getrennten Umgebung(u. ohne G-Data :freak:) rumbasteln mußte, was aber immer sehr umständlich ist(u. ohne solche Hilfsprogramme geht es leider nicht).

[Rooter]

Kumpel hatte sich vor ein paar Wochen Kaspersky 2010 aus irgendeiner Computerzeitschrift (Computerbild?) installiert. Zuvor hatte er Avast + Comodo Firewall drauf, die natürlich vorher deinstalliert wurden. Er wird die Einstellungen von Kaspersky sicherlich auf Standard gelassen haben und damit war sein PC (A64 3700+) arschlahm: Der Start von z.B. CPU-Z dauerte gut eine dreiviertel Minute in der die Exe von Kaspersky die CPU auslastete. Normal kann das nicht sein!
Meine Lösung damals: Kaspersky deinstallieren und AVG Antivirus + Windows Firewall verwenden. Sicher nicht die Lösung die du hören wolltest, hat aber geholfen.

EDIT:
Deinen letzten Abschnitt habe ich zwar nicht wirklich verstanden aber ich vermute du suchst solche Dienste:
www.virustotal.com
virusscan.jotti.org/de

MfG
Rooter

[tam tam]

Ich hab jetzt mal geschaut, wieviele Dateien es mittlerweil gescant hat.

Untersuchung von Objekten: wird ausgeführt (Ereignis: 3, Objekte: 9779272, Zeit: Unbekannt)



Und das in nur einem einzigen Ordner! Nämlich die besagte Documents and Settings. Er verläßt diese nur für unter eine Sekunde, wo aber dann der Pfad zu lang ist(z.B. 0ag4jhi89q11lijh64j5....), um dann im nächsten kurzen Moment wieder in die Documents and Settings zurückzuspringen. Leider wird mir die Anzahl der Dateien in diesem Ordner nicht angezeigt(weil es sich wohl um eine Verlinkung/Verknüpfung handelt? Nur wo find ich dann den echten Ordner? Scheint aber auch sehr viele Ordner unter der System-Partition zu betreffen). Ich hab jetzt mal auch versucht, eine best. Datei, die er scannt, mir namentlich vorzumerken, und siehe da, nach immer der gleichen Zeit scant er diese wieder. Ganz offensichtlich ist hier Kaspersky Pure in eine Endlosschleife verfallen und scannt immer nur ein und dieselben Dateien in diesem Ordner und das immer und immer wieder. Sowas hab ich noch nie erlebt oder jemals davon gehört. :confused: Ich hab übrigens Win7-Prof 64bit(falls es bei meiner Frage hilft).





EDIT:
Deinen letzten Abschnitt habe ich zwar nicht wirklich verstanden aber ich vermute du suchst solche Dienste:
www.virustotal.com
virusscan.jotti.org/de

MfG
Rooter


Danke für die Links. Ich werd es ma testen, jedoch glaube ich kaum, daß sie diese besonderen Dateien auch wirklich innerlich analysieren um zu erkennen, ob da auch wirklich Schadcode vorliegt und somit auch ein echter Trojaner daran gekoppelt ist, wie es ja alle Antivirenprogramme behaupten.

[Lokadamus]

Und wg. einer nicht erkannten Bedrohung kurz vor Ablauf dieser Zeit(was mich sehr verwunderte, da ja G-Data's Erkennung die Beste sein soll), ...

... und dabei greift man nat. auch wie z.B. bei Loki auf spez. Packer/Entpacker zurück(da ist es z.B. eine xmd.exe),...mmm...

Du hast erkannt, dass kein Virenscanner alles erkennen kann :uup:. Aus diesem Grund brauchen sie auch die Signaturen, die regelmässig heruntergeladen werden müssen.

Natürlich greifen nur Modder auf Packer/ Entpacker zurück. Das ist so selbstverständlich wie der Weltfrieden. Was würde nur passieren, wenn böse Menschen solche Sachen benutzen würden?
http://de.wikipedia.org/wiki/UPX

[tam tam]

mmm...

Du hast erkannt, dass kein Virenscanner alles erkennen kann :uup:. Aus diesem Grund brauchen sie auch die Signaturen, die regelmässig heruntergeladen werden müssen.

Natürlich greifen nur Modder auf Packer/ Entpacker zurück. Das ist so selbstverständlich wie der Weltfrieden. Was würde nur passieren, wenn böse Menschen solche Sachen benutzen würden?
http://de.wikipedia.org/wiki/UPX


Das ist mir schon klar. Nur in solchen Fällen sind diese Packer/Entpacker spez. für solche Datein geschrieben, die man nicht mit herkömmlichen und überall zugänglichen Packer/Entpacker bearbeiten kann. Hinzu kommt, daß auch Spielehersteller sehr gerne daraus ein Geheimniss machen und nur wirklich versierte Modder, die auch coden können, schreiben dann dazu ein Programm, damit sie auch Zugriff auf entsprechende Dateien haben(und stellen diese dann auch für andere frei verfügbar ins Netz). Beim Bsp. Loki gibt es von Seiten des Herstellers keine Unterstützung. Und demzufolge sind auch solche Bemühungen von Seiten der Modder nicht gern gesehen(und würde auch erklären, warum es dafür keine digat. Signaturen gibt). Ganz klar, daß man nur um viele Ecken an ein solches Progrämmchen kommt. Daß nat. auch jemand Anderes mit kriminellen Energien sich sowas zu Nutze machen könnte, ist nicht unrealistisch. Nur ist dann in solchen Fällen die eventl. zu erhoffende Ausbeute beinah gleich Null! Und das aus dem einfachen Grund, weil einerseits diese Moddergemeinde viel zu klein ist und weil auch diese nicht blöd sind und genauso Antivierenprogramme im Hintergrund laufen haben könnten. Und wer sich auch mit solchen Sachen beschäftigt und obendrein auf solche kl. Progs zurückgreift und diese dann auch noch in einer simmulierten Dos-Umgebung benutzt, wird doch wohl wissen, was er da auch tut.


B2T:

Ich hab jetzt die entsprechenden Ordner genauer angeguggt.

Die Anzeige z.B. v. Kaspersky:

08.08.2010 13:52:50 Kennwortgeschützt C:\Documents and Settings\All Users\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungs daten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungs daten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungs daten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungs daten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungs daten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Anwendungsdaten\Spybot - Search & Destroy\Recovery\InternetExplorer.zip/sbRecovery.ini


Die Anzeige im Explorer:

C:\DOCUME~1\ALLUSE~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEN D~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWE ND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\ANWEND~1\Anwendungsda ten\Anwendungsdaten


Wobei ich in der untersten Ebene nicht in den Ordner Spybot - Search & Destroy reinkomme. Sondern erst, wenn ich wieder 3 Ebenen zurückgehe, und auch dann komm ich wieder an die Eigenschaftsanzeige von diesem Ordner(und das scheint alle Ordner gleichermaßen zu betreffen). Und wenn man dann auf löschen klickt....

Die Quelldateien sind zu lang für das Dateiensystem...

:freak:

[Lokadamus]

Daß nat. auch jemand Anderes mit kriminellen Energien sich sowas zu Nutze machen könnte, ist nicht unrealistisch.

B2T:
Ich hab jetzt die entsprechenden Ordner genauer angeguggt.
Die Anzeige z.B. v. Kaspersky:
Kennwortgeschützt

Wobei ich in der untersten Ebene nicht in den Ordner Spybot - Search & Destroy reinkomme. Sondern erst, wenn ich wieder 3 Ebenen zurückgehe, und auch dann komm ich wieder an die Eigenschaftsanzeige von diesem Ordner(und das scheint alle Ordner gleichermaßen zu betreffen). Und wenn man dann auf löschen klickt.... mmm...

Es wurde schon ausgenutzt und wird in seltenen Fällen immer wieder versucht. Die Kriminellen benutzten sowas wie Jotties Seite, um herauszufinden, ob Virenscanner ihre Dateien schon beim Erstellen erkennen können oder nicht.

Wenn die Datei wirklich von Spybot kommt, kannst du vielleicht mal Spybot deinstallieren und neuinstallieren, um die Verzeichnisse loszuwerden.
Ansonsten kannst du versuchen ein paar der Ordner umzubennen oder den kompletten Baum direkt nach C: verschieben und dann löschen.
Als letzter Versuch fällt mir nur Knoppix ein ...

[tam tam]

Wenn die Datei wirklich von Spybot kommt, kannst du vielleicht mal Spybot deinstallieren und neuinstallieren, um die Verzeichnisse loszuwerden.
Ansonsten kannst du versuchen ein paar der Ordner umzubennen oder den kompletten Baum direkt nach C: verschieben und dann löschen.
Als letzter Versuch fällt mir nur Knoppix ein ...


Danke für Deinen Tip! Ich hab jetzt nach Recherche wg. diesen massig vielen Unterebenen/Strukturen das Häkchen unter Ordneroptionen/Ansicht bei geschützte Systemdateien ausblenden wieder reingesetzt. Jetzt ist eine klare Ordnerstruktur erkennbar und ich konnte jetzt auch den besagten Ordner von SpyBot löschen. Und das scheint es schon gewesen zu sein(warum auch immer). Schönerweise als kleiner positiver Nebeneffekt ist jetzt mein System spürbar schneller geworden, vermutlich, weil er nicht mehr so viele Dateien indizieren muß?

Jetzt muß ich nur noch rausbekommen, warum er jetzt trotzdem noch bei Vollständige Untersuchung so langsam scannt(ist aber immerhin schon bei 3%) gegenüber bei Untersuchung von Objekten(da war nach 30min alles gescannt), wo man selektive Dateien untersuchen lassen kann(jedoch in beiden Fällen alles ausgewählt)?

[HeldImZelt]

Dieses Problem hast du bereits beseitigt, richtig?
http://www.abload.de/img/pfadec6f.png

[Lokadamus]

Schönerweise als kleiner positiver Nebeneffekt ist jetzt mein System spürbar schneller geworden, vermutlich, weil er nicht mehr so viele Dateien indizieren muß?

Jetzt muß ich nur noch rausbekommen, warum er jetzt trotzdem noch bei Vollständige Untersuchung so langsam scannt(ist aber immerhin schon bei 3%) gegenüber bei Untersuchung von Objekten(da war nach 30min alles gescannt), wo man selektive Dateien untersuchen lassen kann(jedoch in beiden Fällen alles ausgewählt)?mmm...

Jup, wobei ich nicht weiß, wer schuld daran ist. Entweder ist es Windows oder der Virenscanner gewesen, der mit den vielen Dateien rumhantiert und eine Indizierung durchgeführt hat. Ich hab irgendwann mal bemerkt, wenn zuviele Dateien in einem Ordner liegen, das Windows träge wird, wenn es mit dem Ordner etwas macht.

Kaspersky gilt seit jeher als langsam und bei der vollständigen Untersuchung wird die komplette Datenbank an Virensignatur benutzt. Nebenbei wird für jede Datei ein Hash- Wert erzeugt, der in den NTFS- Streams abgelegt sein soll. Bei späteren, vollständigen Untersuchungen überprüft Kaspersky nur noch den Hash- Wert und wenn dieser sich nicht verändert hat, wird die Datei, soweit ich es verstanden habe, nicht weiter untersucht. Ob bei der Datei ein eigener Timestamp abgelegt wird und alles an neueren Signaturen bei der Datei noch gescannt wird, weiß ich nicht.

Bei der Untersuchung nach Objekten hört es sich nach dem normalen Scanner an, der immer aktiv ist. Dessen Datenbank ist wesentlich kleiner und er sucht nur nach relativ aktuellen Sachen. Hintergrund hierbei ist die Performence, was übrigens mehrere/ alle Virenscanner so machen.

[Rooter]

Dessen Datenbank ist wesentlich kleiner und er sucht nur nach relativ aktuellen Sachen.Quelle dafür? :|

MfG
Rooter

[Lokadamus - nixBock]

Quelle dafür? :|mmm...

Zu lange her, dass ich das gelesen habe. Hintergrund davon war, dass Viren, die etwas älter sind und in freier Wildbahn nicht mehr gesichtet wurden, aus den DBs der Virenscanner rausfliegen bzw. nur noch von dem On- Deman- Scanner gesucht werden.

[tam tam]

Jup, wobei ich nicht weiß, wer schuld daran ist. Entweder ist es Windows oder der Virenscanner gewesen, der mit den vielen Dateien rumhantiert und eine Indizierung durchgeführt hat. Ich hab irgendwann mal bemerkt, wenn zuviele Dateien in einem Ordner liegen, das Windows träge wird, wenn es mit dem Ordner etwas macht.


Das ist eine gute Frage. Ich vermute, daß bei Anzeigen aller Systemdateien sich die Scantzeit schon deswegen erhöht, weil wie an meinem obigen zitierten Bsp. der Scanner dabei auch tiefere Ebenen erfaßt. Wenn es wen interessiert, dann soll er mal unter Win7 alle Systemdateien anzeigen lassen, und dann für den Ordner "Anwendungsdaten" sich die Leserechte geben und dann soweit auf diese gleichnamigen Unterordner klicken, bis er den letzten erreicht. Ich hab bei mir dabei festgestellt, daß um so tiefer der gleichnamige Ordner(Link) liegt, um so langsamer die Festplatte wird. Am Ende sind stark verzögerte Zugriffe zu erkennen. Daß diese Verlinkungen zu den jeweiligen Ordnern und Unterordnern(inkl. Systemordner) die Kompatibilitätsproblematik(z.B. bei WinXP) lösen soll, weiß ich. Aber warum nun Microsoft das so realisiert hat, kann ich mir nicht erklären. Und Probleme deswegen gibt es laut I-Net schon zu Hauf.

Was allgemein die Zugriffs- und Lesegeschwindigkeit angeht, das hängt ja auch von der Größe der Dateien und der voreingestellten Clustergröße zusammen. Ich selber hatte in meinem Fall schon deswegen bissl Kopfweh, weil ich mein Win7 auf ein Raidsystem installierte, und man vor der Win7-Installation die Clustergröße nicht einstellen kann. Und überhaupt schein es dazu im I-Net wenig Erfahrungsberichte zu geben, welche Clustergrößen speziell für ein Raidsystem optimal sind(zumindest hab ich bisher nix gefunden, bis auf ein paar Erfahrungsberichte normaler User/Member, die aber nicht fundiert erwiesen sind).


Dieses Problem hast du bereits beseitigt, richtig?
http://www.abload.de/img/pfadec6f.png


Ja, das hab ich. Ansonsten könnte ich nichteinmal auf den Ordner Anwendungsdaten(und alle seine Unterordner) zugreifen. Ich hab mir sogar sicherhaltshalber die Mitgliedschaft für alle Gruppen verpaßt(wo eigentlich normalerweise allein die Admingruppe ausreicht, weil sie Rechtemäßig alles abdeckt, aber naja). Trotzdem, danke für den Hinweis.

[HeldImZelt]

Ja, das hab ich. Ansonsten könnte ich nichteinmal auf den Ordner Anwendungsdaten(und alle seine Unterordner) zugreifen. Ich hab mir sogar sicherhaltshalber die Mitgliedschaft für alle Gruppen verpaßt(wo eigentlich normalerweise allein die Admingruppe ausreicht, weil sie Rechtemäßig alles abdeckt, aber naja). Trotzdem, danke für den Hinweis.
Mit diesem Halbwissen hast du eine Verknüpfung erstellt, die eine Endlosschleife verursacht. Der Zugriff wird genau aus diesem Grund verweigert.
Der Ordner "Dokumente und Einstellungen" ist kein Ordner, der von Windows Vista verwendet wird. Es handelt sich um einen so genannten Verknüpfungspunkt. Der eigentliche Ordner wird durch eine Verknüpfung überlagert. Wenn die Option "Geschützte Systemdateien ausblenden" deaktiviert ist, werden diese Verknüpfungspunkte angezeigt. Es ist vorgesehen, dass Benutzer keinen Zugriff auf diese Verknüpfungspunkte haben.
http://social.answers.microsoft.com/Forums/de-DE/vistasecurityde/thread/828e74bc-9fff-4a35-b94b-a5ae0428dde5

The reason you get access denied on the Junctions is becuase of the "Deny" permission for the "Everyone" group. Some people have suggested removing this, but Microsoft recommends not doing so becuase it can result in infinte loops in some applications.
http://www.vistax64.com/vista-general/56880-cant-access-documents-settings-folder.html#post274503

Welcome to the real world...

[tam tam]

Mit diesem Halbwissen hast du eine Verknüpfung erstellt, die eine Endlosschleife verursacht. Der Zugriff wird genau aus diesem Grund verweigert.


Das hab ich doch schon angedeutet:

Ich hab bei mir dabei festgestellt, daß um so tiefer der gleichnamige Ordner(Link) liegt, um so langsamer die Festplatte wird. Am Ende sind stark verzögerte Zugriffe zu erkennen. Daß diese Verlinkungen zu den jeweiligen Ordnern und Unterordnern(inkl. Systemordner) die Kompatibilitätsproblematik(z.B. bei WinXP) lösen soll, weiß ich. Aber warum nun Microsoft das so realisiert hat, kann ich mir nicht erklären. Und Probleme deswegen gibt es laut I-Net schon zu Hauf.


Demzufolge doch kein Halbwissen? ^^

[HeldImZelt]

Ich kann keine Einsicht und Reue erkennen, die ein Verständnis des Problems bestätigen würden. Du scheinst die Entscheidung, die Rechte gesetzt zu haben nach wie vor zu verteidigen. Das war falsch und muss rückgängig gemacht werden. Manche Leute glauben, sie müssten diese Verknüpfungen öffnen, damit sie an bestimmte Daten kommen. Das ist ein Trugschluss.

[tam tam]

Ich kann keine Einsicht und Reue erkennen, die ein Verständnis des Problems bestätigen würden.


Darum geht es aber doch gar nicht. Und seit wann muß man Einsicht und Reue zum Ausdruck bringen? Wegen der Anerkennung eines Mitlesers doch best. nicht(o. war es jetzt nur zugespitzt ausgedrückt bzw. eher ironisch gemeint, wenn ja, dann vergiß meinen Kommentar).


[B]Du scheinst die Entscheidung, die Rechte gesetzt zu haben nach wie vor zu verteidigen. Das war falsch und muss rückgängig gemacht werden. Manche Leute glauben, sie müssten diese Verknüpfungen öffnen, damit sie an bestimmte Daten kommen. Das ist ein Trugschluss.


Natürlich kann ich mir die Rechte vergeben, und das auch in unserem Netzwerk. Ob es dann wie in diesem Fall so sinnig, ist nat. eine andere Frage. Jedoch mach ich dabei auch nix kaputt, wenn ich nur Lese(und Löschen geht ja sowieso nicht). Nur warum soll das so falsch sein? Und man findet auch dazu kaum Informationen(und v. Microsoft schon mal gar nicht), daß diese spez. Verknüpfungen einzig nur dazu da sind, um die Kompatibilität zu gewährleisten. Dieses Wissen mußte ich mir ja nun im Nachhinein aneignen. Und jetzt, nachdem ich alle relevanten Systemdateien und Ordner ausblende, habe ich die ganz normale Ordneransicht wie aus WinXP. Vielleicht sollte Microsoft da nochmal zusätzlich einen Haken zum Ausblenden aller Verlinkungen und Ordner, die einzig nur die Kompatibilitätsproblematik betreffen, gewähren, während man jedoch alle anderen Systemdateien und Ordner anzeigen lassen kann.

[HeldImZelt]

Du kannst kein Englisch, richtig?

seit wann muß man Einsicht und Reue zum Ausdruck bringen?
Indikativ, nicht imperativ. Man wird dir bei keinem Problem helfen wollen, das du verleugnest.

[tam tam]

Du kannst kein Englisch, richtig?


Wenn Du jetzt darauf anspielen willst, daß es genug englische Beschreibungen zu dieser Problematik gibt, und das auch von Microsoft, dann muß ich zugeben, daß ich es kaum zu übersetzen und lesen vermag.


Indikativ, nicht imperativ. Man wird dir bei keinem Problem helfen wollen, das du verleugnest.


Ich weiß i.M. nicht, was ich davon halten soll(viell. hilft mir jemand Anders da auf die Sprünge ;))? Am Besten wir belassen es dabei, wenn Du der Meinung bist, daß die Beantwortung meiner Frage zu Deiner Behauptung nur von einem Zugeständniss abhängen kann.