Lokale Sicherheitsrichtlinien Meldung deaktiveren?

[hbg]

Beitrag gelöscht.

hbg

 

[maddin81]

Kann man irgendwo noch den Alten Avira laden?
Dann würd ich den Installieren und Produktupdate deaktivieren.

Es gibt zwar die Möglichkeit, alte AntiVir-Versionen herunterzuladen (z.B. von oldversion.com), aber da rate ich unbedingt von ab. Gerade bei "Schutzprogrammen" wie Antivirensoftware sollte man keine veralteten Versionen einsetzen. Zumal AntiVir auch in der aktuellen Version mit mehreren in diesem Thread vorgestellten Methoden werbefrei gemacht werden kann.

Ansonsten wechsel lieber zu einem alternativen Antivirenprogramm (Avast, MSE, ...), statt ein altes Antivir einzusetzen. Wenn ich mich recht erinnere, laufen ab einem bestimmten Datum auch die normalen Updates nicht mehr mit früheren AntiVir-Versionen, so dass man früher oder später sowieso zum Programm-Update gezwungen ist, falls man nicht auch auf veralteten Virdendefinitionen sitzen bleiben will (was den Virenscanner fast schon sinnlos machen würde).

 

[Trizep]

Ich hab noch eine auf der HD gefunden, mak gucken ob da schon der Werbemurks drin ist.

 

[MadTax]

Hi Trizep,

Ich bin da ganz der Meinung von maddin81, eine alte Version wird aus Sicherheitsgründen nicht installiert. Hast Du meinen Lösungsvorschlag ausprobiert? Was gefällt Dir daran nicht?

Auf Deine Frage hin, ob Avira was geändert hat: Ja. Ich habe alle meine Rechner bis auf einen nach meiner Methode geimpft. Diesen ungeimpften Rechner verwende ich täglich. Er hat aber kaum mehr Werbung angezeigt (Das ist die Änderung). Deine Lösung ging gut, bis neue Werbung auf ipm.avira.com angezeigt wurde. Deine Beschreibung deckt sich mit meiner Beobachtung. Die haben wohl wirklich im Juli Werksferien.

MadTax

 

[yaq12wsx]

*gelöscht*

 

[TanteEmma]

Hier meine Lösung, wie man avnotify.exe und ipmgui.exe blockieren kann, so wie bisher über die "Verwaltung/Lokale Sicherheitsrichtlinien". Nur ohne lästige Warnmeldungen! Auch kommt diese Lösung ohne Zusatzprogramme aus, die ständig im Hintergrund laufen. Und natürlich bleiben die Dateien im AntiVir-Ordner unangetastet! Getestet unter WinXP 32-bit und Win7 64-bit.

Beim ausführen der AvAdBlock.reg reagiert Antivir seit ein paar Tagen mit einer Blockade der registry. Der Tipp funktioniert also nicht mehr. Gibts da eine Lösung für? KJann man bestimmte registry Einträge als Ausnahmen hinzufügen?

 

[ihmchen]

guten morgen forum!
ich lese zwar schon ein paar jährchen mit aber das antivir-problem hat mich zum aktiv-werden genötigt

in den letzen tagen habe ich einige tweaks probiert (DEB_AvAntiAd_v1.0.1, null.exe, RD_AvAntiAd). ich musste feststellen, dass die antivir-option "dateien und registrierungseinträge vor manipulation schützen" deaktiviert sein muss, um einen der 3 tweaks zu ermöglichen.


die puristische variante von maddin81 gefällt mir am besten, da keine externe software nötig ist und nichts im hintergrund läuft. leider möchte ich die angesprochene option vom av nicht deaktivieren, momentan geht scheinbar also nur AntiWerBung1.9b.

könnt ihr bestätigen, dass die schützen-option vom av deaktiviert sein muß? vielleicht hab ich beim durchlesen aller posts was übersehen...

mfg vom neuen

ps: zum testen nutze ich ein 10" netbook (1024x600, winxp home 32bit, windows klassisch design)

 

[Bareny]

Kann ich so nicht bestätigen.
Avira Free Produktversion: 12.1.9.1236, "Dateien und Registrierungseinträge vor Manipulation schützen" ist aktiviert und https://www.computerbase.de/forum/t...dung-deaktiveren.1058948/page-6#post-12168746 funktioniert (W7 64Bit).

 

[ihmchen]

Kann ich so nicht bestätigen.
Avira Free Produktversion: 12.1.9.1236, "Dateien und Registrierungseinträge vor Manipulation schützen" ist aktiviert und https://www.computerbase.de/forum/t...dung-deaktiveren.1058948/page-6#post-12168746 funktioniert (W7 64Bit).

geht bei mir leider nicht.
bei aktivem schutz meldet av den versuch einer änderung der registry sofort ("verdächtiger zugriff auf die registry blockiert"). ich kann die "RD_AvAntiAd_install.reg" also bloß einspielen, wenn der schutz aus ist. bei nachträglichem aktivieren werden die einträge aus der registry gelöscht...

diese lösung gefällt mir auch am besten, da nichts im hintergrund läuft. ich möchte jedoch ungern den schutz in der av-konfiguration dafür opfern... (der scheint ja wirklich zu funktionieren)

nutze aktuell

 

[TanteEmma]

Wenn ich das Tool versuche zu installieren passiert das selbe wie beim Tool von Lunke!

 

[12345homrun]

hier die version 1.2 des Avira Notifier Blockers

wikiupload.com/JBVJI9N2B05L0E8

- Blockt PopUp Werbung (Fenster erscheint nicht mehr)
- Blockt Task-Werbung (Taskpopup erscheint nicht mehr)
- Es können weiterhin Updates gemacht werden
- Man brauch nirgends eingreifen
- Es wird nichts an der Registrie geändert

sehr zu empfehlen das teil.

Gruß Calomino

ps: alle neuen funktionen seit der 0.9 funktionieren nur im Office Mode. Am besten am "Mode" nichts verstellen!!!

 

[cd84]

Gibt es im Moment noch eine Möglichkeit, ohne irgendein Tool zu installieren?
Das einfachste ist wohl die Lösung mit der Änderung der Hosts Datei - funktioniert das noch und könnte mir jemand bitte erklären, wie genau ich dazu vorgehen muss?

Danke schon jetzt!

 

[AntiAdware]

geht bei mir leider nicht.
bei aktivem schutz meldet av den versuch einer änderung der registry sofort ("verdächtiger zugriff auf die registry blockiert"). ich kann die "RD_AvAntiAd_install.reg" also bloß einspielen, wenn der schutz aus ist. bei nachträglichem aktivieren werden die einträge aus der registry gelöscht...

diese lösung gefällt mir auch am besten, da nichts im hintergrund läuft. ich möchte jedoch ungern den schutz in der av-konfiguration dafür opfern... (der scheint ja wirklich zu funktionieren)

nutze aktuell Anhang anzeigen 311420

Da ich mittlerweile gezwungen wurde das Update auf die 2013er Version zu machen musste ich leider wie du auch feststellen, dass sich Antivir inzwischen gegen den "Debugger" Trick in der Registry wehrt und die erstellten Schlüssel sofort wieder löscht. Da ich keine andere sinnvolle Lösung finden konnte (Toolbar installieren oder gamer mode key permanent per script setzen finde ich unschön) hab ich mal damit rumgespielt und denke eine brauchbare Lösung zu haben.

Video dazu: https://www.youtube.com/watch?v=eMGsw44iY00

1. In der Antivir Konfiguration unter Sicherheit temporär den Registry und Dateischutz abschalten.
2. Die hier gepostete Reg Datei ausführen, damit in der Registry Debug Schlüssel für die avnotify.exe und impgui.exe erstellt werden. (siehe Dateianhang)
3. Regedit ausführen und zu den erstellten Schlüsseln navigieren (siehe Reg-datei oder Screenshot). Rechtsklick und Berechtigungen ändern, dann System auswählen und Vollzugriff auf verweigern stellen. Das ganze für alle 3 Einträge, also avnotify.exe, impgui.exe und apnstub.exe (wobei letztere denke ich nicht mehr gebraucht wird). Es reicht wenn ihr das ganze entweder im wow64 oder im normalen Zweig macht, die Rechte gelten automatisch für beide Zweige.
4. Den Registry und Dateischutz in den Antivir Einstellungen wieder aktivieren und neustarten.

Wichtig: Achtet darauf, dass ihr nur dem SYSTEM die Rechte entzieht, aber euer eigener Account nachwievor vollen Zugriff hat.

Wer sehen will ob sein "Debugger" ausgeführt wird kann testweise statt der dllhost.exe auch die calc.exe als Debugger festlegen und anschließend die avnotify.exe entweder von Hand starten oder über Antivir im Menü Hilfe->"Notifier erneut anzeigen". Wenn alles klappt solltet ihr weder eine Warnung wegen Veränderung der Registry sehen noch solltet ihr Werbung zu Gesicht bekommen, stattdessen wird sich der Taschenrechner oder wenn ihr die dllhost.exe als Debugger festlegt eben "garnichts" öffnen.

Ob die 2013er Version dadurch nun wirklich werbefrei ist werde ich wohl erst in ein paar Tagen wissen, aber ich gehe davon aus, dass es prinzipiell noch so funktioniert.

 

[maddin81]

Da ich mittlerweile gezwungen wurde das Update auf die 2013er Version zu machen musste ich leider wie du auch feststellen, dass sich Antivir inzwischen gegen den "Debugger" Trick in der Registry wehrt und die erstellten Schlüssel sofort wieder löscht. Da ich keine andere sinnvolle Lösung finden konnte (Toolbar installieren oder gamer mode key permanent per script setzen finde ich unschön) hab ich mal damit rumgespielt und denke eine brauchbare Lösung zu haben.
[...]

Gleiche Situation bei mir; auch ich wurde vorgestern zum Update auf die 2013er Version genötigt und musste feststellen, dass Avira die entsprechenden Registry-Einträge eiskalt löscht. Deine Idee mit dem "Rechte-Entzug" gefällt mir und scheint zu funktionieren; zumindest habe ich in den letzten 24 Stunden keine verdächtigen Avira-Fenster entdecken können und die Registry-Einträge sind auch noch vorhanden.

Für alle, die nicht extra in der Registry rumfummeln möchten, habe ich mein kleines Tool AvAntiAd (Beschreibung und Funktionsweise hier) so erweitert, dass es die Rechte automatisch nach dem Erstellen der Registry-Einträge setzt. Durch eine Art "Burst" (mehrfaches Schreiben der Schlüssel und Rechte kurz hintereinander) funktioniert das - zumindest bei mir - sogar, während der Produktschutz von Avira vollständig aktiv ist. Getestet wurde es bislang aber nur unter Windows 7 Prof. (64bit Update: und 32bit, danke Mydgard!), deshalb wäre ich über Rückmeldungen v.a. bei der Verwendung anderer Windows-Versionen dankbar

Die Anwendung ist denkbar einfach: Die Zip-Datei Anhang anzeigen AvAntiAd_v1.1.0.zip herunterladen, entpacken und das Programm AvAntiAd_v1.1.0.exe starten.

Mit Klick auf Installieren wird automatisch eine Dummy-Datei (die nichts weiter macht, als sich nach dem Start sofort wieder selbst zu beenden) ins Windows-Verzeichnis kopiert und die Registry-Einträge gesetzt und geschützt, die die Werbeprozess-Aufrufe auf den Dummy umleiten. Mit Klick auf Entfernen lässt sich bei Bedarf genau das wieder rückgängig machen und mit Klick auf Status jederzeit überprüfen, ob der Werbeschutz noch vollständig aktiv ist (überprüft auch, ob die Registry-Einträge noch alle da sind). Das war's auch schon Nach dem Installieren kann das Programm wieder beendet werden; es läuft also bei dieser Lösung kein Prozess ständig im Hintergrund weiter.

Für das Kopieren der Dummy-Datei und das Setzen der Registry-Einträge benötigt das Programm Administrator-Rechte, die es beim Start auch anfordert.

Für Interessierte oder Misstrauische: Der Quelltext ist auch wieder mit dabei; erstellt wurde der Dummy mit C und das Tool selbst mit AutoIt (Download hier). Zum Setzen der Registry-Rechte wird auf die Bibliothek Permisssions.au3 von Fred (FredAI) zurückgegriffen; diese wird auch mitgeliefert. Somit sollte jeder in der Lage sein, das Programm bei Bedarf selbst zu kompilieren.

Update: Auf Wunsch eines Forennutzers habe ich noch eine Version des AvAntiAd-Tools hinzugefügt, die keine dummy.exe verwendet, sondern die Werbeprozess-Aufrufe auf die bereits unter Windows vorhandene dllhost.exe umbiegt (also nur Änderungen in der Registry vornimmt). Ansonsten ist sie mit der normalen Version identisch. Der Downloadlink befindet sich am Ende dieses Beitrages, der Quellcode ist wieder enthalten.

Wie gesagt freue ich mich über Rückmeldungen (sowohl wenn es funktioniert als auch wenn es Probleme gibt) - bitte mit Angabe der Windows-Version.

Download: Anhang anzeigen AvAntiAd_v1.1.0.zip

Download (dllhost-Version ohne dummy.exe): Anhang anzeigen AvAntiAd_dllhost_v1.1.0.zip

 

[Mydgard]

@ maddin81: ich habe mal deinen Trojaner installiert Bisher funktioniert es ... allerdings habe ich weiterhin die avnotify gesperrt über eine Sicherheitsrichtlinie.

Wo ist dieser Registry Schlüssel der den Aufruf umleitet?

 

[maddin81]

@ maddin81: ich habe mal deinen Trojaner installiert

Ausgezeichnet, die ersten Tastatureingaben und Screenshots von dir kommen auch gerade rein. Und bitte deinen Rechner nicht ausschalten; ich will nachher noch einen DoS-Angriff mit meinem AvAntiAd-Bot-Netz gegen die Server vom Weißen Haus starten Jetzt ist aber genug rumgealbert, sonst traut sich am Ende keiner mehr, das Programm zu benutzen

Bisher funktioniert es ... allerdings habe ich weiterhin die avnotify gesperrt über eine Sicherheitsrichtlinie.

Danke für die Rückmeldung! Was für ein Windows benutzt du? XP wäre super für mich (für dich eher nicht, weil da bald der Support ausläuft ); dann brauch ich's nicht extra in einer VM zu testen. Die Sperre in den Sicherheitsrichtlinien könntest du vielleicht noch deaktivieren. Dann können die nicht greifen, falls die Umleitung versagt, und das so verschleiern.

Wo ist dieser Registry Schlüssel der den Aufruf umleitet?

Die drei erstellten Registry-Einträge für avnotify.exe, ipmgui.exe und apnstub.exe befinden sich unter

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

und bei 64-Bit-Betriebssystemen auch nochmal unter

HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

 

[AntiAdware]

@ maddin81: ich habe mal deinen Trojaner installiert Bisher funktioniert es ... allerdings habe ich weiterhin die avnotify gesperrt über eine Sicherheitsrichtlinie.

Wo ist dieser Registry Schlüssel der den Aufruf umleitet?

Ich bezweifle, dass deine Sicherheitsrichtlinie noch funktioniert. Zum einen wird auch das in der Registry gespeichert und es ist sehr wahrscheinlich, dass Avira auch diesen Key findet und entfernt, desweiteren gab es mit der Sicherheitsrichtlinien Methode irgendwann mal Probleme, da erschien dann nämlich nerviger weise eine Warnmeldung von Windows, welche den Anwender darüber informierte, dass der Prozess aufgrund einer Sicherheitsrichtlinie blockiert wurde. Das lag denke ich an einem Windowsupdate und trat bei mir unter Windows 7 auf, eventuell wurde dieses Verhalten aber mittlerweile wieder geändert oder betraf nicht alle Windowsversionen.

Wie dem auch sei, die oben vorgestellte Debugger Methode funktioniert bei mir nun seit einigen Wochen fehlerfrei.

Die Registry Schlüssel kannst du der Reg-Datei aus meinem Zip-Archiv entnehmen (einfach mit notepad öffnen) oder du schaust in den au3 Quellcode von maddin81.


EDIT:
Ok maddin81 kam mir zuvor... ^^

 

[Mydgard]

@ maddin81: Ich habe Windows 7 Pro 32 bit (ein Original, hatte das damals wegen dem XP Modus gekauft, auch wenn er mir dann nichts brachte weil es kein vollwertiges XP ist (kein Dos Vollbild möglich)).

@ AntiAdware: Das mit der Meldung von der Sicherheitsrichtlinie kam ja seid kurzem bei der ipmgui.exe, deswegen habe ich diesen Thread hier ja erst entdeckt. Ich habe damit noch 6 Tage gelebt, habe selbst rum gedoktort. Z.B. habe ich von Hand die ipmgui.exe gelöscht, nur wurde sie dann 3-4x am Tag neu runter geladen. Danach habe ich eine eigene ipmgui.exe erstellt ohne was drin, habe die Systemrechte entfernt und die Datei schreib geschützt ... das ging auch soweit, nur gab es dann 3-4x am Tag eine Fehlermeldung von ntvdm weil die Exe nicht funktionieren würde (da drin war auch nur echo off) ... hab halt keine Ahnung wie man eine exe schreibt, nur *.bat files ... evtl. hätte es auch gereicht, wenn ich Maddien81's dummy.exe genommen hätte und sie umbenannt als ipngui.exe in den Avira Ordner getan hätte mit veränderten Rechten.

 

[TheDna]

Hi maddin81 danke erstmal Nutzte schon deine puristische Lösung bei der alten Avira Version.
Bei der neuen gibts aber bei mir auch mit dem AvAntiAd_v1.1.0 immernoch ab und zu popups das ich doch zu Pro Avira upgraden solle.
Ich nutze Windows 7 Pro 32bit.

 

[maddin81]

Hi maddin81 danke erstmal Nutzte schon deine puristische Lösung bei der alten Avira Version.
Bei der neuen gibts aber bei mir auch mit dem AvAntiAd_v1.1.0 immernoch ab und zu popups das ich doch zu Pro Avira upgraden solle.
Ich nutze Windows 7 Pro 32bit.

Hmmm....kannst du bitte mal mit dem AvAntiAd-Tool und Klick auf "Status" überprüfen, ob die Registrierungsschlüssel noch alle gesetzt sind? Dann sollte da stehen "Der Avira Werbeschutz ist aktiv."