Я написал на С# программу, которую АК маркирует, как "Trojan.MSIL.Convagent.gen". Из описания на сайте был сделан вывод, что я пытаюсь запустить внутри корпоративной сети вредоносное ПО. И у меня проблемы. Программа действительно работает с веб-методами, но они внутренние и легальные и отсылает почту, но на внутренние адреса.

Подскажите, как реабилитироваться? Мне говорят, что АК врать не будет. Но наведенная ошибка может быть?

Спасибо.

Для удаления KES с помощью msiexec (msiexec.exe /x {PRODUCT_CODE}) необходим код продукта:

Проблема

Офисные приложения возвращают ошибки "ошибка доступа", "невозможно заблокировать документ", "доступ запрещён" при сохранении документов docx, xlxs.

Проблема возникает, если

• редактируемый документ расположен на сетевой папке
• сетевая папка смонтирована по протоколу CIFS
• данная точка монтирования размечена файловым перехватчиком и не добавлена в глобальные исключения

Ошибка может возникать и с другими приложениями, которые схожим образом используют "lock файлы".

Причина

Ошибка вызвана проблемой взаимодействия протокола/файловой системы cifs, и технологии ядра Linux для перехвата файловых операций fanotify.

При повторном создании временного файла, пользовательское приложение получает от операционной системы ошибку EPERM (permission denied)

Ошибка уже заведена как баг ядра Linux

https://bugzilla.redhat.com/show_bug.cgi?id=2210795

Обходное решение

Добавить точку монтирования в глобальные исключения (параметр ExcludedMountPoint)

https://support.kaspersky.com/help/KES4Linux/11.4.0/ru-RU/247312.htm

• /path/to/mount чтобы исключить конкретную точку монтирования (допустимы маски)
• Mounted:NFS чтобы исключить все точки монтирования типа CIFS
• AllRemoteMounted чтобы исключить все точки монтирования типа CIFS и NFS (в плагине Security Center - AllMounted)

Возможные пути решения

• Обратиться в поддержку OS со ссылкой на указанный баг. Возможно, у вендора OS будет фикс или версия ядра, не подверженная проблеме cifs+fanotify

В этой статье описывается, что считается полной проверкой, которая влияет на статус "Давно не выполнялся поиск вирусов".

Настройки задачи проверки.

Существует два способа задать области для полной проверки. Задачи, запущенные с любыми другими настройками, не будут рассматриваться как Полная проверка.

Основная область

• Память ядра
• Запущенные процессы и объекты запуска
• Загрузочные сектора диска
• Локальный диск (логический диск, на котором установлена ОС)

Альтернативная область

• Память ядра
• Запущенные процессы и объекты запуска
• Загрузочные сектора диска
• %systemroot%\
• %systemroot%\System\
• %systemroot%\System32\
• %systemroot%\System32\drivers\
• %systemroot%\SysWOW64\
• %systemroot%\SysWOW64\drivers\ 

Проблема

Категория программ на основе метаданных создана, но не работает.

Решение

Это ожидаемое поведение в случае, если файл не имеет цифровой подписи, которой может доверять KES на данном устройстве, или не известен в KSN. Используйте инструмент sigcheck, чтобы проверить, есть ли у файла действительная цифровая подпись –https://technet.microsoft.com/ru-ru/sysinternals/bb897441.aspx 

Как проверить наличие установленного KES, его состояние и версию баз через реестр:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\KasperskyLab\Components\34\1103\1.0.0.0\Statistics\AVState

Получение информации из реестра предназначено только для ознакомительных целей.

Команды KESCLI:

Статус Защиты от файловых угроз: https://support.kaspersky.com/help/KESWin/12.2/ru-RU/213719.htm

Определение времени выполнения обновления: https://support.kaspersky.com/help/KESWin/12.2/ru-RU/213724.htm

Информация в реестре создается сетевым агентом. Информация будет удалена перед выключением ОС и будет создана после загрузки ОС.

Существует задержка (120 с) для запуска службы сетевого агента.  Поэтому, если вам нужно получить информацию о состоянии KES сразу после загрузки ОС, используйте KESCLI.

Проблема

У некоторых устройств нет клавиатуры, но они все равно обнаруживаются с помощью BadUSB.

Решение

Для их корректной работы используйте экранную клавиатуру BadUSB, использование других экранных или физических клавиатур не рекомендуется.

Обратите внимание, что опция Запретить использование экранной клавиатуры для авторизации USB-устройств должна быть отключена.

В этой статье рассматривается специфический эффект от установки приватного патча для следующих версий:

• KES 11 и выше

Установка приватного патча на устройство с KES имеет побочный эффект: конфигурация HIPS (Host Intrusion Prevention System) и Firewall (поскольку Firewall является ее частью), будет возвращена к значениям по умолчанию.

Это предотвращает хранение в локальном кэше KES устаревших правил и проблемы с синхронизацией. В большинстве случаев этот эффект не является критическим, поскольку пока устройство управляется сетевым агентом и KSC, он будет загружать все настройки из определенной политики.

Но если KES установлен автономно и управляется через графический интерфейс, то вполне ожидаемо, что настройки Firewall или HIPS не будут сохранены после перезагрузки, поэтому для таких конфигураций рекомендуется иметь резервный .cfg файл.

Существует два сценария, связанных с полнодисковым шифрованием KES и лицензированием, которые часто приводят к неожиданному поведению зашифрованных устройств:

1. Полнодисковое шифрование используется с лицензией Advanced, а затем заменяется на лицензию Select (или любую другую лицензию без шифрования).
2. Срок действия лицензии с шифрованием истек.

Что произойдет с зашифрованными устройствами в обоих случаях:

• Файлы на зашифрованных устройствах по-прежнему будут доступны.
• Управление предзагрузкой и предзагрузочной учетной записью по-прежнему будет работать.
• Устройства можно расшифровать с помощью стандартных процедур.
• Обратите внимание, что новые устройства не будут зашифрованы.

Проблема

Компонент Предотвращение вторжений (англ. HIPS – Host Intrusion Prevention System) неожиданно блокирует поток данных (аудио, видео) в доверенных коммуникационных программах, таких как MS Teams, Skype, Skype for Business и др.

Решение

Проблема заключается в KUsrInit.exe, который в некоторых случаях можно найти в предустановленной ОС на компьютерах Dell. 

Процесс KUsrInit.exe должен быть добавлен в группу доверия HIPS, чтобы избежать подобных проблем.

Версия:  KES11.*

Проблема:

Во время установки появляется ошибка:

Ошибка 27310. Не удалось установить файл каталога подписанный цифровой подписью.

Решение:

1. Запустите утилиту kavremover от имени администратора.

2. Удалите драйверы KES (если они не были удалены kavremover), расположенные здесь - C:\Windows\System32\drivers\

3. Удалите все KasperskyLab_*.cat файлы в c:\Windows\System32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}

4. Перезагрузите устройство

5. Установите KES

6. Если проблема не решена, попробуйте восстановить catroot https://answers.microsoft.com/en-us/windows/forum/all/cant-rename-catroot2-and-softwaredistribution/ac10e0ba-9ead-4284-91e5-31acc430bd08

Иногда необходимо убрать KES из контекстного меню Проводника. 

1. Снимите флажок Включить самозащиту;
2. Запустите cmd от имени администратора;

3. Выполните команды:

   regsvr32 /u C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\x64\shellex.dll   regsvr32 /u C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\shellex.dll

Чтобы добавить KES обратно, выполните команды:

1. Установите KSWS и убедитесь, что "Защита от шифрования" включена.

2. Установите AESCrypt на удаленное устройство.

3. Попробуйте зашифровать файлы на сетевом ресурсе, защищенном KSWS.

4. Введите пароль.

5. Когда начнется шифрование, "Защита от шифрования" обнаружит это и заблокирует сеанс удаленного пользователя. В KSWS 11 по умолчанию приложение блокирует доступ устройства к сетевым файловым ресурсам на 30 минут.

6. Следующие попытки получить доступ к общей папке будут неудачными. 

7. KSWS регистрирует попытки зашифровать данные.

8. Атакующее устройство появляется в списке недоверенных устройств.

Проблема

Иногда иконка KES в трее ведет себя странно: появляется дважды или не появляется совсем.

Решение

Сбросьте иконки в трее:

1. Откройте regedit;
2. Перейдите в HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\TrayNotify;
3. В правой панели создайте резервную копию и удалите значение реестра IconStreams;
4. Создайте резервную копию и удалите значение реестра PastIconsStream;
5. Закройте редактор реестра;
6. В главном меню диспетчера задач выберите Файл -> Новая задача (или Запустить новую задачу) и введите explorer.exe, после чего нажмите Ок. 

Это позволит устранить проблемы с иконками в области уведомлений. Приведенные выше значения реестра представляют собой кэш иконок, и если он поврежден, это может препятствовать отображению иконок в области уведомлений.

Если вы хотите отказаться от автоматического удаления некоторых программ, но не хотите полностью отключать проверку на наличие несовместимого ПО, вы можете отредактировать файл cleaner.cab.

Пошаговая инструкция

1. Скачайте полный дистрибутив KES
2. Запустите его и убедитесь, что все файлы были распакованы
3. Перейдите в папку, в которой лежит программа установки
4. Распакуйте файл cleaner.cab в случае KES 11.9 и старше, cleaner_v2.cab в случае KES 11.10 и новее в отдельную папку
5. Найдите .ini файл нужного продукта (например, Bitdefender), с помощью данной команды: findstr /C:"Bitdefender Endpoint Security Tools" <путь к папке, в которую был распакован .cab файл>*.ini который вы хотите пропустить Данная команда выведет название ini файла с информацией для удаления Bitdefender Endpoint Security Tools: C:\temp\cleaner_v2\2dd68715-037d-4c3d-bb5e-e07f07bcb357.ini:name=Bitdefender Endpoint Security Tools 6 x64 Проверьте, что найденный файл отвечает за удаление нужного продукта, и удалите его
6. Найдите файл cleanapi.ini
7. Удалите все строки, относящиеся к продуктам, которые вы удалили на шаге 5.

• [bitdefender_endp_sec_tools_6_2_15_x64]
• file=2dd68715-037d-4c3d-bb5e-e07f07bcb357.ini
• Antivirus=1
• Product=KES

1. Запакуйте все оставшиеся файлы в файл cleaner.cab в случае KES 11.9 и старше, cleaner_v2.cab в случае KES 11.10 и новее.
2. Теперь вы можете использовать этот файл вместо стандартного, положив его в папку с setup.exe или *.kud*.kpd перед созданием пакета для KSC.

Упаковка файлов обратно в файл *.cab может вызвать сложности, если у вас нет специального ПО. Ниже приведены два сценария: один для командной строки, другой для powershell.

Пожалуйста, помните, что использование команд или рекомендаций из статей без четкого понимания их назначения может привести к ошибкам или сбоям в работе системы. Обращаем ваше внимание на то, что некоторые из представленных материалов не являются официальными, поэтому в ряде случаев техническая поддержка может отказать в поддержке конкретной неподдерживаемой конфигурации.

Также просим обязательно использовать официальную документацию, представленную по этой ссылке.

Сценарий 

1. В Контроле устройств включено блокирование флэш-накопителей.
2. Флэш-накопитель подключен к хосту.

В результате KES показывает всплывающее окно о том, что USB-накопитель заблокирован компонентом Контроль устройств, однако пользователь может открыть флэш-накопитель и прочитать/изменить его содержимое. 

Основная причина проблемы 

На хосте установлена программа SecretDisk5. 

Решение

У производителя (Alladin) есть решение этой проблемы.