Различные компоненты Saby попали в KL-категорию Сетевое По\Приложения для удаленного доступа и стали блокироваться действующей политикой блокировки всяких TeamViewer/Anydesk

Тип события: Запуск приложения запрещен
Название объекта: ChromeNmhTransport.exe
Оригинальное название объекта: ChromeNmhTransport.exe
Версия объекта: 1.1.0.3
Приложение: NmhTransport
Путь к объекту: C:\Program Files (x86)\NmhTransport\25.6100.35\service\ChromeNmhTransport.exe
Производитель: Tensor
SHA256: c6ea69b44e06ada1b4494d95b3da51bcad417b9eaa28c92fd348f185ad3493eb
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: DOMAIN\user (Инициатор)
Результат: Запрещено
Категория правила: Программы для удаленного доступа
Тип правила: Не тестовое

Тип события: Запуск приложения запрещен
Название объекта: sabycenter.exe
Оригинальное название объекта: center.exe
Версия объекта: 25.6100.149.0
Путь к объекту: C:\Program Files (x86)\Tensor\Saby Center\sabycenter.exe
Производитель: Tensor
SHA256: c0279c40985396ab7031ae22ebc3d128863a2e6e920ecf4a8a9bcf8e4b0d2856
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: NT AUTHORITY\СИСТЕМА (Инициатор)
Результат: Запрещено
Категория правила: Программы для удаленного доступа
Тип правила: Не тестовое

Тип события: Запуск приложения запрещен
Название объекта: saby.exe
Оригинальное название объекта: .exe
Версия объекта: 25.6113.55.0
Путь к объекту: C:\Program Files (x86)\Tensor\Saby\saby.exe
Производитель: Tensor
SHA256: 1c20a39337003f03648153a4da03cd8b9749ea6e69a398a8a017b3fa7f1864ae
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: DOMAIN\user (Инициатор)
Результат: Запрещено
Категория правила: Программы для удаленного доступа
Тип правила: Не тестовое

Началось сегодня с 03:30 MSK

Блокируемые файлы вроде не сильно свежие - sabycenter.exe от 18.12.2025, ChromeNmhTransport.exe от 15.12.2025, saby.exe от 24.12.2025

Edited January 13Jan 13 by Katbert

@Katbert, доброе утро. Обратил внимание коллег на проблему, в приоритете обработают, большое спасибо!

Прошу поднять приоритет до критического, так как одним исключением не отделаешься, у разработчика продукта бурная фантазия при именовании каталогов и метаданных исполняемых файлов.

При включенном компоненте Контроль устройств, стали блокироваться:

1.

Тип события: Запуск приложения запрещен
Название объекта: components-registrator.exe
Оригинальное название объекта: components-registrator.exe
Версия объекта: 25.6100.35.0
Приложение: NmhTransport
Путь к объекту: C:\Program Files (x86)\NmhTransport\25.6100.35\service\components-registrator.exe
Производитель: Tensor
SHA256: 505193c28589cb2e51ee4788eb1b52eaea486082244b514b023d3c67d3fdddfb
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы

2.

Тип события: Запуск приложения запрещен
Название объекта: win-files-replacer.exe
Оригинальное название объекта: win-files-replacer.exe
Версия объекта: 25.6113.55.0
Путь к объекту: C:\Program Files (x86)\Tensor\Saby\25.6113.55\service\win-files-replacer.exe
Производитель: Tensor
SHA256: fb3f64a63b3739e077bb706cc0464b325e9bbc5dac691085b69558165c8edda2
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: NT AUTHORITY\СИСТЕМА (Инициатор)
 

3.

Тип события: Запуск приложения запрещен
Название объекта: SabyAdmin_4123858690.exe
Оригинальное название объекта: SabyAdminInstaller.exe
Версия объекта: 25.6118.5.0
Приложение: SabyAdminInstaller
Путь к объекту: C:\Users\shuvalova_lv\AppData\Local\Tensor\Saby\rh_package\SabyAdmin_4123858690.exe
Производитель: Tensor
SHA256: b27e9875e0704d1792c652d8ed9410944cc74651f17be85b857993ada2ab9a3f
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: NT AUTHORITY\СИСТЕМА (Инициатор)

4. Тип события: Запуск приложения запрещен
Название объекта: sabylite.exe
Оригинальное название объекта: .exe
Версия объекта: 25.6100.391.0
Приложение: Saby Plugin
Путь к объекту: C:\Program Files (x86)\Tensor\Saby Lite\sabylite.exe
Производитель: Tensor
SHA256: 2e420ffa165f6dc143ffd0d64c9a658dc45b5c844c811888456e9611f60f891c
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы

5. 

Тип события: Запуск приложения запрещен
Название объекта: saby.exe
Оригинальное название объекта: .exe
Версия объекта: 25.6113.55.0
Путь к объекту: C:\Program Files (x86)\Tensor\Saby\saby.exe
Производитель: Tensor
SHA256: 1c20a39337003f03648153a4da03cd8b9749ea6e69a398a8a017b3fa7f1864ae
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы

6.

Тип события: Запуск приложения запрещен
Название объекта: sabycenter.exe
Оригинальное название объекта: center.exe
Версия объекта: 25.6100.149.0
Путь к объекту: C:\Program Files (x86)\Tensor\Saby Center\sabycenter.exe
Производитель: Tensor
SHA256: c0279c40985396ab7031ae22ebc3d128863a2e6e920ecf4a8a9bcf8e4b0d2856
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы
Пользователь: NT AUTHORITY\СИСТЕМА (Инициатор)

7.

Тип события: Запуск приложения запрещен
Название объекта: SabyAdmin_4123858690.exe
Оригинальное название объекта: SabyAdminInstaller.exe
Версия объекта: 25.6118.5.0
Приложение: SabyAdminInstaller
Путь к объекту: C:\Users\_______\AppData\Local\Tensor\Saby\rh_package\SabyAdmin_4123858690.exe
Производитель: Tensor
SHA256: b27e9875e0704d1792c652d8ed9410944cc74651f17be85b857993ada2ab9a3f
KL категория: Networking Software\Remote Access Applications
Источник KL категории: Локальные базы

И.т.д.

Edited January 13Jan 13 by maximum

@maximum, уточняю текущий статус, спасибо.

Пока идёт уточнение, был заблокирован ещё один ранее неизвестный файл.

Тип события: Запуск приложения запрещен
Название объекта: streaming-scan.exe
Оригинальное название объекта: streaming-scan.exe
Версия объекта: 25.6113.55.0
Путь к объекту: C:\ProgramData\SBISStreamingScan\streaming-scan.exe
Производитель: Tensor
SHA256: 80373eea0676545c5a8753bd493969ca0021a555cb6335df3b0c6d911affcc6d
KL категория: Networking Software\Remote Access Applications

Исправление в финальной стадии публикации, отпишу дополнительно.

@maximum, @Katbert, исправление опубликовано, обновите АВ базы, спасибо за оперативную связь. 

Есть какие-либо официальные объяснения причины произошедшего?

@maximum, к сожалению, всех деталей у меня нет. Как основная рекомендация, при использовании компонента Контроля приложений, участвовать в программе AllowList https://www.kaspersky.ru/partners/allowlist-program , это значительно снижает потенциальные проблемы с неверной категоризацией ПО и уровнем доверия к нему на стороне KES.

По деталям вчерашней проблемы лучше уточнить у нашей поддержки и, возможно, в поддержке Тензор. 

Как вы могли сделать вывод из данной тему, то проблема массовая, вопрос на неё был задан более чем 1 человеком, на форуме который доступен для чтения неограниченным кругом лиц.

Я захожу на данный форум для того чтобы находить ответ на свой вопрос быстро. Я не хочу тратить своё время на бесполезные переписки с некомпетентными и незаинтересованными людьми. 

Ещё раз спрашиваю, у вас отсутствует возможность запросить по своим каналам (так же как вы оперативно "обратили внимание коллег на проблему") пояснения о причинах массовых ложных блокировок компонентом Контроль приложений продуктов Saby?

@maximum, причина была в неверно измененной KL-категории для приложения от Tensor. Информация о KL-категориях поставляется через антивирусные базы. Поэтому при наличии настроенного запрета на запуск приложений KL-категории "Приложения для удаленного доступа", могла происходить блокировка запуска данного ПО.

В теме мы это обсудили, всё рассказано как есть. Улучшение процессов для не повторения подобных ситуаций коллеги приняли. 

Не все ответы на вопросы я могу запросить. Поэтому при необходимости клиентам следует дополнительно обращаться в техническую поддержку.

1 час назад, Demiad сказал:

причина была в неверно измененной KL-категории для приложения от Tensor. Информация о KL-категориях поставляется через антивирусные базы

Здесь стоит уточнить, что удаленный доступ в приложениях от Tensor есть, то есть все-таки частично верно категоризовано. 

Прошу не вводить в заблуждение или конкретизировать свой ответ.

При включенном компоненте Контроль приложений и выбранной к запрету KL-категории Сетевое ПО запуск портативной версии Saby Admin (AppData\Local\Tensor\Saby\rh_package\SabyAdmin_4123858690.exe) НЕ блокировался ранее и не блокируется сейчас.

Как Сетевое ПО детектируется локальная версия Saby Admin (Tensor\Saby Admin\launcher.exe), которую необходимо предварительно скачать и установить, имея административные привилегии на АРМ.

Т.е. к сбою не имеет отношение.

Коллеги, добрый день.

У меня настроено получение событий о запрете запуска ПО на почту. И, вот уже неделю сервер администрирования досылает мне сотни тысяч срабатываний, датированных 13 января и не могу представить сколько он еще будет их досылать. Если погасить службу сервера администрировния, рассылка прекращается, то есть очередь висит не на почтовом сервере, а инициируется сервером администрирования.

Можете, пожалуйста, подсказать, как прекратить этот хаос. Есть ли возможность сбросить всю очередь рассылки на сервере администрирования?

Спасибо.

@Hydrargyrum, добрый день. Посмотрите меню Блокировка частых событий, возможно в нем можно обратно активировать (галка в колонке Тип события в строке про блокировку запуска): https://support.kaspersky.com/help/KSC/15.1/ru-RU/212442.htm

Оставьте так на несколько дней, пока все устройства не дошлют события, затем снимите снова. 

Если такой сценарий невозможен, попробуйте уточнить в поддержки другие варианты.