128.4.3 vs. Windows Defender, TB laggt ewig

Zitat von Knaeusi

dass während dieser Zustände der Prozess "Antimalware Service Executable" stark beschäftigt ist, TB dagegen nicht.

Hallo,
es ist sinnvoll, für die Ordner ImapMail und Mail die im Profilordner liegen, jeweils Ausnahmen vom Scan
im Defender zu setzen.
Dafür in den Einstellungen das Scannen eingehender Mails anzuhaken.

Hallo Bastler,

Zitat von Bastler

es ist sinnvoll, für die Ordner ImapMail und Mail die im Profilordner liegen, jeweils Ausnahmen vom Scan
im Defender zu setzen.

Das lese ich nicht zum ersten Mal. Evtl. von Dir oder auch schon von anderen Helfern schon mal. Mich interessiert in dem Zusammenhang, wie der Windows Defender auf schädliche Mails prüfen können soll, wenn die relevanten Verzeichnisse ausgeklammert werden? Der wird dann ja geradezu blind gegen schädliche Anhänge, Scripte und Links.

Meiner Einschätzung nach, muss der Defender ohne Ausnahme und gerade auch auf den Mail-Verzeichnissen von Thunderbird arbeiten + das Setzen der von Dir genannten Option.

Gruß
Sehvornix

Zitat von Sehvornix

oder auch schon von anderen Helfern schon mal.
---------------------
wie der Windows Defender auf schädliche Mails prüfen können soll

Hallo,
hier in der Thematik von Dir selbst angesprochen und im Beitrag #3 darüber von Susi to visit

.. da steht aber (von mir) nichts von 'Mailverzeichnisse beim Windows Defender von der Überwachung ausnehmen'.

Die Option in Thunderbird bewirkt, afaik, dass Mails zunächst als temporäre Objekte erzeugt werden. Die temporären Objekte fallen dann bereits dem on-access-Scanner auf. Z.B. Defender. Bevor sie zu TB gelangen. Selbstverständlich darf auch dieser temporäre Speicherort nicht in eine Ausname inbegriffen sein.

Quelle: https://support.mozilla.org/de/kb/einstell…eit-thunderbird

Da alle AV, auch der Windows Defender, nur so gut sind, wie die Siganturen das hergeben, lässt man halt auch regelmäßig Scans über die Systeme laufen. Macht auch der Windows Defender. Dabei fallen durchaus hin und wieder noch Mails ins Raster, die vorher durchgekommen sind. Deshalb sollte man die Mailverzeichnisse von Thunderbird nicht aussparen.

In dem Thread ist an anderer Stelle von Susi to visit nachzulesen, dass sie keine AV kennt, die einzelne Mails aus mbox-Dateien entfernen könnte. Genau das kann ich jedoch tagtäglich beobachten. Sicher arbeitet auch der Defender das irgendwie ab, denn einige betreute Installationen haben diese Kombi aus TB und Windows Defender. Nur kann ich das nicht anhand von Benachrichtigungen nachvollziehen. Der andere Teil der betreuten Installationen setzt kommerzielle AV ein, hat regelmäßig damit zu tun und entsprechend viele Reports treffen ein - ohne, dass bisher je eine komplette mbox-Datei dabei gekillt wurde. Das geht soweit, dass aus betreffenden Mails schädliche Anhänge entfernt werden, der Rest der Mail aber noch ankommt.

Auf einem anderen Blatt steht, dass nicht jede AV in diesem Sinne kompetent arbeitet. Das sehen wir hier ja auch hin und wieder - inzwischen eher selten, wie ich finde - wenn dann doch die mbox-Datei komplett in der Quarantäne landet.

Die alternative Variante des Scans der IMAPS- und SMTPS-Verbindung kann der Defender halt nicht. Der setzt sich eben nicht als MITM in den Datenstrom. Kann man jetzt so oder so sehen. Lässt man diesen Weg zu (mit was anderem als Windows Defender), könnte man ggf. daran denken, die Mailverzeichnisse von Thunderbird vom on-access-Scanner auszunehmen. (Ich würde es trotzdem nicht tun.)

Bliebe noch der Hinweis zur Umstellung von mbox auf maildir. In dem Fall würden sich die Mails zu einzelnen Dateien auflösen und eine AV würde jedenfalls weniger Möglichkeiten für Kollateralschäden haben.

Gruß
Sehvornix

Zitat von Sehvornix

da steht aber (von mir) nichts von 'Mailverzeichnisse beim Windows Defender von der Überwachung ausnehmen'.

Schon klar, aber die Untersuchung einer eingehenden Nachricht in temporärem Umfeld, unterstützt logisch
das setzen von Ausnahmen.
Denn, sollte eine komplette mbox Datei in Quaratäne gelangen, könnte die u.U. gesemmelt werden.
Wer Lust hat, kann ja umfangreiche try & error Versuche fahren.

Zitat von Sehvornix

Selbstverständlich darf auch dieser temporäre Speicherort nicht in eine Ausname inbegriffen sein.

Stimm zu. Ich habe die Ausnahmen ja auch stark eingegrenzt.

Zitat von Sehvornix

Bliebe noch der Hinweis zur Umstellung von mbox auf maildir. In dem Fall würden sich die Mails zu einzelnen Dateien auflösen und eine AV würde jedenfalls weniger Möglichkeiten für Kollateralschäden haben.

Das klingt für mich logisch.

Zitat von Knaeusi

Hat sich beim TB oder beim Defender etwas geändert, was zu solchen Blockierungen führt?

Die Zusammenhänge sind auch noch nicht bis ins Detail erforscht.
Quengeligkeiten mit dem Defender aber eher eine sehr seltene Erscheinung. Meist machen die "extra installierten" Ärger.

Lasse den turnusmäßigen Scan (kannst Du selbst definieren) vom Defender erst in Ruhe zu Ende arbeiten.

Zitat von Knaeusi

Kann ich mit der o.g. Ausnahme davon ausgehen, dass eine evtl. infizierte Mail VOR der Ablage in der mbox-Datei vom Defender abgefangen wird?

Davon gehe ich in #2 aufgeführtem aus. Eine gesicherte Erfahrung kann ich leider nicht bieten,
ich habe noch keine infizierte Mail bekommen.

Zitat von Knaeusi

Jedoch frage ich mich, warum das Problem eher plötzlich aufgetreten ist.

In Abwandlung und Vermischung zweier bekannten Weisheiten:
Das Kind geht solange zum Brunnen, bis wieder Bier im Hause ist.

Ein richtiger Neustart von Windows (also wirklich Neu starten - nicht Herunterfahren und wieder Einschalten) wirkt manchmal Wunder.

Wenn der Windows Defender ungewöhnliche Aktivitäten entfacht und anscheinend überhaupt nicht fertig wird, hilft oft manueller Start einer vollständigen Systemprüfung im Defender. Schließe vorher alle aktiven Anwendungen, insbesondere den Thunderbird. Das Ganze kann durchaus mehrere Stunden dauern, also am Besten über Nacht durchlaufern lassen.

Das hat alles nichts mit Thunderbird zu tun, kann aber trotzdem helfen.