Bug im Windows Defender

[IT-SK]

Abgespalten von C:\ knapp doppelt so groß wie die Summe aller Ordner auf C:\ Sabine

-----------------------------------------------

Hallo,
zusätzlich soll es momentan einen Bug des Defender geben auf einigen Systemen,
aber das dürfte wohl auch bei weitem nicht die Datenmenge betreffen, die Du wie erwähnt nicht sehen kannst.
Bin unterwegs, kann also nichts weiteres zu dem vermeintlichen Bug sagen:

Ein Bug im Windows Defender sorgt dafür, dass unter Windows 10 etliche SSDs und Festplatten mit Mini-Dateien geflutet werden. Ob Sie betroffen sind, können Sie im Ordner "C:\ProgramData\Microsoft\Windows Defender\Scans\History\Store" nachprüfen. Nutzer berichten von tausenden Dateien in diesem Verzeichnis. Die sind zwar alle nicht besonders groß, meist nur rund 2 KByte, doch in manchen Fällen wächst die Zahl der Dateien so schnell, dass viele GByte zusammen kommen.
Laut Microsoft ist für dieses Problem die Datei MsMpEng.dll verantwortlich. Eine erste Maßnahme sollte sein, den Inhalt des Ordners zu löschen. Das klappt ganz einfach händisch im Explorer.

Wichtig: Das Verzeichnis "ProgramData" wird nur angezeigt, wenn man in der Explorer-Ansicht auch "Versteckte Dateien und Ordner" einblenden lässt.

Das Löschen des Ordnerinhalts ist keine wirkliche Problemlösung, denn der Fehler im Windows Defender sorgt innerhalb kürzester Zeit dafür, dass sich wieder neue Dateien ansammeln. Microsoft hat einen Fix parat, der wohl über die nächsten Tage an Nutzer von Windows 10 verteilt werden soll. Um ihn sofort zu kriegen, starten Sie eine manuelle Suche nach Windows Updates.
Damit kriegen Sie dann ein Security-Intelligence-Update für den Defender mit der KB2267602 (Version 1.339.42.0). Die Modulversion für Windows Defender wird mit dem Update auf 1.1.18100.6 gehoben. Das lässt sich in "Windows-Sicherheit" über die "Einstellungen" und "Info" nachprüfen. Damit sollte die Datenflut gestoppt werden.

 

[areiland]

@IT-SK
Das sollte aber inzwischen gefixt sein, denn MS hatte den Fix für heute angekündigt. Da solche Sachen mit den normalen Signaturupdates mitkommen, wird man das auch nicht direkt sehen können, höchstens an der Versionsnummer der MP-Engine.

 

[Ulrich]

Im Zuverlässigkeitsverlauf erscheint sie nur als Fehler.
Ich habe seit dem Fehler gestern keine Updates für den Defender mehr bekommen. Ich habe in der Historie für die Definitionsupdates 50 Updates, seit dem 23.3.2021
Die haben jetzt alle die KB2267602 ! Nur die Version in Klammern dahinter unterscheidet sich.

 

[runit]

So wie bei @Ulrich sieht es bei mir auch aus. Die von @IT-SK erwähnten Dateien waren bei mir vorhanden, etwas über 3600 Dateien, die ich händisch gelöscht habe.

 

[Ulrich]

Bei mir waren keine Dateien vorhanden.

Ich habe von hier

Latest security intelligence updates for Microsoft Defender Antivirus and other Microsoft antimalware - Microsoft Security Intelligence

nochmals manuell updaten wollen, was aber keine Änderung im Updateverlauf brachte.

 

[runit]

Ich lasse es so mit dem Fehler. Ich denke, MS wird das Update reparieren und dann läuft es wieder. Wir können ja morgen nochmal prüfen, ob sich was getan hat.

 

[areiland]

nochmals manuell updaten wollen, was aber keine Änderung im Updateverlauf brachte.

Was erwartest Du denn auch? Die fehlgeschlagene Version ist die 1.339.26.0, während die zuletzt installierte Version die 1.339.75.0 ist. Es soll ja kein downgrade stattfinden, deshalb wurde die ältere Version verworfen.

 

[jsigi]

So wie bei @Ulrich sieht es bei mir auch aus. Die von @IT-SK erwähnten Dateien waren bei mir vorhanden, etwas über 3600 Dateien, die ich händisch gelöscht habe.

Ich habe dazu gerade einen Artikel mit Lösung gefunden:
Windows Defender flutet SSDs mit Dateien: Das können Sie dagegen tun

 

[runit]

Installiert ist bei mir derzeit 1337.684.0 Das wurde heute früh um 04.45 Uhr installiert.

Um 02.38 Uhr kam die Version 1339.26.0 mit Installationsfehler.

Zuletzt gescheitert ist das Update der Version 1339.61.0 heute um 13.45 Uhr. Das ist also nicht wegen eines Downgrades gescheitert.

 

[areiland]

Und bei mir ist die aktuelle Version der Signaturen die 1.339.73.0. Kommt auf den Installationszeitpunkt an.

 

[runit]

Jupp. - jetzt hat es geklappt mit einer aktuellen Version

 

[Ulrich]

Ich habe gerade die 1.339.103.0 bekommen. Scheint wieder zu laufen.

Beitrag automatisch zusammengeführt: 07.05.2021

Was erwartest Du denn auch? Die fehlgeschlagene Version ist die 1.339.26.0, während die zuletzt installierte Version die 1.339.75.0 ist. Es soll ja kein downgrade stattfinden, deshalb wurde die ältere Version verworfen.

Nun ja, zu diesem Zeitpunkt hatte ich bereits seit über einem Tag keine Updates mehr bekommen. Es ging mir um die Aktualität meiner Definitionen.

Grüsse von Ulrich

 

[crumb1]

Moin
bin mal wieder zu späht dran.
Ich habe unmittelbar gestern gegn 16:30 das hier durchgeführt
Defender täglich updaten ohne Windows Update Deskmodder Wiki
und sofort das Update bekommen.
Ich lass das erst mal laufen.

 

[Ulrich]

Ich habe eben das zweite Update heute bekommen ( 1.339.115.0 ). Also es scheint wieder alles in Ordnung zu sein - bei mir jedenfalls.

 

[dau0815]

Wichtig ist aber nicht die obige Nummer, sondern die Engine-Version. Und die findet man hier:

Ab der Modulversion 1.1.18100.6 ist der Bug wieder draußen.

 

[areiland]

@dau0815
Das ist natürlich richtig, aber die neue Modulversion kommt halt mit den normalen Signaturupdates.

 

[dau0815]

Stimmt. Aber zur Kontrolle ist es sicher sinnvoll die Modulversion zu ermitteln, wenn man sich 100% sicher sein will.

 

[areiland]

Selbstverständlich.

 

[crumb1]

@dau0815 @areiland
Danke euch. Da erspart meine Frage.
Ich hatte oben ja schon geschrieben. Der Weg über den Dfender direkt das Update zu ziehen war wohl besser als über das Win Update. Bei mir stand Downloadfehler beim Upate Versionxxx066.

 

[areiland]

Ich habe unmittelbar gestern gegn 16:30 das hier durchgeführt

Ist völlig unnötig, denn der Defender aktualisiert sich ohnehin von selbst regelmässig. Das standardmässige Suchintervall nach neuen Signaturen beträgt vier Stunden. Nur sieht man das halt nicht, weil das der Defender an Windows Update vorbei erledigt. Es wäre nämlich fatal, wenn man lediglich Windows Update blockieren müsste, um zu verhindern, dass der Defender aktuelle Signaturen bekommt.

Wenn man das Intervall verkürzen möchte, schaltet man in "Windows-Sicherheit" in den Einstellungen des Viren- und Bedrohungsschutzes den Manipulationsschutz aus, öffnet eine Powershell mit Adminrechten und setzt mit dem Befehl: Set-Mppreference -SignatureUpdateInterval 2 sein eigenes verkürztes Intervall - hier zwei Stunden. Möglich sind 1 - 24 Stunden, 0 würde das Standardintervall setzen. Danach noch mit dem Befehl: Get-mppreference kontrollieren, ob das neue Intervall auch gesetzt ist. Anschliessend kann man den Manipulationsschutz wieder aktivieren.

Nur wird man deshalb auch nicht häufiger Signaturupdates bekommen, denn wenn nix da ist kann auch nix geladen werden.