McAfee gibt eine falsch-positive Meldung des Virus W32/wecorl.a aus, wenn Version 5958 der DAT-Datei verwendet wird

McAfee hat ein Problem in der Virendefinitionsdatei (DAT) erkannt. Aufgrund dieses Problems wird der Virus W32/wecorl.a im Prozess "Svchost.exe" falsch-positiv erkannt. Dabei kann der Prozesss "Svchost.exe" abhängig von der Software-Konfiguration unter Quarantäne gestellt oder entfernt werden. Dieses Verhalten kann eines der folgenden Probleme zur Folge haben:

• Der Computer wird bei einem DCOM- oder RPC-Fehler heruntergefahren.
• Der Computer läuft ohne Netzwerkverbindung weiter.
• Der Computer löst einen Stop-Fehler auf einem Bluescreen aus.

Windows XP Service Pack 3 (SP3) ist das einzige von diesem Problem betroffene Betriebssystem. Dies ist bekanntes Problem.

Lösung

Option 1:

Neuste Informationen zu diesem Problem und Schritte zur Behebung finden Sie auf der folgenden McAfee-Website:

https://kc.mcafee.com/corporate/index?page=content&id=KB68780

Option 2:

Gehen Sie zur manuellen Reparatur eines Computers mit diesem Problem in diesen Schritten vor:

1. Starten Sie den Computer im abgesicherten Modus neu, indem Sie F8 drücken, bevor der Windows-Begrüßungsbildschirm angezeigt wird.

2. Melden Sie sich am Computer an. Drücken Sie STRG+ALT+DEL, und klicken Sie dann auf Start Windows Task Manager.

3. Klicken Sie im Menü Datei auf Neuer Task (Ausführen).

4. Geben Sie cmd.exe ein, und drücken Sie die [EINGABETASTE].

5.Benennen Sie die Datei Avvscan.dat um, damit die Datei Svchost.exe nicht von McAfee entfernt werden kann, bis eine aktualisierte DAT-Datei installiert ist. Führen Sie hierzu den folgenden Befehl aus:

ren ?%CommonProgramFiles%\McAfee\Engine\avvscan.dat? avvscan.old

Hinweis Dadurch werden McAfee-Virendefinitionen entfernt. Überprüfen Sie, dass Sie auf die neuesten Definitionen (Version 5959 der DAT-Datei oder neuer) aktualisieren, nachdem Sie diese Schritte zur Wiederherstellung der Virendefinitionen abgeschlossen haben.

6. Stellen Sie die Datei Svchost.exe im Verzeichnis "System32" wieder her, indem Sie folgenden Befehl ausführen. Eine Sicherungskopie wird üblicherweise im Ordner "DLLCACHE" gespeichert.

copy %systemroot%\system32\dllcache\svchost.exe %systemroot%\system32\

Drücken Sie anschließend die EINGABETASTE.

Hinweis Schlägt dieser Befehl mit dem Fehler "Die angegebene Datei kann nicht gefunden werden" fehlschlägt, prüfen Sie die Syntax, lesen unter "Erweiterte Schritte zur Wiederherstung einer fehlenden Datei Svchost.exe" weiter.

7. Starten Sie den Computer neu.

Erweiterte Schritte zur Wiederherstellung einer fehlenden Datei Svchost.exe file

1. Besuchen Sie zum Download von Windows XP Service Pack 3 (SP3) folgende Microsoft-Webseite :
   
   http://www.microsoft.com/downloads/details.aspx?FamilyId=5B33B5A8-5E76-401F-BE08-1E1555D4F3D4&displaylang=de
2. Klicken Sie auf Start und auf Ausführen, geben Sie cmd.exe in das Feld Öffnen ein, und drücken Sie anschließend die [EINGABETASTE].
3. Öffne Sie mithilfe des Befehls cd\ das Verzeichnis, in das Sie diese Windows XP SP3-Datei heruntergeladen haben. Verwenden Sie dazu zum Beispiel den folgenden Befehl:
   
   cd c:\Verzeichnisname
4. Entpacken Sie die Datei WindowsXP-KB936929-SP3-x86-ENU.exe, indem Sie an der Eingabeaufforderung Folgendes eingeben:
   
   WindowsXP-KB936929-SP3-x86-ENU.exe /x: Verzeichnisname
   
   Hinweis Der Platzhalter Verzeichnisname steht für das Verzeichnis, in dem Sie die entpackten Dateien gespeichert haben.
5. Extrahieren Sie Sie Svchost.exe aus dem extrahierten Ordner, und speichern Sie die Datei dann mit dem folgenden Befehl im richtigen Verzeichnis:
   
   expand ?r .\i386\svchost.ex_ %systemroot%\system32\

Option 3:

Ein Schrittanleitung zum Erstellen einer Task-Sequenz zur Automatisierung dieser Reparatur in System Center Configuration Manager 2007 finden Sie auf folgender Microsoft-Website:

http://blogs.technet.com/configurationmgr/archive/2010/04/22/configuration-manager-2007-task-sequence-to-assist-in-resolving-mcafee-antivirus-deleting-svchost-exe.aspx

Weitere Informationen

Dieses Problem tritt bei Version 5958 der McAfee DAT-Datei auf. Diese DAT-Datei wurde am 21.04.10 freigegeben. Diese DAT-Datei wurde durch Version 5959 abgelöst. Version 5959, mit der die falsch-positve Erkennung behoben wird, die im Abschnitt "Zusammenfassung" beschrieben wird. Zusätzlich hat McAfee has eine Datei EXTRA.DAT freigegeben, mit der die falsch-positve Erkennung des Prozesses Svchost.exe bei Kunden unterdrückt werden kann, bei denen Version 5958 der DAT-Datei läuft.