Windows 10 19042.572 Defender Ausschlüsse alle verschwunden

[GrenSo]

Das kann ich Dir so auch nicht beantworten. Verwende da auch nur ein Microsoft Konto für DEV, Beta, Release Review und Retail.

Das scheint wirklich nur an den beiden Einträgen zu liegen, was man da wann bekommt:

Code: Alles auswählen

"MpCampRing"=dword:00000003
"MpEngineRing"=dword:00000003

Jetzt kam gerade die 4.18.2011.6 im DEV Channel. Alle anderen Installationen ohne Veränderung.

Die Clientversion habe ich auch vorhin bekommen und zwar ohne eine Anmeldung bei Insider. Was zur Hölle macht MS da...?

2020-11-21_130652.jpg

Und unter

Code: Alles auswählen

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\MpEngine

sieht's bei mir dabei noch immer so aus:

MpEngine.jpg

Und es lassen sich diese Werte auch nicht ändern, da nach einem Neustart wieder alles zurückgesetzt wird.

[Tante Google]

[moinmoin]

Die beiden Ring-Einträge hab ich gar nicht.

[DK2000]

Ich habe die nur in der Installation im DEV Channel. Alle anderen Installationen, also auch Beta und Release Preview haben die nicht. Hier ist noch alles auf der 4.18.2010.7.

Keine Ahnung, wo die Einträge herkommen. Wird spekuliert, das Microsoft bzw. das Defender Team einige Rechner zum Testen ausgesucht hat, ohne den Nutzer zu informieren. Oder das Ganze war nur ein Versehen. Das "Problem" existiert auch schon gut 6 Monate. Aber keiner weiß so genau, wie das passiert ist und wie man die Einträge wieder los wird.

[moinmoin]

In der Dev hab ich überhaupt keinen der vier Einträge in der Registry.
Da hab ich aber auch noch die 4.18.2010.7

[DK2000]

Ich weiß auch nicht, warum die bei mir existieren. Sind halt da. Und wenn ich sie lösche, sind sie beim nächste Neustart wieder da. Vielleicht muss ich mal eine Neuinstallation vornehmen. Ist halt mysteriös mit den Einträgen.

[moinmoin]

Ich vermute da langsam irgendein zusätzlichen Dienst, der da die Einträge wieder reinschreibt.

[GrenSo]

Im Grunde ist es mir eigentlich egal, solange der Defender zu 100% arbeitet und tut was er soll und dabei die von mir vorgenommenen Einstellungen nicht ignoriert oder gar abändert.

[lightman]

Hallo,
gestern habe ich, so denke ich, die wirklich richtige Lösung gefunden; und die ist so ein Kinderspiel, dass ich selbst nicht glauben kann.
Ich hatte vorgestern eine alte Win10 per Inplace Upgrade auf die 20H2, alles gut, irgendwann sehe ich wieder die Ausschüsse nicht., wieder alles probiert, negativ, dann wieder google, und siehe da, die Lösung:
https://www.reddit.com/r/Windows10/comm ... mpty_list/
Sofort getestet und ohne Probleme bei mir Benutzer hinzugefügt und Vollzugriff gegeben, dann sofort nachgesehen und alles ist wieder da, auch löschen zufügen ok.
Da haben wir wie doof Stunden lang experimentiert, diskutiert und die wirklich naheliegendste Lösung übersehen.

defender.png

ich glaube DK2000 oder moinmoin hatte schon einmal Berechtigungen erwähnt.

[GrenSo]

So etwas in der Art hatte ich damals in der VM versucht gehabt, nur hatte ich da als Benutzer nicht Jeder sondern mich selbst als Benutzer die entsprechenden Rechte vergeben. Denn als als Benutzer Administrator hatte ich in der VM die Ausschlüsse in der GUI sehen können.

[lightman]

Ja, das Bild ist nicht ganz richtig, ich hatte den Benutzer hinzugefügt und Vollzugriff gewährt, vielleicht lag es bei dir an der VM, es ging auch völlig ohne Probleme, als Besitzer sind die Admins eingetragen, war so schon vorgegeben, beim Trusted Installer hätte man etwas frimeln müssen oder mit Nsudo, Powerrun arbeiten müssen.
EDIT:
Bild ausgetauscht.

[DK2000]

Das wieder komisch. Da fehlen spezielle Benutzergruppen. Bei mir sieht das dort so aus:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions

Screenshot 2020-11-24 125309.jpg

Frage wäre jetzt, warum fehlen da die Gruppen TrustedInstaller, WinDefend und SYSTEM?

[lightman]

Das wieder komisch. Da fehlen spezielle Benutzergruppen. Bei mir sieht das dort so aus:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions
Screenshot 2020-11-24 125309.jpg
Frage wäre jetzt, warum fehlen da die Gruppen TrustedInstaller, WinDefend und SYSTEM?

Der gibts es da nicht, obwohl ich schon dachte Nsudo musst du nutzen, kannst du denn ohne Tool die Rechte ändern ?
Hatte erst gedacht die auch noch zu zufügen, aber so klappt es super. Es ist übrigens die 4.18.2010.7 Version wieder mal, keine Ahnung warum da die Rechte so " seltsam sind, auf jeden Fall ist das doch sehr wahrscheinlich die Lösung.

[DK2000]

Nein, ohne Nsudo kann ich da nichts ändern, da SYSTEM der Besitzer ist. Müsste RegEdit als SYSTEM und die Vererbung deaktivieren bzw. in dem Schlüssel die Veränderung durchführen, von welchem aus vererbt wird. Ansonsten geht das nicht.

OK, mit PowerShell kann man den Spaß auslesen (Neuinstallation 19042.630, Defender 4.18.2010.7):

Code: Alles auswählen

Path   : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender
Owner  : NT-AUTORITÄT\SYSTEM
Group  : NT-AUTORITÄT\SYSTEM
Access : Jeder Allow  -1610612736
         Jeder Allow  ReadKey
         NT-AUTORITÄT\SYSTEM Allow  FullControl
         NT-AUTORITÄT\SYSTEM Allow  268435456
         VORDEFINIERT\Administratoren Allow  ReadKey
         VORDEFINIERT\Administratoren Allow  -1610612736
         NT SERVICE\TrustedInstaller Allow  FullControl
         NT SERVICE\TrustedInstaller Allow  268435456
         NT SERVICE\WinDefend Allow  FullControl
         NT SERVICE\WinDefend Allow  268435456
         ZERTIFIZIERUNGSSTELLE FÜR ANWENDUNGSPAKETE\ALLE ANWENDUNGSPAKETE Allow  -2147483648
         ZERTIFIZIERUNGSSTELLE FÜR ANWENDUNGSPAKETE\ALLE ANWENDUNGSPAKETE Allow  ReadKey
         ZERTIFIZIERUNGSSTELLE FÜR ANWENDUNGSPAKETE\ALLE EINGESCHRÄNKTEN ANWENDUNGSPAKETE Allow  ReadKey
         ZERTIFIZIERUNGSSTELLE FÜR ANWENDUNGSPAKETE\ALLE EINGESCHRÄNKTEN ANWENDUNGSPAKETE Allow  -2147483648
         S-1-15-3-1024-3153509613-960666767-3724611135-2725662640-12138253-543910227-1950414635-4190290187 Allow  ReadKey
         S-1-15-3-1024-3153509613-960666767-3724611135-2725662640-12138253-543910227-1950414635-4190290187 Allow  -2147483648

Kann man das jetzt auch importieren? ACL und Registry, gute Frage. So etwas habe ich noch nicht gemacht.

[lightman]

Verständnisfrage:
du siehst aber die Einträge bei dieser Installation ?

[DK2000]

Ja, sehe da ohne Probleme meine Ausschlüsse:

Screenshot 2020-11-24 133018.jpg

Ansonsten hatte ich das ja nicht weiter erwähnt.

Bin da mal alle meine Installationen durchgegangen und überall sieht es da so aus, wie auf dem Screenshot, selbst im DEV Channel.

Kann auch überall Ausschlüsse anlegen, welche dann auch angezeigt werden. Gerade noch einmal getestet, um sicherzugehen.