Windows Defender Notification Icon trotz Autostart-Deaktivierung an

Ratabam · Beitrag von **Ratabam** » 20.10.2017, 13:24

Hallo,

bis zum jetzigen 1709-Update hat der Autostart-Trick immer geklappt: Das Icon im Autostart-Menü deaktivieren, und schon ist das Icon nicht mehr in der Symbolleiste. Nach einer frischen Neuinstallation von 1709 startet der Prozess aber nach ein paar Neustarts wieder. Im Autostart-Menü ist der Prozess aber deaktiviert.

Ich nutze keine andere Virensoftware. Gibt es vielleicht ein Tool, das herausfinden kann, wie und warum ein Programm gestartet wurde?

MfG

Beitrag von **Tante Google** » 20.10.2017, 13:24

moinmoin · Beitrag von **moinmoin** » 20.10.2017, 13:39

Erst einmal

Hab es gerade mal probiert Mehrfach Neustart / Herunterfahren. Es bleibt deaktiviert.

Verantwortlich ist die MSASCuiL.exe .
Kannst ja mal gleich nach dem Start den Task-Manager (Reiter Details) öffnen und schauen, ob sie sofort gestartet ist, oder erst später.

Ratabam · Beitrag von **Ratabam** » 20.10.2017, 14:15

Der Prozess startet sofort. Komischerweise ist mir das Icon erst heute aufgefallen. Ich habe Win 10 vorgestern installiert und mindestens nach dem Ausschalten im Autostart-Menu war das Icon weg. Heute fällt mir es das erste mal auf.

Ich habe die Registry nach Einträgen durchsucht und nur unter

Code: Alles auswählen

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run

und

Code: Alles auswählen

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Einträge zu MSASCuiL.exe gefunden, die etwas mit Autostart zu tun haben. Die habe ich jetzt beide gelöscht, und trotzdem startet das Icon.

Ein anderer Eintrag befindet sich unter

Code: Alles auswählen

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\bam\UserSettings\

und

Code: Alles auswählen

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\bam\UserSettings\

.

Ich habe nach jedem großen Update von Windows 10 eine frische Neuinstallation vorgenommen und das ist das erste mal, dass das Icon so widerspenstig ist.

moinmoin · Beitrag von **moinmoin** » 20.10.2017, 14:26

Mhh, ganz ehrlich?

Bliebe noch Autoruns, um mal zu prüfen, ob es noch woanders verbunden ist.
https://www.deskmodder.de/wiki/index.ph ... entfernen Abschnitt 7

Ratabam · Beitrag von **Ratabam** » 20.10.2017, 14:40

Danke dir bis hier hin, hier das Ergebnis für die Suche nach "Defender" und der Beweis, dass ich mir nichts einbilde: https://imgur.com/a/BmFEg

moinmoin · Beitrag von **moinmoin** » 20.10.2017, 14:57

Das sind aber alles Einträge für den Defender. Nicht das Security Center.

Ratabam · Beitrag von **Ratabam** » 20.10.2017, 15:11

Ich hatte unter "MSASCuiL" nichts gefunden, daher habe ich "Defender" genutzt, um eventuell andere Programme unter C:\Program Files\Windows Defender\, wo die MSASCuiL.exe liegt, zu finden.

Es könnte aber das SecurityHealthService unter HKLM\System\CurrentControlSet\Services sein. Der Eintrag zum Starten des Icons heißt "SystemHealth" oder so ähnlich (kann nicht mehr nachgucken, habs ja gelöscht

). Jedoch ist der SecurityHealthService ja verantwortlich für das gesamte Sicherheits- und Instandhaltungsprogramm.

Ich werde mal eine VM aufsetzen und schauen, ob ich das Verhalten reproduzieren kann.

moinmoin · Beitrag von **moinmoin** » 20.10.2017, 15:14

Jo, da bin ich gespannt.

Ratabam · Beitrag von **Ratabam** » 23.10.2017, 01:41

Ich habe Windows 10 vor ~24h neu aufgesetzt und habe jetzt wieder das Icon. Ich bin mir relativ sicher, dass es etwas mit Neustarten/Runterfahren zu tun hat. Bis vorhin habe ich das System immer sauber runtergefahren und wieder hochgefahren. Bis vorhin, wo ich auf Neustart geklickt und dann von einem USB-Stick Linux gebootet habe, dazwischen noch mal Resetten musste, da der Stick nicht im UEFI angezeigt wurde. Und jetzt lacht mich das Defender-Icon wieder an.

Dazu würde auch das komische Verhalten passen, dass Windows-Fenster (Explorer und Einstellungen) sich bei einem Neustart direkt geöffnet hatten, wenn sie vor dem Neustart noch offen waren. Aus diesem Grund habe ich Windows das erste mal neu aufgesetzt (momentan habe ich Installation #3 am Start).

Interessant vielleicht: Ich habe den Schnellstart deaktiviert, da sonst USB-3.0-Sticks erst nach einem Neustart mit über 25MB/s laufen (B75-Mainboard).

Ich werde nochmals eine VM aufsetzen, da ich die erste gelöscht habe (lag auf C:\). Jetzt habe ich zumindest einen Anhaltspunkt.

Ich bin immer noch ein wenig irritiert, da ich wirklich nichts anders mache als bei allen anderen Win-10-Installationen.

edit:
Hinzu kommt, dass ich seit dem Neustarten/UEFI/Linux-Gedönz nach dem Hochfahren für ein paar Sekunden ein helles Bild habe (f.lux scheint kurz auszusetzen). Das müsste zusammenhängen und auf ein größeres Problem hinweisen.

Ratabam · Beitrag von **Ratabam** » 23.10.2017, 04:01

Nach weiterem Testen mit älteren AMD-Treibern bin ich zum Entschluss gekommen, dass f.lux Schuld ist. Ich habe keine Ahnung warum, aber ohne f.lux hat sich noch kein Defender-Icon aus der Deckung getraut. Warum das erst jetzt nach ein paar Neustarts ein Problem ist, kann ich auch nicht beantworten.

In der VM läuft f.lux hingegen ohne Defender-Icon. Es scheint also eine Kombination aus AMD Crimson, f.lux und Schnellstart zu sein. Ohne Grafikkartentreiber kann man die Schnellstartoption nämlich nicht ausschalten. Somit muss der Treiber eine tiefe Auswirkung auf den Systemstart haben.

moinmoin · Beitrag von **moinmoin** » 23.10.2017, 07:59

Die Kombination ist mir auch neu.

Ratabam · Beitrag von **Ratabam** » 25.10.2017, 02:42

Ich habe es in einer VM in Teilen reproduziert. Das Icon erscheint in der VM zwar nur nach einer Einstellungsänderung vom Defender, aber dafür nur, wenn f.lux installiert ist.

Um es nachzustellen:
- Windows 10 1709 in einer VM installieren
- ~~(Updates etc installieren lassen)~~ Ist egal, habe es ohne Internet reproduziert
- falls aktiviert, Fast Startup deaktivieren
- Defender Icon im Autostart-Menü deaktivieren
- f.lux installieren, Neustarten
- eine Einstellung im Defender ändern (Cloudbasierter Schutz und/oder Übermittlung von Beispielen), Neustarten

Das Defender-Icon sollte jetzt sichtbar sein. Beim nächsten Neustart sollte es wieder weg sein. Bei der nächsten Änderung in den Defender-Einstellungen sollte es nach einem Neustart wieder erscheinen. Wenn f.lux deinstalliert ist, sollte das Icon nie erscheinen.

Es ist zwar nicht das gleiche Ergebnis, wie an meinem privaten Rechner, aber doch ein Hinweis, dass f.lux irgenwas mit dem Defender/mit Windows anstellt.

Es wäre klasse, wenn du es mal versuchen könntest, vielleicht klappt es ja auch am eigenen Rechner. Wichtig wäre noch, dass es m.M.n. einen Unterschied macht, ob man von 1703 geupdated hat oder 1709 neu installiert hat.

Kleines Update:

Mit einer Windows 10 1703-VM-Installation passiert das selbe. Ich hätte das Gegenteil erwartet, da das Problem mir ja erst jetzt mit der 1709-Installation aufgefallen ist. So oder so, f.lux macht was mit Windows, was das Defender-Icon triggert.

moinmoin · Beitrag von **moinmoin** » 25.10.2017, 07:25

f.lux bereitet wirklich Probleme. Hatte ich gestern erst irgendwo gelesen. Ob es jetzt auch in deinem Zusammenhang war, kann ich nicht sagen.
Neueste Version von f.lux hast du drauf?

Ratabam · Beitrag von **Ratabam** » 25.10.2017, 16:51

Ja, ich nutze die neuste Version. Ältere sind relativ umständlich zu finden. Wenn du diesen Post gesehen hast, bin ich das.

Ich werde jetzt ein System mit der 1703-Iso, f.lux 4.41 vom August und Crimson 17.8.1 aufsetzen, also so, dass das System nicht älter als Stand August ist. Damit dürfte das Icon nicht erscheinen. Wenn doch, dann weiß ich auch nicht weiter.

Ratabam · Beitrag von **Ratabam** » 25.10.2017, 19:18

Ich habe es genau so gemacht und das Defender-Icon ist nie erschienen. Sogar mit der aktuellen f.lux-Version blieb das Icon aus.

Dann ist es wohl doch das Windows-Update. Jedoch erscheint das Icon in der VM ja auch in der 1703-Version, wenn man die Einstellung ändert. Komisch. Könnte auch der AMD-Treiber sein.