retrospace - Beitrag lesen

Windows | Überwachter Ordnerzugriff: Pfad zur EXE, die geblockt wurde, herausfinden

Windows 10's Defender bietet mit "Überwachter Ordnerzugriff" eine nützliche Funktion an, die Änderungen an Dateien blockiert, wenn das Programm nicht explizit per Whitelist zugelassen wurde. Leider ist das GUI unzureichend implementiert, der Dateipfad zur blockierten EXE-Datei wird dort nicht angezeigt.

[align=center][inturl=./upload/files/1_0c41a1307707aa761e5046ab99910ddf_unbenannft.png][img]./upload/files/thumbs/1_0c41a1307707aa761e5046ab99910ddf_unbenannft.png.png[/img][/inturl] [inturl=./upload/files/1_40a51e6a6387497e6076597ff124fe05.png][img]./upload/files/thumbs/1_40a51e6a6387497e6076597ff124fe05.png.png[/img][/inturl][/align]

Wie in meinem Fall wurde ein Prozess svchost.exe blockiert. Es gibt bekanntlich einige Trojaner, die sich mit dem Dateinamen dieses Windows-Prozesses tarnen. Deshalb ist es wichtig zu wissen, wo diese blockierte EXE-Datei wirklich liegt. Dazu muss man den Event-Viewer verwenden.

[align=right][size=5]Vorgefertigte Ansicht in die Ereignisanzeige importieren[/size][/align]
[hr] 
[list][li] Laden Sie meine benutzerdefinierte Ansicht [inturl=./upload/files/1_ordnerzugriff.rar]Ordnerzugriff.rar[/inturl] herunter. 
[li] Klicken Sie mit der rechten Maustaste auf den Startbutton und wählen Sie "Ereignisanzeige".
[inturl=./upload/files/1_unbenannt.png][img]./upload/files/thumbs/1_unbenannt.png.png[/img][/inturl] 
[li] Mit einem Rechtsklick im Verzeichnisbaum wählen Sie "Benutzerdefinierte Ansicht importieren" und wählen die XML-Datei aus meinem Archiv aus.
[inturl=./upload/files/1_unbenannt1.png][img]./upload/files/thumbs/1_unbenannt1.png.png[/img][/inturl]
[li] Nach dem Import können Sie unter den benutzerdefinierten Ansichten die Ansicht "Überwachter Ordnerzugriff" auswählen und unter Ereignis-ID 1123 den vollständigen Pfad zur blockierten EXE-Datei ablesen.
[inturl=./upload/files/1_unbenannt2.png][img]./upload/files/thumbs/1_unbenannt2.png.png[/img][/inturl]
[/list]

[align=right][size=5]Eigene Ansicht in der Ereignisanzeige erstellen[/size][/align]
[hr] 
[list][li] Open Event Viewer
[li] Right click Custom views and choose Create custom view. 
[li] Choose this in the By log Event logs: section:
[highlight]Application and services logs > Microsoft > Windows > Windows Defender > Operational[/highlight] 
and
[highlight]Application and services logs > Microsoft > Windows > Windows Defender > WHC[/highlight] 
[li] In the event ID section include these IDs: 1123,1124,5007
[li] Press OK to set the filter
[li] Name the view. Mine is named Controlled Folder Access view
[li] Press OK to create.
[/list]

Schlüsselwörter: Unauthorised changes blocked scvhost.exe Windows Defender Überwachter Ordnerzugriff Nicht autorisierte Änderungen blockiert Der Überwachte Ordnerzugriff hat daran gehindert, Änderungen für den Arbeitsspeicher durchzuführen.

Beitrag von freaked 1316 Klicks | Quelle
Geschrieben am: 11.11.2020, 11:16:05 Uhr
Zuletzt überarbeitet: 10.08.2021, 10:37:53 Uhr

Kommentare