McAfee nach Rollout von Virenpattern DAT 5958 ist die svchost.exe gesperrt oder gelöscht

Das habe ich gerade einige mal hinter mich gebracht. Da der morgen näher rückt und vielleicht noch andere betroffen sind, hier das was wir gemacht haben um das Problem zu lösen.

Die Fa. McAfee Gesten ein Update ihrer Virensignaturen herausgebracht hat auf die Version 5958. Leider ist diese Virensignatur defekt, weshalb McAfee innerhalb weniger Stunden ein Update auf die Version 5959 herausgebracht hat.

Leider hat das ganze Weltweit bei vielen Firmen dazu geführt, dass auf einigen Systemen, die Datei %windir%\svchosts.exe als Virus von McAfee identifiziert wurde und entweder gelöscht oder gesperrt wurde. Ende vom Lied, die Maschinen fuhren alle Zeitgleich herunter und nach dem Hochfahren der Clients war es nicht mehr möglich auf das Netzwerk zuzugreifen.

Das Problem tritt nicht bei allen McAfee Versionen. Einige Standorte hat es schwerer als andere erwischt, doch hier nun die Doku, wie ihr das Problem beheben könnt.

1.) Einen USB Stick besorgen am besten einen der keinen zusätzlichen Treiber benötigt und min. 70 MB groß ist. Ist der Stick über 256 MB werdet ihr vielleicht nochmals booten müssen um auf ihn zuzugreifen.

2.) Besorgt Euch die folgenden Datein im Netz und packt sie auf den Stick.

sdat5957.exe - das ist die vorhergehende Virensignatur

svchost.exe - Holt Euch nach möglichkeit eine von einem System welches die gleichen Patchlevel hat wie die defekte Maschine.

ES IST ÜBERAUS WICHTIG, DASS DIE UPDATES UND ARBEITEN VOM STICK AUS STATTFINDEN, BITTE NICHT DIE DATEN AUF DEN LOKALEN DATENTRÄGER ZU KOPIEREN UND DORT AUSZUFÜHREN!!!

3.) Nachdem ihr die Dateien habt, geht zu einem der nicht funktionierenden Rechner und meldet Euch lokal als Administrator an.

- ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG -
Sollten die nächsten Schritte nicht funktionieren, einfach die Maschine neu starten und wenn das BIOS vorbei ist immer wieder die F8 Taste drücken. Es erscheint dann ein Auswahlmenü, in dem der Punkt "Abgesicherter Modus mit Kommandozeile" ausgewählt werden sollte.
- ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG - ACHTUNG -

4.) Steckt den USB Stick in einen der dafür vorgesehenen Anschlüsse

5.) Öffnet (wenn nicht durch den Unterpunkt oben schon geklärt) die Eingabeaufforderung. Die könnt ihr am einfachsten erreichen über Start->Ausführen->cmd
Sollte das nicht vorhanden sein, einfach auf dem Desktop eine Verknüpfung zu cmd erstellen.

WICHTIG, die nachfolgenden Schritte bitte immer, IMMER, in der Eingabeaufforderung durchführen.

6.) Auf den USB Stick wechseln. z.B.: e:
Wenn der Buchstabe nicht klar ist, einfach im Explorer nachsehen.

Solltet ihr in dem abgesicherten Modus gestartet sein und wisst den Laufwerksbuchstaben nicht, greift einfach auf einen Trick zurück und tippt in die Eingabeaufforderung den Befehl notepad. Über öffnen könnt ihr dann die Laufwerksbezeichnung prüfen.
Bitte nicht als Befehl explorer benutzen, einige Maschinen schlagen daraufhin vor die letzte, funktionierende, bekannte Konfiguration zu öffnen und das sollte definitiv vermieden werden.

7.) Tippt dann den folgenden Befehl ein: sdat5957 /f
Im Internet wird oft vorgeschlagen den Befehl mit der Funktion SILENT also: sdat5957 /silent /f durchzuführen, davon rate ich aber ab. Denn manchmal braucht der Prozess sehr lange und dann brecht ihr ihn durch einen Reboot ab.

8.) Klickt Euch durch die Installation.

9.) Drückt die Tastenkombination Strg-Alt-Entf und startet den Task Manager.
Damit könnt ihr nachsehen, ob der Prozess wirklich zu Ende gelaufen ist oder nicht. Schaltet die Anzeige dafür auf die aktiven Prozesse um.

10.) auf manchen Maschinen bleibt es Euch vielleicht erspart, doch auf den meisten muss es gemacht werden. Die svchost.exe muss getauscht werden. Gebt dafür in der noch offenen Kommandozeile, den folgenden Befehl ein:

copy svchost.exe %windir%\system32 /y

Jetzt kann es passieren, dass Euch das System erklärt, dass a) die Datei erfolgreich kopiert wurde oder, dass b) die Datei in Benutzung ist und deshalb nicht ersetzt werden kann.

11.) Wenn ihr sicher seid, dass der Prozess sdat5957 nicht mehr aktiv ist, startet den Rechner neu.

12.) Nach dem Hochfahren öffnet einfach wieder eine Eingabeaufforderung, wie Oben beschrieben, und setzt den folgenden Befehl ab:

ping einen-host-der-in.deinem-netz-online-ist

Sollte Euch der Server antworten ist das Problem schon fast erledigt. Wenn ihr aber auf Nummer sicher gehen wollt, dann klickt, dass McAfee Icon in der Task Leiste an und öffnet die Informationstafel. Wenn bei der DAT Version 5957 steht, hat alles funktioniert. Sollte dort noch immer 5958 stehen, dann klickt das Taskleisten Symbol von McAfee nochmals an und lasst es ein automatisches Update durchführen. Dabei wird es auf die Version 5959 gehoben.

Den Schritt könnt ihr auch dann durchführen, wenn da 5957 steht.


AB HIER WENN ES IMMER NOCH NICHT GEHT
13.) Sollte es nach dem Neustart noch immer nicht klappen und ihr konntet die svchost.exe nicht erfolgreich ersetzen, wird es ein wenig trickreich.

Führt alle Schritte mit der Option des Abgesicherten Modus auf der Maschine, bis zum Punkt 10.

Ihr habt zu dem Zeitpunkt ja immer noch den Taskmanager offen. Der Vorschlag das im abgesicherten Modus zu machen liegt darin, dass ihr nur ein sehr kleines Zeitfenster habt. Sortiert die Liste der Prozesse alphabetisch.

Tippt in die Eingabeaufforderung schon mal den Kopierbefehl ein, setzt ihn jedoch noch nicht ab.

Im Task Manager beendet bitte Alls schosst Prozesse. Dabei wird sich irgendwann ein Fenster öffnen, dass Euch mitteilt, dass die Maschine in 60 Sekunden heruntergefahren wird. Wenn ihr hartnäckig alle schosst schließt (ja, er öffnet sie immer wieder) setzt ihr den Befehl ab. Wenn es klappt steht da, 1 Datei kopiert, und es startet kein neuer svchost Prozess mehr.

Jetzt müsst ihr Euch darum kümmern den Countdown zu beenden, damit der die sdat5957 Installation nicht plättet. Setzt dazu in der Eingabeaufforderung den folgenden Befehl ab:

shutdown /a

Danach wird wie bei 11 und 12 verfahren.

Das waren jetzt alle möglichen Schritte. In Kurzfassung heißt das:

- sdat5957.exe besorgen
- für das wiederherzustellende System, die passende svchosts.exe besorgen
- mit dem Befehl "sdat5957 /f" den Virenpattern downgreaden vom USB Stick aus
- die svchost.exe auf dem Zielsystem ersetzen durch den Befehl "copy csvhost.exe %windir%\system32 /y"
- Nach getaner Arbeit Maschine neu starten
- fertig

Viel Erfolg.

Hoffe, dass dies ein paar Leuten hier helfen kann. Ich denke mcAfee hat sich da echt gut was geleistet mit der Aktion.

Bitte Rechtschreibfehler zu übersehen, nach fast 20 Stunden Dauerarbeit ist meine Rechtschreibung nicht mehr ganz fit.

Starten Sie das System vom Netzwerk wie bei einer WDS-Installation.

Im Windows Preinstallation Environment wählen Sie als Locale: German (Germany), Keyboard or input method wird automatisch auf German eingestellt. Sollten Sie eine davon abweichende Tastaturbelegung am Rechner haben, z.B. ein amerikanisches Keyboard, so passen Sie diese Einstellungen ggf. an.

Betätigen Sie nach Auswahl der Sprache und des Tastaturlayouts die Tastenkombination Shift + F10. 

Sie erhalten eine MS-DOS-Eingabeaufforderung mit der Sie nach C:\ wechseln können:

c:

cd \Program Files\Common Files\McAfee\Engine

Löschen Sie dann die installierten Virenbeschreibungen:

del avv*.dat 

und falls vorhanden, auch die avv*.dat Datein in dem Ordner OldEngine

schliessen Sie die MS-DOS-Eingabeaufforderung:

exit

Starten Sie dann den Rechner durch schliessen aller Fenster neu.

ePO-Server muss die neue 5959 Dat verteilen so das die Rechner diese dann nach einem Neustart bekommen.

Sollte nach dieser Prozedur immer noch ein Problem bestehen, müssen Sie auf die gleiche Art wie oben beschrieben ggf. die Datei c:\windows\system32\svchost.exe durch eine Version von USB-Stick oder CD ersetzen.