McaFee VirusScan Enterprise Scan On-Demand

Hola

He recibido la siguiente consulta sobre el McaFee VirusScan Enterprise:
"Es posible editar algun archivo para configurar, por ejemplo, la tarea programada del Scan OnDemand? O esto solo es posible a traves de la interfaz?
Necesito configurar muchas workstations, y si existe este archivo me serviria para editarlo y luego replicarlo."

La respuesta es no, por que cuando creas en el  McaFee VirusScan Enterprise una tarea programada para un análisis o para realizar el upgrade, da igual si lo crear en local del el mismo McaFee VirusScan Enterprise como desde la Consola Epo, el ViruScan crea un archivo de configuración .ini (con un ID Unico) en la siguiente ruta C:\ProgramData\McAfee\Common Framework\Task con la tarea programada:

[Task]
TaskName={21221C11-A06D-4558-B833-98E8C7F6C4D2}
Platforms=*
TaskPriority=99
SoftwareName=VIRUSCAN8800
TaskID={21221C11-A06D-4558-B833-98E8C7F6C4D2}
CreatorSoftwareID=VIRUSCAN8800
TaskType=SCAN
TaskVersion=
UserName=
DomainName=
Password=
[Settings]
StopAfterMinutes=0
Enabled=1
Duplicated=0
DialupTriggerEnabled=0
[Schedule]
Type=1
GMTTime=0
RunIfMissed=0
RunIfMissedDelayMins=5
StartDateTime=20111127002500
StopDateValid=0
StopDateTime=00000000000000
TaskRepeatable=0
RepeatOption=0
RepeatInterval=0
UntilOption=0
UntilTime=00000000000000
UntilDuration=0
RandomizationEnabled=0
RandomizationWndMins=1
EnableRunTaskOnceADay=0
AtStartupDelayMinutes=5
RepeatDays=0
RepeatWeeks=1
MaskDaysOfWeek=2
MonthOption=0
DayNumOfMonth=0
WeekNumOfMonth=0
DayOfWeek=0
MaskMonthsOfYear=0
IdleMinutes=0
[VSE7_SchedulerSection]
VSE7_UserName=
VSE7_DomainName=
El ID del archivo de configuración también se registra en registro (en mi caso con un S.O. de X64 es esta ruta):
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\McAfee\DesktopProtection\TaskLastData
o
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\McAfee\DesktopProtection\Tasks

Por lo tanto no seria posible editar, crear y desplegar las tareas programas por política o por otros medios, que no sean atraves de la Consola del Antivirus o desde la Consola EPO.

Desde la Consola del Antivirus nos podríamos conectar a otro equipo de la siguiente manera:

Con esta opción nos podríamos conectar a solo un equipo a la vez y configurar y administrar la consola del ViruScan, pero en el caso de que tendríamos cientos  de PC´s o Servidores es imprescindible la Consola EPO.

Recomiendaria en caso de grandes Infraestructuras la instalación de la Consola EPO y luego que se realice el despliegue, instalación, configuración e Administración del McaFee VirusScan Enterprise como de todos los demás productos de McaFee.
Desde la misma Consola Epo se puede realizar todas las gestiones por interfaz gráfica o también para los usuarios muy avanzados por comandos.

Un Saludo
Daniel

Herramienta MCPR de McAfee

Me gustaría daros a conocer una nueva herramienta de McaFee, que se ha creado especialmente para realizar una limpieza de drivers /controladoras y claves del registro creadas e instaladas por los productos McaFee, en este caso el ViruScan McAfee Enterprise vers 8.5i y 8.7i.  La herramienta se llama MCPR y os lo podéis descargar de este Link.
Seguro que muchas veces o a veces habéis recibido algún pantallazo azul y reinicios inesperados de vuestro servidor / pc, estos reinicio inesperados suelen ser provocados por los drivers del propio Mcafee. Como os comente en el articulo McAfee VirusScan y McAfee Agent, McAfee se instala sus propios drivers para controlar el trafico del todo el protocolo TCP/IP y en el momento que uno de estos drivers se corrumpe o las claves del registro que apunta a estos drivers, nos podemos llevar la sorpresa del famoso pantallazo azul.
Tenemos 2 opciones:
1ª- Determinar y ubicar el driver en concreto y ver donde se esta produciendo el fallo, para este paso podemos usar la herramienta Debugging Tools y seguir el procedimiento relatado en el post Debugging-Optimization II parte y remplazar el/los drivers corruptos por otros o arreglar e editar el registro.
2ª - Desinstalar el agente, desinstalar el antivirus, limpiar todo el registro con el MCPR y volver a instalar el antivirus con su agente correspondiente.
Desde luego que la 2ª opción seria la vía mas rápida de solucionar el fallo. Bien, vamos a ver cuales son los pasos a seguir.
1º- Desinstalar el agente
Abrimos la consola CMD cambiamos a la ruta donde esta instalado el agente con el siguiente comando:
cd \Program Files\McAfee\Common Framework\
y una vez que estamos dentro de este directorio ejecutamos el siguiente comando:
frminst /forceuninstall
Con este comando forzamos la desinstalación del agente.
2º- Desinstalar el McAfee ViruScan Enterprise:
Lo podemos hacer a través del entorno gráfico Inicio>Panel de Control > Agregar o Quitar Programas > Seleccionar el ViruScan y darte desinstalar.
O hacerlo a travez de comandos:
Para VirusScan Enterprise 8.0i
msiexec.exe /x {5DF3D1BB-894E-4DCD-8275-159AC9829B43} REMOVE=ALL REBOOT=R /q
Para VirusScan Enterprise 8.5i
msiexec.exe /x {35C03C04-3F1F-42C2-A989-A757EE691F65} REMOVE=ALL REBOOT=R /q
Para VirusScan Enterprise 8.7i
msiexec /x {147BCE03-C0F1-4C9F-8157-6A89B6D2D973} REMOVE=ALL REBOOT=R /q
Con estos comandos iniciaremos la desinstalación del antivirus en modo silencioso, ordenando al sistema eliminar cualquier rastro del mismo. Tras el proceso habrá que reiniciar el Servidor / PC.
Pero aun así, se nos quedan rastros en el registro y para ello tras el reinicio de la desinstalación del agente y del ViruScan Enterprise tenemos que ejecutar la herramienta MCPR que es un ejecutable portable y revisara e escaneara todo el sistema y todo el registro de los rastros de antivirus y del agente:

Podemos ver el log y ver lo que a buscado, lo que ha encontrado, lo que va borrar y lo que no va borrar:
MCAFEE CLEANUP
March 11, 2011 02:11:10
INFO   Cleanup operations will run.
INFO   Product mpfpcu to be removed from system.
INFO   Product mpfp to be removed from system.
INFO   Product mps to be removed from system.
INFO   Product shred to be removed from system.
INFO   Product mpscu to be removed from system.
INFO   Product mskcu to be removed from system.
INFO   Product msk to be removed from system.
INFO   Product emproxy to be removed from system.
INFO   Product mas to be removed from system.
INFO   Product fwdriver to be removed from system.
INFO   Product hw to be removed from system.
INFO   Product mbk to be removed from system.
INFO   Product mcproxy to be removed from system.
INFO   Product mhn to be removed from system.
INFO   Product mqccu to be removed from system.
INFO   Product mqc to be removed from system.
INFO   Product shrd to be removed from system.
INFO   Product nmc to be removed from system.
INFO   Product redir to be removed from system.
INFO   Product mna to be removed from system.
INFO   Product mwl to be removed from system.
INFO   Product msad to be removed from system.
INFO   Product mobk to be removed from system.
INFO   Product vs to be removed from system.
INFO   Product msc to be removed from system.
INFO   Product mcpr to be removed from system.
INFO   Product mcsvchost to be removed from system.
INFO   Removing product mpfpcu...
INFO   Removing registry key...
PASS   HKEY_CURRENT_USER\Software\McAfee.com\Personal Firewall does not exist
PASS   Product mpfpcu successfully removed.
INFO   Removing product mpfp...
INFO   Removing registry keys...
PASS   HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F33B322A-8757-4e91-ACE3-28FE07AF968E} does not exist
...........................
PASS   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MPFExe does not exist
PASS   HKEY_CLASSES_ROOT\CLSID\{AAC05D4F-D3FC-4d85-B706-55ECE9CE6DCA} does not exist
INFO   Removing directory if empty...
PASS   Did not remove C:\Program Files\McAfee.com (directory doesn't exist or contains files)
INFO   Removing directory if empty...
PASS   Did not remove C:\Documents and Settings\All Users\Start Menu\Programs\McAfee (directory doesn't exist or contains files)
INFO   Removing directory if empty...
PASS   Did not remove C:\Documents and Settings\Default User\Start Menu\Programs\McAfee (directory doesn't exist or contains files)
INFO   Removing directory...
PASS   C:\WINDOWS\..\Documents and Settings\Administrator\Application Data\McAfee.com Personal Firewall does not exist
INFO   Removing registry keys...
PASS   "MPFIREWL" in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\DependOnService removed successfully
PASS   "MPFIREWL" in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetBT\DependOnService removed successfully
PASS   "MPFIREWL" in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\NetBT\DependOnService removed successfully
INFO   Removing directory...
PASS   C:\Program Files\McAfee.com\Personal Firewall\data does not exist
INFO   Removing user profile files...
PASS   C:\Documents and Settings\Administrator\Desktop\McAfee Personal Firewall Plus.lnk does not exist
PASS   C:\Documents and Settings\All Users\Desktop\McAfee Personal Firewall Plus.lnk does not exist
PASS   C:\Documents and Settings\Default User\Desktop\McAfee Personal Firewall Plus.lnk does not exist
..........................................
INFO   Removing registry keys...
PASS   HKEY_USERS\S-1-5-18\Software\McAfee removed successfully
PASS   HKEY_USERS\.DEFAULT\Software\McAfee does not exist
PASS   Product mcpr successfully removed.
INFO   Removing product mcsvchost...
PASS   Product mcsvchost successfully removed.
Una vez concluido el escaneo nos pide reiniciar para que en el proximo inicio del sistema elimine todos los archivos y todas las claves del registro.

Depues de reiniciar ya tendríamos el S.O. limpio y podríamos volver reinstalar el McAfee ViruScan Enterprise y su correspondiente agente.
Para ello lo pueden hacer igual que antes por el entorno gráfico ejecutando el SetupVSE.exe o por comandos. Para realizarlo por comandos tenemos que abrir la ventana CMD y irnos al directorio donde están todos los archivos de instalación de ViruScan e ejecutar los siguientes comandos:
Instalación en Silencio y Reinicio del Servidor:
SetupVSE.exe ADDLOCAL=ALL REMOVEINCOMPATIBLESOFTWARE=TRUE /qn REBOOT=A
Mostrando la bara de progreso y Reiniciando el Servidor:
SetupVSE.exe ADDLOCAL=ALL REMOVEINCOMPATIBLESOFTWARE=TRUE /qbn REBOOT=A 
Y para instalar el agente a traves de comandos seria:
FramePkg.exe /install=agent /forceinstall /silent


Tras la reinstalacion del ViruScan Enterprise y de su correspondiente agente, tenemos que actualizarle una vez acabada la actualizacion podemos testear la instalación.
Para realizar el test, vamos a realizar el test de prueba desarrollado por el Instituto Europeo de la Equipo de investigación antivirus (EICAR):
1º- Abrimos un notepad y copiamos la siguiente linea sin ningún espacio tal como viene mas abajo:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*


2º- Vamos a >Archivo>Guardar como> y le guardamos con el siguiente nombre: EICAR.COM 
Nada mas pulsar guardar el antivirus tiene que detectarlo y saltarnos la siguiente ventana:

Este archivo NO ES UN VIRUS REAL , es una simulacion de virus.


Espero que os sirva de ayuda este procedimiento.


Un Saludo.

McAfee VirusScan y McAfee Agent

 En  este artículo quiero ofrecer una breve descripción de los procesos de McAfee VirusScan y el agente de McAfee de gestión. Además, la secuencia en que los principales componentes se cargan también se describiran a continuación.

Common Management Agent / Agente de McAfee procesos:
Nombre del proceso	Descripción
McScript.exe	Este proceso  ejecuta secuencias de comandos para la actualización de los archivos DAT, Motores, Service Packs, o cualquier otro componente que está protegido en un repositorio. Este proceso se ejecuta cuando se inicia la tarea de actualización.
UpdaterUI.exe / UdaterUI.exe	Estos procesos proporcionan la interfaz de usuario para las actualizaciones. También controlan el icono del Agente de la bandeja del sistema y se cargan a través de la clave Run del registro de Windows.
naPrdMgr.exe	Este ejecutable es el Manager del Producto para el servicio de McAfee Framework. Se carga por el servicio de Framework y se comunica con los diferentes puntos de los plugins del producto.
FrameworkService.exe	El servicio de McAfee Framework se utiliza para proporcionar la mayor funcionalidad de los CMA (Common Management Agent)
Cleanup.exe	Este proceso se utiliza para "limpiar" después de instalaciones o desinstalación del CMA.
CmdAgent.exe	Este proceso es un programa de línea de comandos que invoca la funcionalidad de CMA.
FRMINST.EXE	Este proceso es el programa de instalación de CMA.
McScript_InUse.exe	Este proceso permite una tarea de distribución de CMA para poder completar sin necesidad de bloquear los archivos en uso.
McTray.exe	Este es el único icono de la herramienta de gestión. Se ejecuta bajo la misma sesión de usuario y se inicia por el UdaterUI.exe.
Procesos del VirusScan Enterprise:
Nombre del proceso	Descripción
Mcshield.exe	El McShield es el servicio del On Access Scanner.
Scan32.exe	Este es el On-Demand Scanner proceso que se carga cuando un análisis bajo demanda se ha iniciado.
Shstat.exe	Este ejecutable se carga desde la clave Run del registro de Windows y es responsable de cargar el icono de VShield y mostrar las estadísticas del On-Access Scanner.
Tbmon.exe	Este ejecutable se carga desde la clave Run del registro de Windows y es responsable del Servicio de informe de errores.
VsTskMgr.exe	Este ejecutable protege los archivos de VirusScan y ofrece cambios locales para tareas programadas del CMA.
Engineserver.exe	Este componente es utilizado por On-Demand Scanner y Mail Scanners  para cargar los archivos DAT y Engine.
mfevtps.exe	Este componente se carga al arrancar el ordenador y lleva a cabo "la validación de confianza" para todos los procesos de McAfee que tienen que cargar.
mfeann.exe	Este componente es el "presentador o anunciador", que muestra el diálogo de  On-Access Scan. Esto es nuevo para VirusScan Enterprise 8.7. En las versiones anteriores de VirusScan, este servicio era una parte de mcshield.exe.
Controladores / Drivers del VirusScan Enterprise 8.0i:
Nombre del Controlador	Descripción
NaiAVFilter1.sys	Este es el controlador de sistema de filtro de archivos y es utilizado por el  Anti-Virus Scanning. Además, este componente proporciona la protección de acceso para los archivos / carpetas y las reglas de bloqueo de acciones.
NaiAVTdi1.sys	Este es el controlador de filtros TDI, que proporciona protección de acceso para bloqueo de puertos, y la identificación IP de origen.
Controladores / Drivers del VirusScan Enterprise 8.5i/8.7i:
Nombre del Controlador	Descripción
mfeapfk.sys	Este es el controlador del filtro de protección de acceso que proporciona la protección de acceso de archivo / carpeta y el Registro de bloqueo.
mfeavfk.sys	Archivo de sistema usado como controlador de filtro, por el Anti-Virus scanning.
mfebopk.sys	Controlador de sistema, utilizado por Buffer Overflow Protection.
mfehidk.sys	Controlador usado para la detección de intrusiones. Este componente es usado por Access Protection y el controlador de filtro e intercepción Buffer Overflow.
mferkdet.sys	VSCore Código de Controlador de Análisis. Esto proporciona la funcionalidad de On-Demand para realizar un escaneo en busca de rootkits.
mfetdik.sys	Controlador de filtro TDI. Esto proporciona la protección de acceso para bloqueo de puertos, y la identificación IP de origen.
La secuencia de carga de los principales componentes anteriormente mencionados:
Paso 1: El equipo está arrancando. (Los controladores y los servicios se están cargando)
NaiAVTdi1.sys	El controlador de filtro TDI se carga y se inserta en el dispositivo de red para filtrar los paquetes de los protocolos TCP / UDP. Esto proporciona la funcionalidad de bloqueo de puertos de acceso de protección.
McShield, FrameworkService  y VsTskMgr	Servicios de carga de forma automática. Como se describe anteriormente, McShield es el componente en modo de usuario del On-Access Scanner. El Servicio Framework proporciona la actualización, la programación y la funcionalidad de creación de reflejo, mientras que VsTskMgr es un servicio utilizado para coordinar eventos. Por ejemplo, envía información de planificación al CMA. Si se reinicia McShield y se produce un tiempo de espera demasiado alto y da el error fatal timeout, protege los archivos de VirusScan Enterprise a no ser modificados.
NaiAvFilter1	El controlador de filtro de sistema de archivos, se carga por McShield y también proporciona el archivo / compartir el acceso a la funcionalidad de protección.
EntDrvxx	Es el conductor de desbordamiento de búfer, que es cargado por McShield
NaPrdMgr	cargado por FrameworkService para comunicarse con los puntos de los plugins del producto.
Pasó 2: El usuario inicia sesión ( Los elementos del Run keys del registro se cargan)
UpdaterUI / UdaterUI , TBMon	SHStat se carga (VSE8.0i solamente)
TBMon	Es el componente de captura de informe de errores para enviar a McAfee (VSE8.0i solamente).
SHStat	Es el icono VShield que muestran las estadísticas OAS (ventana de Windows)  cuando se producen detecciones.
UpdaterUI / UdaterUI	Proporciona la interfaz de usuario para ver lo que CMA está haciendo en VSE 8.7i
Pasó 3: Otros componentes se cargan. (Cómo y cuando sea necesario)
McScript / McScript_In_Use	Ejecuta secuencias de comandos para las operaciones de CMA.
SCAN32   On Demand Scanner	Se utiliza cuando la On Demand Scanner tiene una tarea programada para el lanzamiento de un análisis.
McConsole	Muestra la consola cuando On Demand Scanner  es invocado por el usuario a través del entorno grafico de la consola.
ShCfg32	Es el On-Access Scanner de propiedades de configuración de acceso.
ScnCfg32	Es el On Demand Scan de propiedades de configuración de acceso. Esto también se utiliza cuando On Demand Scan es invocado por el usuario a través del entorno grafico.

Un Saludo