Fehlalarm: Sophos Virenscanner verdächtigt sich selbst

Durch ein fehlerhaftes Update der Virus-Signaturdatei hält der Sophos Virenschutz sich plötzlich selbst für verdächtig – und meldet auch zahlreiche andere Prozesse als gefährlich. Besonders Programme mit eingebauten Update-Agenten wie etwa Java und die Adobe Plugins für Flash und PDF werden fälschlicherweise als Virus angezeigt.

Die so für einen Virus gehaltenen Dateien werden entweder in einen speziellen Quarantäne-Ordner verschoben oder direkt gelöscht. Wurde der Sophos Updater so bisher noch nicht verschoben oder gelöscht, helfen die aktualisierten Virus-Definitionen, die mit einem manuellen Update auf den PC geladen werden.

Funktioniert der Antivirus-Updater selbst auch nicht mehr, weil er von dem Virenscanner verschoben oder gelöscht wurde, sollte zunächst das Programm-Verzeichnis der Software auf die „Whitelist“ gesetzt werden. Alle Ordner auf dieser Liste werden von der Überprüfung durch den Virenscanner ausgeschlossen: Mit Glück kann man so das Update laden und den Fehlalarm beheben. Die Ordner, die auf die Whitelist gesetzt werden müssen, heißen:

C:\Documents and Settings\All Users\Application Data\Sophos\
C:\Program Files\Sophos\ 
C:\Program Files (x86)\Sophos\ 
C:\ProgramData\sophos\

Wurden die Dateien nur in einen Quarantäne-Ordner verschoben (das lässt sich in den Optionen des Virusscanners einstellen), muss zunächst der Virenscanner deaktiviert werden. Unter „Start“ kann man bei „Ausführen“ „services.msc“ eingeben und den Sophos Agenten so stoppen. Anschließend muss die Quarantäne für die verschobenen Dateien wieder aufgehoben werden, dazu löscht man die Datei „Quarantine.xml“, die sich hier befindet:

C:\Documents and Settings\Application Data\Sophos\
Sophos Anti-Virus\Config\Quarantine.xml

oder:

C:\ProgramData\Sophos\Sophos Anti-Virus\Config\Quarantine.xml

Wurde der Updater direkt gelöscht, muss er zunächst repariert werden, um die aktualisierten Daten ohne die falsche Fehlermeldung laden zu können. Dazu muss die Datei „SUM.msi“ ausgeführt werden, die sich je nach installierter Windows Version hier befindet:

C:\ProgramData\Sophos\Update Manager\Install\

oder:

C:\Documents and Settings\Application\Sophos\
Update Manager\Install\

Mit einem Rechtsklick auf die Datei lässt sich in dem Kontextmenü die Option „repair“ oder „reparieren“ auswählen. Hiernach lässt sich der Update Manager erneut starten und kann die aktuellen Daten mit den korrigierten Virus-Dateien laden.

Sophos ist aber nicht der einzige Anbieter von Anti-Virus Software, der bereits mit Fehlalarmen kämpfen musste. Auch die Kunden des Avira Virenscanners wurden schon von einem Fehlalarm, ebenfalls durch ein fehlerhaftes Update verursacht, aufgeschreckt.