Error Win Syslog zu Abbildintegrität s2hooks64.dll

[pereh]

Hallo,

heute um 16:31 erschienen bei mir zum ersten male diese beiden Meldungen im Windows Log; seitdem haben sie sich 2 mal wiederholt. Neustart ändert nichts:

==================================================
Event Time        : 19.06.2017 20:02:42.241
Record ID         : 117116
Event ID          : 6281
Level             : Undefined
Channel           : Security
Provider          : Microsoft-Windows-Security-Auditing
Description       : Von der Codeintegrität wurde festgestellt, dass die Seitenhashes einer Abbilddatei ungültig sind. Die Datei ist möglicherweise nicht ordnungsgemäß mit Seitenhashes signiert oder wurde durch eine nicht autorisierte Änderung beschädigt. Die ungültigen Hashes können auf einen potenziellen Fehler des Datenträgergeräts hinweisen.

Dateiname:    \Device\HarddiskVolume2\Program Files\Emsisoft Internet Security\a2hooks64.dll    
Opcode            :
Task              : Systemintegrität (12290)
Keywords          : Überwachung gescheitert
User              :
==================================================

==================================================
Event Time        : 19.06.2017 20:02:42.241
Record ID         : 7
Event ID          : 3002
Level             : Error
Channel           : Microsoft-Windows-CodeIntegrity/Operational
Provider          : Microsoft-Windows-CodeIntegrity
Description       : Die Abbildintegrität der Datei "\Device\HarddiskVolume2\Program Files\Emsisoft Internet Security\a2hooks64.dll" konnte nicht überprüft werden, da der Satz seitenbezogener Abbildhashes auf dem System nicht gefunden wurde.
Opcode            : 102
Task              : 1
Keywords          : 0x8000000000000000
User              : NT-AUTORITÄT\LOKALER DIENST
==================================================

Die genannte dll wurde laut Explorer heute um 16:15 geändert.

Die Festplatte resp. SSD ist fehlerfrei, ESIS selbst meldet keine Probleme.

System: Win 7 Pro SP1 64-bit, Emsisoft Internet Security v2017.5.2.7600

 

Grüße,

Peter.

 

[Fabian Wosar]

Die Meldung ist normal. Bestimmte Prozesse, die mit DRM in Verbindung stehen, weigern sich DLLs zu laden, die nicht von Microsoft speziell signiert sind. Das Resultat ist dann die von Dir gepostete Meldung im Eventlog. Wenn Du die Meldung nicht sehen moechtest, kannst Du die betreffenden Prozesse in den Optionen/Ausnahmen von der Ueberwachung ausnehmen.

[stapp]

It is the very first time I have ever seen that error in my Security Event Viewer logs.

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          17/06/2017 07:10:02
Event ID:      6281
Task Category: System Integrity
Level:         Information
Keywords:      Audit Failure
User:          N/A
Computer:      ****-PC
Description:
Code Integrity determined that the page hashes of an image file are not valid. The file could be improperly signed without page hashes or corrupt due to unauthorized modification. The invalid hashes could indicate a potential disk device error.

File Name:    \Device\HarddiskVolume2\Program Files\Emsisoft Anti-Malware\a2hooks64.dll    
Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>6281</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12290</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2017-06-17T06:10:02.733267200Z" />
    <EventRecordID>187929</EventRecordID>
    <Correlation />
    <Execution ProcessID="4" ThreadID="52" />
    <Channel>Security</Channel>
    <Computer>Jean-PC</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="param1">\Device\HarddiskVolume2\Program Files\Emsisoft Anti-Malware\a2hooks64.dll</Data>
  </EventData>
</Event>

The error is not there today.

 

[pereh]

Hm, die Meldung kommt erst seit heute nachmittag, und an Windows wurde nichts geändert. Aber wenn sie irrelevant ist, übersehe ich sie eben in Zukunft...

Vielen Dank für die schnelle Antwort,

Peter.

[Skandal]

Und das soll normal sein?

 

[Skandal]

Sind im Übrigen alles Einträge welche vom EAM verursacht werden/wurden.

 

[Fabian Wosar]

Ja, das ist normal. Wie ich bereits erklaert habe. Das letzte Update erweitert einige der Behaviour Blocking Features auf alle Prozesse, inklusive System Services. Entsprechend ist eine Vermehrung der Event Log Eintraege normal.

[Skandal]

Alles klar, vielen Dank für die Erläuterung!