如何将 EICAR 测试文件与 McAfee 产品配合使用

技术文章 ID: KB59742
上次修改时间: 2021/04/28

环境

所有 McAfee 防恶意软件产品
McAfee Endpoint Security (ENS) 威胁防护 10.x
McAfee VirusScan Enterprise (VSE) 8.8

欧洲计算机防病毒研究所 (EICAR) 防恶意软件测试文件

摘要

欧洲 EICAR 研究所开发了 EICAR 防恶意软件测试文件。 EICAR 测试文件是合法的 DOS 程序，被防病毒软件检测为恶意软件。当测试文件成功运行时（如果未检测到并未被阻止），它会显示消息 "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!".

获取标准 EICAR 测试文件的方法有两种：

直接从以下位置下载文件：www.eicar.org。
使用文本编辑器创建文件：
1. 打开文本编辑器（如记事本）。
2. 将以下字符串复制到新文件中：
  
  X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
  
  注意：第三个字符是大写字母“O”，而非数字零。
3. 将文件另存为 eicar.com。

有多种方法可以使用 EICAR 测试文件来验证您的安全软件是否正常工作.

注意: 如果您将 EICAR 测试文件与 McAfee 防病毒产品搭配使用，请务必注意，尽管您可以检测和阻止或隔离文件，但您不能清理它。原因是 EICAR 文件不包含任何“真正的”病毒代码。 EICAR 测试文件旨在使大多数防病毒产品对其进行响应，就像它是真正的病毒一样。但是，清理 EICAR 文件的任何尝试都将失败。此行为是预期行为.

目录
单击您要查看的部分以将其展开：

验证按访问扫描程序是否正常工作

要验证按访问扫描程序是否正常工作，请禁用按访问扫描。然后，将 EICAR 测试文件复制到您的系统并尝试运行它。

禁用按访问扫描。

注意：此过程根据您的操作系统和产品的不同而有所不同。请参阅您的软件相应的产品手册。

有关 McAfee 产品文档，请转至企业产品文档门户，网址为 https://docs.mcafee.com。
保存或创建 EICAR 测试文件的副本。
启用按访问扫描。
尝试启动 EICAR 文件。

如果按访问扫描程序正常运行，则会被检测为恶意软件。

验证按需扫描程序是否正常工作

要验证您的按需扫描程序是否正常工作，请将 EICAR 测试文件复制到您的系统上，并在其上运行右键单击扫描。然后，在其上运行右键单击扫描。

保存或创建 EICAR 测试文件的副本。
启用按需扫描。
右键单击 EICAR 文件，然后从弹出菜单中选择扫描威胁。

如果按需扫描程序运行正常，则会被检测为恶意软件。

验证发送时电子邮件扫描程序是否正常工作

要验证您的发送时电子邮件扫描程序是否正常工作，请使用 Telnet 实用工具进行连接，以便您可以将 EICAR 测试字符串发送给已知的收件人。如果您尝试从您的本地邮件客户端发送包含 EICAR 测试字符串的电子邮件，则防病毒软件会检测并阻止该测试字符串。

按 Windows+R，键入 cmd，然后按 Enter。
键入 telnet 25（其中是邮件服务器或提供商的 SMTP [出站]服务器的名称），然后按 Enter。
键入 HELO 或 "EHLO "，然后按 Enter。
键入 MAIL FROM:you@server.com，然后按 Enter。您会收到以下响应：250 ok
键入 RCPT TO:yourname@yourserver.com，然后按 Enter。您会收到以下响应：250 ok
键入 DATA ，然后按 Enter 以写入消息。
在第一行键入 SUBJECT:yoursubject，然后按两次 Enter。
键入您的消息，在此例中为 EICAR 测试字符串，然后按 Enter：

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
在一行单独键入单个句号 (.)，然后按 Enter 以发送您的消息。您会收到类似以下示例之一的响应：
- Message accepted for delivery
- 250 OK id=`a long id`
要退出 Telnet，请键入 QUIT ，然后按 Enter。

如果发送时电子邮件扫描程序正常运行，则会被检测为恶意软件。

验证 VirusScan Enterprise 文件夹排除项是否正常工作

要验证是否正确配置了 VirusScan Enterprise （VSE）排除项，请将 EICAR 文件复制到排除的文件夹中，然后尝试运行它。有关 VSE 中排除项的详细信息，请参阅KB50998-如何使用通配符管理文件和文件夹排除项.

禁用访问保护规则，以防止停止 McAfee 服务：
1. 单击开始、程序、McAfee、VirusScan 控制台。
2. 右键单击访问保护并选择属性。
3. 单击访问保护选项卡。
4. 在左下角，取消选择禁止 McAfee 服务被停止。
5. 单击应用，然后单击确定。
停止 McShield 服务：
1. 按 Windows+R，键入 services.msc，然后单击确定。
2. 右键单击 McAfee McShield 并选择停止。
将 EICAR.COM 副本保存到本地硬盘。
将 EICAR.COM 复制到要测试的每个已排除的文件夹。
启动 McShield 服务：
1. 按 Windows+R，键入 services.msc，然后单击确定。
2. 右键单击McAfee McShield并选择开始。
3. 关闭“服务”窗口。
运行 EICAR.COM：
1. 浏览到每个已复制 EICAR.COM 的文件夹。
2. 双击每个已排除的文件夹中的 EICAR.COM。如果排除项配置正确，EICAR.COM 会运行但不会被检测到。您也可以通过在未排除的位置运行文件来验证此结果，以验证是否检测到您使用的 EICAR 示例。 VSE 将 EICAR.COM 检测为病毒并阻止其执行。
重新启用访问保护规则，以禁止 McAfee 服务被停止：
1. 单击开始、程序、McAfee、VirusScan 控制台。
2. 右键单击访问保护并选择属性。
3. 单击访问保护选项卡。
4. 在左下角，选择禁止 McAfee 服务被停止。
5. 单击应用，然后单击确定。
6. 关闭 VirusScan 控制台。

验证防间谍软件组件或加载项是否正常工作

要测试您的防间谍软件是否正常工作，请创建 EICAR-PUO 测试文件。 EICAR-PUO 测试文件运行方式与标准 EICAR 测试字符串相同。但是，防间谍软件会将其检测为潜在有害程序，而不是病毒.

要创建 EICAR-PUO 测试文件，请执行以下操作：

打开文本编辑器（如记事本）。
将以下字符串复制到新文件中：

X5]+)D:)D<5N*PZ5[/EICAR-POTENTIALLY-UNWANTED-OBJECT-TEST!$*M*L
选择文件、保存。
键入文件名，然后单击保存。

注意：
- 为使文件易于识别，技术支持建议您将文件保存为 EICAR-PUO.COM。保存的文件大小大约为 68–70 字节。
- 标准 EICAR 检测的所有功能同样适用于 EICAR-PUO。
- EICAR-PUO 测试文件在测试类别下标识，其方式与标准 EICAR 测试文件相同。
- EICAR-PUO 是防间谍软件测试文件。因此，您必须启用潜在有害程序检测才能成功。

验证 Endpoint Security 防恶意软件扫描界面（AMSI）扫描是否正常工作

要验证 AMSI 扫描是否正常工作，请在 Endpoint Security（ENS）策略中启用 AMSI，并在系统上运行 EICAR PowerShell 命令.

注意：AMSI 仅适用于支持它的操作系统（例如，Windows 10 和 Windows Server 2016）。

在 ENS 中启用 AMSI 集成。
启动 PowerShell 并运行以下命令：

powershell echo '"X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*"'
验证是否针对威胁触发了检测项：EICAR!ams!XXXXX

验证 ENS ScriptScan 扫描是否正常工作

要验证 ScriptScan 扫描是否正常工作，请在 Endpoint Security 策略中启用 ScriptScan，并创建 EICAR HTML 文件：

在 Endpoint Security 策略中启用 ScriptScan。
在浏览器中启用 ScriptScan 插件。
打开文本编辑器（如记事本）。
创建 eicar.html 文件。在文件中添加以下内容：

注意：修改 HTML 中的来源路径，以引用创建 eicar.html 的位置（例如，C:\temp\eicar.html)。

An Eicar Test

Click the button
在按访问扫描策略中为 eicar.js 创建排除项。如果未创建排除项，按访问扫描会检测 EICAR 而不是 ScriptScan。
打开文本编辑器（如记事本）。
在 C:\temp 中创建 eicar.js 文件。在文件中添加以下内容。

function eicar() {
alert("X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*");
}
打开 Internet Explorer 并打开 C:\temp\eicar.html。单击尝试按钮。
验证是否显示弹出消息。消息显示“Internet Explorer 限制此网页运行脚本或 ActiveX 控件。”
验证是否针对威胁触发了检测项：JC/Eicar

以前的文档 ID ^(Secured)

613376

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Troubleshooting
VirusScan Enterprise 8.8 (EOL)

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Korean
Dutch
Portuguese Brasileiro
Chinese Simplified
Chinese Traditional

Knowledge Center

如何将 EICAR 测试文件与 McAfee 产品配合使用

环境

摘要

An Eicar Test

相关信息

以前的文档 ID ^(Secured)

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何将 EICAR 测试文件与 McAfee 产品配合使用

环境

摘要

An Eicar Test

相关信息

以前的文档 ID (Secured)

免责声明

受影响的产品

语言:

选择您的区域

Title

Title

以前的文档 ID ^(Secured)