Hier hätten wir noch eine kommerzielle Variante SUMo
Ich hab das mal probiert aber für mich würde sich nur die pro Variante lohnen und das ist mir das Tool nicht wert. Choco macht das besser und schlanker.

Ja, SUMo hatte ich beim Opening schon mal in den Ring geworfen:

Zitat von LordSoth

Welche Tools (neben Chocolatey) sind denn empfehlenswert (falls es noch was gibt) ?
Secunia PSI --> eingestellt bzw. nicht mehr gepflegt. K.A. wie gut das war.
SUMo Software Update Monitor --> Die .exe ist wohl umstritten wegen Spyware.

Das Zip (portable) habe ich mir die Tage mal besorgt. Allerdings muss man bei der Freeware jede SW einzeln updaten. Außerdem - und das ist vielleicht der größte Nachteil - kann man sich bei den erkannten alten Versionen von Programmen nur auf die Seite von SUMo verlinken lassen. Der Link auf die Herstellerseite funktioniert nur in der Vollversion.

Leider kann ich das gerade nicht belegen, aber bei Tests mit SW auf meinem Rechner bin ich über SUMo auch auf einer gefälschten Seite gelandet und nicht beim Hersteller selbst. Das wäre dann wahrhaft kontra. Vielleicht kann ich das nochmals nachstellen...

Jetzt mache ich gerade mich Choco Experimente und gleich beim ersten Install habe ich eine Bauchlandung hingelegt

SW dich ich installieren wollte: ImgBurn. Die hatte ich eh schon aktuell auf dem Rechner und hab sie runter geschmissen im Choco zu testen. Offenkundig habe ich mir damit eine Adware "Fusion.Core" installiert. MBAM hat sie in Quarantäne verschoben:

Malwarebytes
www.malwarebytes.com

-Protokolldetails-
Datum des Schutzereignisses: 08.10.20
Uhrzeit des Schutzereignisses: 21:48
Protokolldatei: 3d17f14c-099f-11eb-b31b-0019dbceb1e2.json

-Softwaredaten-
Version: 4.2.1.89
Komponentenversion: 1.0.1045
Version des Aktualisierungspakets: 1.0.30998
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 10 (Build 19041.508)
CPU: x64
Dateisystem: NTFS
Benutzer: System

-Einzelheiten zu blockierter Schadsoftware-
Datei: 1
Adware.FusionCore, C:\Users\LordSoth\AppData\Local\Temp\chocolatey\nsx5A5B.tmp\Fusion.dll, In Quarantäne, 7411, 770512, 1.0.30998, , ame, , D0DF65AB1C0329C8DEF7D508A3D931B9, C45C0A75B482AE7A12EA2DEB21ED4838A463EC89F373AC03B4D988C5C4FB34FC


(end)
         

Erst nach der MBAM-Meldung habe ich auf Cocolatey.org die Virus Scan Results aufgeklappt und genau gelesen. Das Package war vom Moderator geprüft, kommt aber trotzdem mit Funden in 67 AV Engines daher (s. Anhänge).

Fazit für mich: Mit Choco was zu über CMD ungeprüft was zu installieren (und zu updaten?), ohne vorher auf der Seite genau hinzuschauen ist auch riskant!

Das sollte vielleicht Eingang in die Doku finden.

ImgBurn 2.5.8.20170708
Last Update:
10 Jul 2017

ferventcoder Admin • 3 years ago
The software intaller (ImgBurn) flags AntiVirus (AV) on OpenCandy crapware/malware, although the Chocolatey package uses an install argument not to install it. That depends on the installer honoring that flag, and so far it appears it has. If that changes, it means removing this package or looking elsewhere.

Normally we want things coming from the original distribution point. However, In this instance, future versions should probably look to mirrors to get the software as they have removed the crapware/malware.

Da hast du dir nun leider das denkbar schlechteste Test-Package ausgesucht...
Allerdings verstehe ich in diesem Fall wirklich nicht, warum es nicht längst entfernt oder der Mirror geändert wurde.

Zitat von Yatagan

Allerdings verstehe ich in diesem Fall wirklich nicht, warum es nicht längst entfernt oder der Mirror geändert wurde.

Keine Ahnung, ob das was bringt, aber ich hab denen gleich eine "abuse" Meldung mit dem Hinweis auf die Adware hingeschickt.

Das kommt weil der Original-Installer eben auch Adware enthalten kann!!!
Da kann choco doch nichts für!

Über choco hab ich bisher nie Adware reinbekommen.

Angeblich läuft - wenn man "Choco Pro" installiert hat, direkt vor dem Download eine VT-Prüfung. Nur habe ich eben kein Pro.

Was halt schade ist, ist dass das "choco upgrade all" einem auf diesem Weg auch ein Ei ins Nest legen kann.

Also doch alles einzeln beim Hersteller updaten ...

Zitat von LordSoth

Was halt schade ist, ist dass das "choco upgrade all" einem auf diesem Weg auch ein Ei ins Nest legen kann.

Also doch alles einzeln beim Hersteller updaten ...

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

Zitat von cosinus

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

@LordSoth Sieht man sogar auf deinem Screenshot. Man beachte die Download-Quelle...

Zitat von Yatagan

@LordSoth Sieht man sogar auf deinem Screenshot. Man beachte die Download-Quelle...

Das zeigt eigentlich genau das was ich immer vermutet habe: Viele können einfach nicht die Unterschiede erkennen zwischen Original-Setups mit Adware und Fake-Setups wie zB von audacity.de. Genau diese Schwäche wird von der Werbe- und Junkware-Industrie gnadenlos ausgenutzt.

Zitat von cosinus

Du hast immer noch nicht begriffen, dass auch das Original-Setup Adware enthalten kann. Und nun willst du uns erklären, dass man besser das vom Hersteller lädt, obwohl choco NICHTS ANDERES macht...

Das bestreite ich nicht. Das kann alles sein. Mir ging es auch um Vertrauenswürdigkeit gegenüber den Updates, die man sich installiert. Mit der Non-Pro Version ist das wie ich feststellen musste nicht gegeben.

Das Choco das grundsätzlich kann schreiben sie selber auf der HP:

Chocolatey Pro provides runtime protection from possible malware.

Szenario etwa wie folgt: Man hat einen SW die bei der ersten Installation nachprüfbar i.O. ist und bei irgendeinem Update kommt eine Adware mit drauf. Die würde Choco die dann ohne langes Federlesen drüber bügeln, oder?

Abgesehen davon war ein Hinweis im Thread ja auch:

Bei Software immer das Original von der Herstellerseite laden.

... die man dann auch mit VT prüfen muss.

Die Lektion: Kein Tool kann unter Win10 die eigene Sorgfalt ersetzen.

Zitat von cosinus

Das zeigt eigentlich genau das was ich immer vermutet habe: Viele können einfach nicht die Unterschiede erkennen zwischen Original-Setups mit Adware und Fake-Setups wie zB von audacity.de. Genau diese Schwäche wird von der Werbe- und Junkware-Industrie gnadenlos ausgenutzt.

Was genau meinst Du? Wenn ich "Choco install imgburn" ausführe, habe ich imho keine Chance an der Stelle einen Unterschied zu erkennen.

Wenn ich Choco gerne weiter nutzen will, welche Vorgehensweise schlägst Du vor, um damit einfach sichere SW zu bekommen?

Zitat von LordSoth

Was genau meinst Du? Wenn ich "Choco install imgburn" ausführe, habe ich imho keine Chance an der Stelle einen Unterschied zu erkennen.

Welchen Unterschied? Es wurde die Originaldatei des Herstellers von der offiziellen Webseite heruntergeladen. Der Mist kommt direkt vom Erzeuger. Abgefüllt und originalverkorkst.

Du hättest manuell die gleiche verseuchte Datei heruntergeladen.

Zitat von Yatagan

Der Mist kommt direkt vom Erzeuger. Abgefüllt und originalverkorkst.

Is ja OK Nach spätestens zwei weiteren Wiederholungen werde ich es dann kapiert haben.

Dann möchte ich meinen Punkt auch nochmals wiederholen dürfen: Mit Chocolatey in der Non-Pro-Version keine Garantie dafür, saubere Software zu bekommen. Mehr nicht. Diesen Hinweis fände ich in der Choco-Anleitung wertvoll, ihr nicht?

chocolatey ist eigentlich kein "Sicherheitsprogramm", es trägt aber zur Sicherheit bei, da es dabei behilflich ist, auf einfachem Weg, installierte Software zu pflegen, bei der man sonst umständlich alles manuell machen müsste (prüfen, echte Downloadquelle suchen, downloaden, benutzerdefiniert installieren etc. pp....)

choco install -y irfanview irfanviewplugins
         

Zitat von LordSoth

Abgesehen davon war ein Hinweis im Thread ja auch:
... die man dann auch mit VT prüfen muss.

Was im Umkehrschluss bedeutet, dass du nichtmal dem Setup aus der originalen Quelle traust.
Wenn doch, hättest du keinen Anlass VT anzuwerfen. Darf man dann fragen warum du das installieren willst?

Zitat von LordSoth

Die Lektion: Kein Tool kann unter Win10 die eigene Sorgfalt ersetzen.

Nö, die Lektion ist, dass die gesamte Softwareverwaltung unter Windows KAPUTT ist. Microsoft sollte sich in Grund und Boden schämen! JEDE Linux-Distri benutzt eine Paketverwaltung, bei dem der Kanal ordentlich und geprüft und die Verwendung eines Virenscanners völlig überflüssig ist. Ausnahmen bilden Fremdrepos wie zB die PPA von Ubuntu oder das AUR in Arch Linux. Aber da hilft auch kein Virenscanner und das muss man manuell selbst reinpfriemeln. Das Stichwort ist Vertrauenswürdigkeit.

Zitat von LordSoth

Was genau meinst Du? Wenn ich "Choco install imgburn" ausführe, habe ich imho keine Chance an der Stelle einen Unterschied zu erkennen.

Mach es doch einfach mal. Ich hab doch auch in meinem choco Thread geschrieben, dass choco i.A. vernünftig und silent installiert...