Win32-API-Aufrufe von Office-Makros blockieren
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der DWORD-Wert 1 aktiviert die Regel im Blockierungsmodus. Dadurch werden VBA-Makros in Microsoft Office daran gehindert, Win32-APIs aufzurufen.
Die Regel beschränkt gezielt API-Aufrufe aus Office-Makros. Sie deaktiviert weder sämtliche Makros noch allgemein die Ausführung von Office-Anwendungen.
Hinweise
Weitere Wirkungen
Blockierungen können in Microsoft Defender for Endpoint EDR-Warnungen erzeugen. Für diese Regel sind im Blockierungsmodus keine Benutzerbenachrichtigungs-Popups vorgesehen.
Sicherheit
Win32-APIs ermöglichen VBA-Makros den Zugriff auf native Windows-Funktionen. Schadcode kann diese Schnittstelle beispielsweise verwenden, um Shellcode direkt im Arbeitsspeicher auszuführen und dabei keine ausführbare Datei auf dem Datenträger abzulegen. Das Blockieren solcher Aufrufe erschwert diese Form dateiloser Angriffe über manipulierte Office-Dokumente.
Die Regel verhindert ausschließlich Win32-API-Aufrufe aus Office-Makros. Andere Makrofunktionen sowie weitere Angriffstechniken aus Office-Anwendungen werden nur erfasst, wenn dafür zusätzliche Schutzmechanismen oder ASR-Regeln gelten.
Mögliche Nebenwirkungen
Legitime VBA-Lösungen, die Win32-APIs importieren oder aufrufen, können die betreffenden Funktionen nicht mehr ausführen. Dadurch können einzelne Makros oder darauf aufbauende Dokumentabläufe fehlschlagen. Dies kann beispielsweise Word-Vorlagen betreffen, deren Makros andere Anwendungen starten.
Hinweise
Die Regel ist von Microsoft Defender Antivirus und der Antimalware Scan Interface (AMSI) abhängig. Microsoft dokumentiert sie für Windows 10 ab Version 1709 und für Windows 11, nicht jedoch für Windows Server.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Übersicht über Regeln zur Verringerung der Angriffsfläche