JavaScript und VBScript am Starten heruntergeladener ausführbarer Inhalte hindern
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\d3e037e1-3eb8-44c8-a917-57927947596d
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der Wert 1 vom Typ DWORD aktiviert die Regel im Blockierungsmodus.
Die Regel verhindert, dass JavaScript- oder VBScript-basierte Skripts heruntergeladene ausführbare Inhalte starten. Dadurch wird insbesondere eine häufig von Schadsoftware verwendete Ausführungskette unterbrochen, bei der ein Skript weitere Schadsoftware aus dem Internet abruft und anschließend ausführt.
Die Regel ist keine allgemeine Download-Sperre und blockiert weder sämtliche Skripts noch jede Ausführung heruntergeladener Dateien. Sie wirkt auf den durch die Regel erkannten Start heruntergeladener ausführbarer Inhalte durch JavaScript oder VBScript.
Hinweise
Sicherheit
Die Blockierung erschwert Angriffe, bei denen Skriptdateien als Downloader oder als Zwischenschritt zur Ausführung weiterer Schadsoftware dienen. Ein erfolgreiches Herunterladen allein wird dadurch nicht zwangsläufig verhindert; geschützt wird die nachfolgende, von dem Skript ausgelöste Ausführung.
Die Regel ersetzt keine allgemeine Kontrolle ausführbarer Dateien und verhindert nicht, dass heruntergeladene Inhalte über andere, von dieser Regel nicht erfasste Ausführungspfade gestartet werden.
Mögliche Nebenwirkungen
Geschäftsanwendungen, Bereitstellungsmechanismen oder Installationsprogramme können beeinträchtigt werden, wenn sie JavaScript oder VBScript verwenden, um ausführbare Installations- oder Aktualisierungsdateien herunterzuladen und unmittelbar zu starten. Der betreffende Installations- oder Aktualisierungsvorgang kann dann beim Start der heruntergeladenen Datei abbrechen.
Hinweise
Die Regelfunktion ist von Microsoft Defender Antivirus und der Antimalware Scan Interface (AMSI) abhängig. ASR-Regeln erfordern außerdem, dass Microsoft Defender Antivirus als primäre Antivirenlösung im aktiven Modus ausgeführt wird und der Echtzeitschutz eingeschaltet ist.
Die Regel wird ab Windows 10, Version 1709, unterstützt. Für bestimmte zentral verwaltete Funktionen und ältere Windows-Server-Versionen gelten zusätzliche Produkt- und Bereitstellungseinschränkungen.
Microsoft-Dokumentation
Microsoft Learn: Referenz für ASR-Regeln
Microsoft Learn: Defender-Richtlinien-CSP – AttackSurfaceReductionRules