Persistenz durch WMI-Ereignisabonnement blockieren
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\e6db77e5-3df2-4cf1-b95a-636979351e5b
Dieser Registry-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Der Wert ist vom Typ DWORD; die Wertdaten 1 versetzen die Regel in den Blockierungsmodus.
Die Regel blockiert Aktivitäten, die als Versuch erkannt werden, über ein WMI-Ereignisabonnement dauerhafte Ausführungsmöglichkeiten auf dem Gerät einzurichten. Solche Abonnements können im WMI-Repository hinterlegt werden und bei bestimmten Ereignissen automatisch Code ausführen. Angreifer missbrauchen diesen Mechanismus insbesondere für dateilose Persistenz, weil dabei kein herkömmlicher Autostarteintrag und unter Umständen keine auffällige ausführbare Datei im Dateisystem erforderlich ist.
Die Regel deaktiviert WMI nicht generell. Sie richtet sich gegen den von Microsoft Defender erkannten Missbrauch des WMI-Ereignismodells zur Persistenz.
Hinweise
Weitere Wirkungen
Wenn die Regel eine Aktivität blockiert, kann Microsoft Defender einen lokalen Benutzerhinweis und – bei angebundenen Geräten – eine EDR-Warnung erzeugen. Die zugehörigen Aktionstypen für die erweiterte Suche sind AsrPersistenceThroughWmiBlocked und, in einem anderen Regelmodus, AsrPersistenceThroughWmiAudited.
Sicherheit
Der Blockierungsmodus erschwert Schadsoftware, sich über permanente WMI-Ereignisabonnements im System zu verankern und später ereignisgesteuert erneut ausgeführt zu werden. Dadurch wird eine konkrete Technik für verdeckte und dateilose Persistenz eingeschränkt.
Die Regel verhindert weder andere Persistenzverfahren noch sämtliche missbräuchliche Nutzung von WMI. Ihre Schutzwirkung ist auf die von dieser ASR-Regel erkannten Vorgänge begrenzt.
Mögliche Nebenwirkungen
Legitime Verwaltungs- oder Überwachungssoftware, die WMI-Ereignisabonnements verwendet, kann durch die Regel beeinträchtigt werden. Microsoft weist besonders darauf hin, dass der Microsoft-Configuration-Manager-Client stark von WMI abhängt. Für diese Regel besteht außerdem nur eingeschränkte Unterstützung für Datei- und Ordnerausschlüsse.
Hinweise
Die Regel benötigt Microsoft Defender Antivirus und RPC. Microsoft dokumentiert Unterstützung für Windows 11, Windows 10 ab Version 1903 sowie unterstützte Windows-Server-Versionen ab Windows Server 1903 (Semi-Annual Channel). Für Windows Server 2012 R2 und Windows Server 2016 ist diese Regel nicht unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – Defender – AttackSurfaceReductionRules