Office-Anwendungen am Einfügen von Code in untergeordnete Prozesse hindern
Dieser Registry-Wert steuert die ASR-Regel mit der Kennung `75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84`.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84
Dieser Registry-Wert steuert die ASR-Regel mit der Kennung 75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84. Der Datentyp ist DWORD; der Wert 1 versetzt die Regel in den Blockierungsmodus.
Die Regel verhindert Versuche von Word, Excel, OneNote und PowerPoint, Code in andere Prozesse einzuschleusen. Eine solche Codeinjektion kann von Angreifern verwendet werden, um Schadcode im Kontext eines anderen, unauffällig erscheinenden Prozesses auszuführen.
Hinweise
Sicherheit
Die Blockierung erschwert Angriffe, bei denen ein manipuliertes Dokument, ein Makro oder eine ausgenutzte Office-Sicherheitslücke Code in einen anderen Prozess einschleust. Dadurch kann Schadcode daran gehindert werden, seine Herkunft aus einer Office-Anwendung zu verschleiern.
Die Regel schützt ausschließlich vor dieser Form der Prozessinjektion. Sie verhindert weder allgemein die Ausführung von Makros noch das Erstellen untergeordneter Prozesse oder ausführbarer Dateien durch Office. Diese Verhaltensweisen werden von anderen ASR-Regeln abgedeckt.
Mögliche Nebenwirkungen
Microsoft dokumentiert Inkompatibilitäten mit BeyondTrust Privilege Guard und Heimdal Security. Funktionen dieser Produkte können daher beeinträchtigt werden, wenn die Regel im Blockierungsmodus aktiv ist.
Microsoft sind keine legitimen geschäftlichen Anwendungsfälle bekannt, in denen die erfassten Office-Anwendungen Code in andere Prozesse einschleusen müssen. Die Regel unterstützt dennoch nur eingeschränkt Ausnahmen, was die Behandlung einer unerwartet blockierten Anwendung erschweren kann.
Hinweise
Die Regel setzt Microsoft Defender Antivirus voraus. Sie wird nur erzwungen, wenn Office unter %ProgramFiles% oder %ProgramFiles(x86)% installiert ist. Nach einer Änderung des Regelstatus müssen die betroffenen Microsoft-365- beziehungsweise Office-Anwendungen neu gestartet werden, damit die Änderung wirksam wird.
Der Warnmodus wird von dieser Regel nicht unterstützt. Die Regel ist unter Windows 10 ab Version 1709, Windows 11 und den von Microsoft aufgeführten Windows-Server-Versionen verfügbar. Für Windows Server 2012 R2 und Windows Server 2016 gelten die in der Microsoft-Referenz genannten Voraussetzungen der modernen einheitlichen Lösung.
Die deutsche Microsoft-Referenz verwendet im Regelnamen „untergeordnete Prozesse“, beschreibt als tatsächlichen Regelumfang jedoch die Codeeinschleusung in andere Prozesse. Die eindeutige technische Zuordnung erfolgt über die GUID 75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Defender-Richtlinien-CSP – AttackSurfaceReductionRules