Adobe Reader am Erstellen von untergeordneten Prozessen hindern
Dieser `DWORD`-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\Rules\7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c
Dieser DWORD-Wert steuert die gleichnamige Regel zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) von Microsoft Defender Antivirus. Die Wertdaten 1 aktivieren die Regel im Blockierungsmodus.
Die Regel verhindert, dass Adobe Reader beziehungsweise die von der Regel erfassten Adobe-Acrobat-Prozesse untergeordnete Prozesse erstellen. Dadurch können beispielsweise Befehlsinterpreter, Skript-Hosts oder andere Programme nicht unmittelbar aus einem erfassten Adobe-Prozess heraus gestartet werden.
Hinweise
Weitere Wirkungen
Blockierungen können von Microsoft Defender als ASR-Ereignisse erfasst werden. In Microsoft Defender for Endpoint lautet der zugehörige Aktionstyp für blockierte Vorgänge AsrAdobeReaderChildProcessBlocked.
Für EDR-Warnungen und Benutzerbenachrichtigungen gelten zusätzliche Anforderungen an die Cloudschutzebene von Microsoft Defender Antivirus. Diese Anforderungen beeinflussen die Warnungen und Benachrichtigungen, nicht die grundsätzliche Bedeutung von 1 als Blockierungsmodus.
Sicherheit
Die Regel schränkt einen Angriffsweg ein, bei dem präparierte PDF-Dateien, Social Engineering oder Schwachstellen in Adobe Reader beziehungsweise Acrobat dazu verwendet werden, weitere Programme oder Schadsoftware zu starten. Sie erschwert damit insbesondere das Nachladen und Ausführen zusätzlicher Nutzlasten aus einem kompromittierten Adobe-Prozess.
Der Schutz ist auf die Erstellung untergeordneter Prozesse durch die erfassten Adobe-Anwendungen begrenzt. Er stellt keine allgemeine Anwendungssteuerung dar, blockiert keine Prozessstarts aus anderen Anwendungen und entfernt keine bereits vorhandene Schadsoftware.
Mögliche Nebenwirkungen
Legitime Reader- oder Acrobat-Funktionen, Erweiterungen und dokumentbasierte Arbeitsabläufe können beeinträchtigt werden, wenn sie ein externes Programm als untergeordneten Prozess starten müssen. Der betreffende Programmstart wird im Blockierungsmodus auch dann verhindert, wenn er nicht bösartig ist.
Hinweise
Der Wert ist ein einzelner Regeleintrag innerhalb der computerweiten ASR-Richtlinie und gilt nicht benutzerspezifisch. Die Regel setzt Microsoft Defender Antivirus voraus und bietet laut Microsoft nur eingeschränkte Unterstützung für Ausschlüsse.
Microsoft dokumentiert die Regel für Windows 10 ab Version 1809, Windows 11 sowie unterstützte Windows-Server-Versionen. Unter Windows Server 2012 R2 und Windows Server 2016 gelten zusätzliche Voraussetzungen für die moderne einheitliche Microsoft-Defender-for-Endpoint-Lösung.
Microsoft-Dokumentation
Microsoft Learn: Referenz zu den Regeln zur Verringerung der Angriffsfläche
Microsoft Learn: Konfigurieren von Regeln und Ausschlüssen für die Verringerung der Angriffsfläche