MS Defender ASR bei Win32-API-Aufrufen aus Office-Makro

[mroth 1]

Hallo,

 

wir haben das Problem, dass wir Makro-Enabled Excel-Dateien von einem Kunden nicht mittels Defender-Management bei der Attack Surface Reduction ausgeschlossen bekommen.

 

Diese liegen auf einem UNC-Pfad:

\\unternehmen.local\dfs_name\QS\Kunde\2022\22304-01\Doc_PP_968774301_mit_Makro_300270257.xls

 

ASR-Regel:

Block Win32 API calls from Office macros                            Yes         (ist aktiviert)

 

Wenn wir nun Pfadausnahmen einpflegen z.B:

\\unternehmen.local\data\QS\Kunde\

\\unternehmen.local\data\QS\Kunde\*\

\\unternehmen.local\data\QS\Kunde\*\*\

 

Hat dies jedoch keine Auswirkung, da die Dateien in einem lokalen Cache ausgeführt werden.

Die Ausführung aus dem lokalen Pfad wird dann wegen der ASR-Regel unterbunden.

z.B.

C:\Users\Benutzer.DOMAIN\AppData\Local\Microsoft\Windows\INetCache\Content.MSO\D22495CB.xls

 

Da die Regel praktisch unwirksam würde, wenn der komplette lokale Cache-Pfad ausgenommen wird, stellt dies keine Option dar.

Wir können leider auch keine Mustererkennung in den Dateinamen vornehmen, da die Cache-Dateinamen generiert werden.

 

Hat jemand eine praktikable Idee, wie wir diverse Office-Dokumente mit Makros nutzen können, ohne die Win32-API-ASR-Regel zu deaktivieren?

Kann man evtl. in MS-Office den Cache für Netzwerkpfade deaktivieren, sodass wieder mit (UNC)-Pfadausnahmen gearbeitet werden kann?

[kixefo 0]

Bin gerade auf das Thema gestoßen , leider ohne Reply auf diesen Post.

Ich habe das gleiche Problem. ASR Regel ausschalten würde ich ungerne, den Temp Ordner komplett ausschließen kommt für mich auch nicht in Frage. 

Gibt es eine technische Möglichkeit einzustellen, dass der Temp Pfad nicht genutzt wird für diese kryptischen Cache Dateien? Bei uns passiert das mit .pptm Files anstelle der xlsx Dateien, aber in selbigem Pfad 

 

(lustigerweise auch nicht auf allen Clients, daher verstehe ich das Verhalten nicht mal richtig... Bei ein paar Clients, die identisch konfiguriert sind, hat die Win32 API ASR Exclusion via Intune für den UNC Pfad ausgereicht, bei den anderen Clients wie gesagt nicht, da zstl. der Local AppData Cache ins Spiel gekommen ist - für selbige Dateien, auf die zugegriffen wird )

 

bearbeitet 8. November 2024 von kixefo

[MurdocX 959]

Hi,

 

wir konnten das Problem umgehen, indem wir die Datei bei dem entsprechenden Benutzer auf den Desktop kopiert hatten. Das ist keine generelle Lösung, das versteht sich. Für eigens geschriebene unsignierte Anwendungen, geben wir den Anwendungshash frei. 

 

Eine Lösung kann ich hier nicht anbieten, jedoch möglicherweise einen kleinen Workaround.

 

VG,

Jan

[Weingeist 159]

Ich weiss garn icht ob das in Excel auch geht, da noch nicht gebraucht, aber in Word kannst den Code auch in eine Vorlage verfrachten.

Die muss sich dann halt am notwendigen Ort befinden. Allenfalls eine Option für euch und den Kunden? Er müsste dann auch nicht immer Excel-Dokumente mit Maktros verschicken, was ja sowieso eher verpönt ist. Sondern es reicht ab und wann die aktualisierte Vorlage. Sofern sich der Code überhaupt ändert, tut er normal ja eher selten. Ob sie sich darauf einlassen ist die andere Frage, ist ja etwas mehr Supportaufwand wenn die Vorlage nicht gefunden wird.

 

Nachteil: Nur wer die Vorlage hat, kann auch die Funktionen Nutzen welche in VBA erstellt wurden. Auch sind Änderungen dann in älteren Dokumenten auch vorhanden (Je nach dem wie sauber man arbeitet ein Vorteil).

 

EDIT: MIST erst jetzt datum gesehen sorry

bearbeitet 11. Januar von Weingeist