Thema "Word Hook ComAddin / Defender Problem" in Technisches zu Software

Word Hook ComAddin / Defender Problem

harachte — Mon, 03 Apr 2023 11:47:34 GMT

Hallo zusammen,

wir haben auf einigen Rechnern VIWAS durch Defender ersetzt, und herhalten dort seit einigen Tagen folgende Fehlermeldung. Ein Zusammenhang mit einem DATEV-Update besteht (vermutlich) nicht.

Jemand hier das selbe Problem oder eine Idee?

Word Hook ComAddin / Defender Problem

Gelöschter Nutzer — Mon, 03 Apr 2023 12:12:37 GMT

Hallo,

haben Sie Ausnahmen lt. dem Infodokument definiert?

Bei uns geht es (seit letztem Jahr)/DMS/Defender.

Word Hook ComAddin / Defender Problem

harachte — Mon, 03 Apr 2023 12:25:25 GMT

Hallo,

laut DATEV habe ich nur gefunden, dass (speziell beim Defender) keine Ausnahmen gemacht werden müss(t)en. (s.u.)

Wie lautet den das entsprechende Info-Dokument? Danke im Voraus!

3.1.1 Ausnahmen

Generell müssen Sie keine Ausnahmen in ihrer Sicherheitslösung vornehmen. Im Sinne einer verbesserten Performance bei leistungsärmeren Rechnern oder bei Antivirenprogrammen, die sich nicht an gegebene Standards halten, können Ausnahmen für einen reibungslosen Betrieb mit den DATEV-Programmen notwendig sein.

Word Hook ComAddin / Defender Problem

Gelöschter Nutzer — Mon, 03 Apr 2023 13:05:31 GMT

oh, steht da so..

habe damals den kompletten DATEV-Programmpfad und windvsw1 rausgenommen...

Word Hook ComAddin / Defender Problem

harachte — Mon, 03 Apr 2023 13:48:30 GMT

Danke für die Hinweise! Inzwischen bin ich etwas weiter. Der Fehler kommt nicht automatisch von Defender, sondern von der Konfiguration unserer Defender-Gruppenrichtlinie.

Ich muss das erst auseinander dividieren. Sofern ich den "Fehler" finde, poste ich das hier.

Word Hook ComAddin / Defender Problem

agmü — Mon, 03 Apr 2023 15:50:55 GMT

@harachte schrieb:
....Wie lautet den das entsprechende Info-Dokument? Danke im Voraus!

Diese 1025361 Hilfedokument müsste zum Einstieg ausreichen.

Word Hook ComAddin / Defender Problem

harachte — Tue, 11 Apr 2023 15:06:24 GMT

Die Einstellung, die das Problem verursacht hat: Block Office applications from creating executable content

Diese Regel verhindert, dass Office-Apps, einschließlich Word, Excel und PowerPoint, potenziell schädliche ausführbare Inhalte erstellen, indem verhindert wird, dass bösartiger Code auf den Datenträger geschrieben wird.

Schadsoftware, die Office als Vektor missbraucht, könnte versuchen, aus Office auszubrechen und schädliche Komponenten auf dem Datenträger zu speichern. Diese schädlichen Komponenten überstehen einen Computerneustart und bleiben auf dem System erhalten. Daher schützt diese Regel gegen eine gängige Persistenztechnik.

Intune Name:Office apps/macros creating executable content

SCCM-Name: Block Office applications from creating executable content

https://learn.microsoft.com/de-de/microsoft-365/security/defender-endpoint/attack-surface-reduction-rules-reference?view=o365-worldwide#block-office-applications-from-creating-executable-content

Word Hook ComAddin / Defender Problem

metalposaunist — Tue, 11 Apr 2023 15:48:31 GMT

Danke @harachte! Lustig. Dann härtet man MS Office gegen Ransomware und Co. ab und dann kommt die DATEV Software damit nicht klar, obwohl DATEV ja für Hochsicherheit steht 😅. Da beißt sich die technologisch alte DATEV Katze selbst in den Schwanz. Aber gut - ich erlebe es mit den Makros aus der Excel Vorerfassung auch gerade beim Mandanten 😖.

Was macht Ihr nun? Kann man um DATEV drumherum härten?

Word Hook ComAddin / Defender Problem

vogtsburger — Tue, 11 Apr 2023 16:18:58 GMT

... einer der einfachsten und schnellsten Wege, sich eine Malware in das eigene System zu holen, ist das Öffnen von MS-Office-E.Mail-Anlagen

... ich habe aber auch schon einige Html-E-Mail-Anhänge gesehen, die nichts anderes als binären Code enthalten und ihn vermutlich auch speichern können. Wahrscheinlich handelt es sich hier um ausführbaren Code.

... an der richtigen Stelle gespeichert, wird der Code (z.B. die ausführbare EXE- oder Script-Datei) z.B. beim nächsten Neustart des Rechners oder auch z.B. beim Start einer MS-Office-Anwendung automatisch ausgeführt

Word Hook ComAddin / Defender Problem

harachte — Tue, 11 Apr 2023 16:25:46 GMT

@metalposaunist schrieb:
Was macht Ihr nun? Kann man um DATEV drumherum härten?

Klar, das ginge schon. - Die Frage ist nur, welchen Aufwand das macht und wie sehr es Dynamik rausnimmt.

ASR (attack surface reduction) von Microsoft ist halt insgesamt unkompliziert und dennoch recht wirksam, und lässt sich auch gut überwachen.