Word Hook ComAddin / Defender Problem

[#1]

Hallo zusammen,

wir haben auf einigen Rechnern VIWAS durch Defender ersetzt, und herhalten dort seit einigen Tagen folgende Fehlermeldung. Ein Zusammenhang mit einem DATEV-Update besteht (vermutlich) nicht.

Jemand hier das selbe Problem oder eine Idee?

[#2]

Hallo,

haben Sie Ausnahmen lt. dem Infodokument definiert?

Bei uns geht es (seit letztem Jahr)/DMS/Defender.

[#3]

Hallo,

laut DATEV habe ich nur gefunden, dass (speziell beim Defender) keine Ausnahmen gemacht werden müss(t)en. (s.u.)

Wie lautet den das entsprechende Info-Dokument? Danke im Voraus!

3.1.1 Ausnahmen

Generell müssen Sie keine Ausnahmen in ihrer Sicherheitslösung vornehmen. Im Sinne einer verbesserten Performance bei leistungsärmeren Rechnern oder bei Antivirenprogrammen, die sich nicht an gegebene Standards halten, können Ausnahmen für einen reibungslosen Betrieb mit den DATEV-Programmen notwendig sein.

[#4]

oh, steht da so..

habe damals den kompletten DATEV-Programmpfad und windvsw1 rausgenommen...

[#5]

Danke für die Hinweise! Inzwischen bin ich etwas weiter. Der Fehler kommt nicht automatisch von Defender, sondern von der Konfiguration unserer Defender-Gruppenrichtlinie.

Ich muss das erst auseinander dividieren. Sofern ich den "Fehler" finde, poste ich das hier.

[#6]

---

@harachte  schrieb:

....Wie lautet den das entsprechende Info-Dokument? Danke im Voraus!

---

Diese  1025361 Hilfedokument müsste zum Einstieg ausreichen.

[#7 · Accepted solution]

Die Einstellung, die das Problem verursacht hat: Block Office applications from creating executable content

Diese Regel verhindert, dass Office-Apps, einschließlich Word, Excel und PowerPoint, potenziell schädliche ausführbare Inhalte erstellen, indem verhindert wird, dass bösartiger Code auf den Datenträger geschrieben wird.

Schadsoftware, die Office als Vektor missbraucht, könnte versuchen, aus Office auszubrechen und schädliche Komponenten auf dem Datenträger zu speichern. Diese schädlichen Komponenten überstehen einen Computerneustart und bleiben auf dem System erhalten. Daher schützt diese Regel gegen eine gängige Persistenztechnik.

Intune Name:Office apps/macros creating executable content

SCCM-Name: Block Office applications from creating executable content

https://learn.microsoft.com/de-de/microsoft-365/security/defender-endpoint/attack-surface-reduction-rules-reference?view=o365-worldwide#block-office-applications-from-creating-executable-content 

[#8]

Danke @harachte! Lustig. Dann härtet man MS Office gegen Ransomware und Co. ab und dann kommt die DATEV Software damit nicht klar, obwohl DATEV ja für Hochsicherheit steht 😅. Da beißt sich die technologisch alte DATEV Katze selbst in den Schwanz. Aber gut - ich erlebe es mit den Makros aus der Excel Vorerfassung auch gerade beim Mandanten 😖. 

Was macht Ihr nun? Kann man um DATEV drumherum härten? 

[#9]

... einer der einfachsten und schnellsten Wege, sich eine Malware in das eigene System zu holen, ist das Öffnen von MS-Office-E.Mail-Anlagen

... ich habe aber auch schon einige Html-E-Mail-Anhänge gesehen, die nichts anderes als binären Code enthalten und ihn vermutlich auch speichern können. Wahrscheinlich handelt es sich hier um ausführbaren Code.

... an der richtigen Stelle gespeichert, wird der Code (z.B. die ausführbare EXE- oder Script-Datei) z.B. beim nächsten Neustart des Rechners oder auch z.B. beim Start einer MS-Office-Anwendung automatisch ausgeführt

[#10]

---

@metalposaunist  schrieb:

Was macht Ihr nun? Kann man um DATEV drumherum härten? 

Klar, das ginge schon. - Die Frage ist nur, welchen Aufwand das macht und wie sehr es Dynamik rausnimmt.

ASR (attack surface reduction) von Microsoft ist halt insgesamt unkompliziert und dennoch recht wirksam, und lässt sich auch gut überwachen.