Microsoft Defender: Neues Feature "Hacked Device-Isolation" & neues "Sandboxing"-Problem

[English]Der Microsoft Defender ist ja bei vielen Unternehmen im Betrieb. Die Tage ist mir eine Meldung unter die Augen gekommen, dass der Microsoft Defender jetzt verwendet werden kann, um nicht verwaltete Windows-Geräte, die gehackt wurden, zu isolieren. Weiterhin liegt mir ein Hinweis eines Nutzers auf die Ursache von Windows-Problemen wie nicht mehr startendes Word in Verbindung mit dem Microsoft Defender vor, über welches ich hier im Blog bereits berichtete. Ich fasse die beiden Themen in diesem Sammelbeitrag zusammen.

Microsoft Defender Geräte-Isolierung

Ist ein Gerät infiziert, kann sich ein Angreifer oder ein Schädling über ein Netzwerk auf andere Geräte ausbreiten. Microsoft hat seinen Microsoft Defender for Endpoint daher um eine neue Funktion zur Isolierung von Geräten erweitert. Ich bin über nachfolgenden Tweet und diesen Artikel der Kollegen von Bleeping Computer auf das Thema aufmerksam geworden.

Microsoft beschreibt die neue Funktion in diesem Dokument im Abschnitt Contain devices from the network folgendermaßen.

WIrd ein nicht verwaltetes Gerät identifiziert, das kompromittiert oder potenziell kompromittiert ist, lässt sich dieses Gerät aus dem Netzwerk ausschließen. Schränken Sie ein Gerät ein, blockiert jedes in Microsoft Defender for Endpoint integrierte Gerät die ein- und ausgehende Kommunikation mit diesem Gerät. Diese Aktion kann verhindern, dass benachbarte Geräte kompromittiert werden, während der Security Operations Analyst die Bedrohung auf dem kompromittierten Gerät lokalisiert, identifiziert und behebt.

Das Blockieren der ein- und ausgehenden Kommunikation mit einem "eingeschlossenen" (blockierten) Gerät wird vom Microsoft Defender for Endpoint in Windows 10 und Windows Server ab Version 2019 und höher unterstützt. Die Verwaltung erfolgt im Microsoft 365 Defender-Portal über die Seite "Geräteinventar".

Defender Sandbox-Mode als Problembär

Seit Herbst 2018 unterstützt der in Windows 10 enthaltenen Windows Defender ein zusätzliches Sicherheitsfeature. Die Virenschutzlösung kann ab Windows 10 V1703 in einer geschützten Sandbox-Umgebung ausgeführt werden. Ich hatte im Blog-Beitrag Windows Defender in der Sandbox seinerzeit über die Details berichtet.

Nun sieht es so aus, als ob dieser Sandbox-Modus durchaus für echte Probleme verantwortlich sein kann und möglicherweise nur wenige Leute diesen Modus verwenden. Ich hatte hier im Blog ja kürzlich in diversen Blog-Beiträgen über Probleme bei Windows 10 in Verbindung mit dem Defender for Endpoint berichtet (siehe Artikellinks am Beitragsende). Unter anderem geht es um eine Beobachtung von Blog-Leser Markus K. in Verbindung mit dem Microsoft Defender for Endpoint. Markus ist Administrator für einige Tausend Windows Client in einer Netzwerk-Struktur und läuft in Probleme:

• MS-Word (2016 oder 2019 CTR) will nicht starten
• SAP-Software will nicht starten
• Eventlog nicht einsehbar (remote und lokal)

In seiner Umgebung sind immer nur wenige Rechner betroffen (~50-100 Stück von über 7000). Ein Update der Defender Signatur-Dateien brachte nur kurzfristig Abhilfe, wie ich im Blog-Beitrag Defender for Endpoint verursacht Probleme bei Windows 10 20H2-Clients (26. April 2022) ausgeführt habe. Nun hat mich Markus K. per Mail kontaktiert, weil er glaubt, die Ursache gefunden zu haben. Er schreibt dazu:

Es scheint als ob ich den Problembär nun endlich gefunden habe. Es ist der Windows Defender Sandbox Mode.

Wie kann man es nachstellen?

Wenn man den Sandbox Mode aufdreht (zumindest mit W10 Enterprise) dann kann man z.b. in meinem Fall sehr gut folgendes beobachten.

Man installiere ein ganz frisches System inklusive Office und patche es vollständig.

Danach streikt z.B. Winword.exe wenn man es öffnen will. Ohne Sandbox alles ohne Problem.

Man rufe z.B. displayswitch.exe auf, was unendlich lange dauert, wenn die Sandbox an ist. Sonst macht es plopp und offen ist das Tool.

Für mich scheint es wieder mal, dass wir die einzigen weit und breit sind die die Sandbox verwenden, zumindest gibt es niemand auf der NTSysamin-Liste mit Feedback, dass selbiges verwendet wird.

Ich gehe davon aus, dass all unsere seltsamen Effekte aus dieser Ecke kommen (ich hoffe es zumindest) und mit dem Abdrehen der Sandbox auch wieder verschwinden.

Spannend, dass das niemand verwendet und am Ende des Tages sich als Schuss ins Knie erweist.

Spannende Frage: Ist jemand anderes unter der Leserschaft, der den Defender Sandbox-Modus verwendet und ähnliche Probleme feststellt oder das widerlegen kann?

Ähnliche Artikel:
Defender Signaturen verursachen extreme RAM Auslastung (April 2022)
Defender for Endpoint verursacht Probleme bei Windows 10 20H2-Clients (26. April 2022)
Windows-Problem: Defender kollidiert mit dem FMAPOService