Defender ASR löscht Verknüpfungen aus Startmenü und Taskleiste

ASR umfasst eine ganze Reihe von Regeln, die man separat aktivieren und deaktivieren kann. Vom aktuellen Bug in den Versionen 1.381.2134.0 bis 1.381.2163.0 betroffen war die Regel Win32-API-Aufrufe von Office-Makros blockieren (GUID: 92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b).

Er löste falsch positive Erkennungen aus, was zum Löschen verschiedener Programm­ver­knüpfungen führte, unter anderem im Startmenü und in der Taskleiste. Betroffen sind somit nur Umgebungen, die ASR aktiviert haben und in denen die obige Regel im Blockiermodus läuft.

Version der Signaturen abfragen

In einem ersten Schritt können Admins überprüfen, welche Version der Signaturen auf den Rechnern vorhanden ist. Dies lässt sich mit PowerShell so bewerkstelligen:

Get-MpComputerStatus | select *version*

Ist noch eine ältere Ausführung installiert, dann kann man zur aktuellen Version wechseln, die nicht mehr von dem Fehler betroffen ist. Andernfalls muss man die gelöschten Links wiederherstellen.

Shortcuts wiederherstellen

Microsoft bietet zu diesem Zweck ein PowerShell-Script an, das diese Aufgabe automatisieren kann. Dieses stellt in der Version 1.1 die Links aus einer eventuell vorhandenen Schattenkopie wieder her.

Insgesamt ist es aber nicht in der Lage, alle Verknüpfungen zu retten. Laut Kommentaren auf das betreffende Blog-Post gilt das vor allem für alle Shortcuts, die pro User verteilt wurden.

Der Filter für Advanced Hunting, den Microsoft vorschlägt, um die Löschaktionen aus dem Protokoll nach­zuvollziehen, lässt sich zudem nicht für alle Varianten von Defender nutzen. Weder Defender for Business noch die in Windows integrierte kostenlose Version unterstützen diese Option.