Microsoft hat für die Antimalware-Plattform des Windows Defenders ein Update verteilt, das auf manchen Windows-10-Systemen für zwei Probleme sorgt. Laut dem Supportbeitrag zu KB4052623 starteten Geräte mit aktivem Secure Boot nach der Installation der Plattformversion 4.18.1901.7 nicht mehr; zusätzlich blockierte AppLocker zahlreiche Downloads. Betroffen sind neben Windows 10 in den Editionen Home, Pro und Enterprise auch Windows Server 2016 und Windows Server 2019.
Rollback nach Secure-Boot-Abschaltung
Für das Startproblem beschreibt Microsoft einen Workaround, der ohne ein neues Update auskommt. Betreuer müssen das betroffene System neu starten, im BIOS/UEFI Secure Boot vorübergehend abschalten und danach in einer administrativen Eingabeaufforderung den Befehl "%programdata%\Microsoft\Windows Defender\Platform\4.18.1901-7\MpCmdRun.exe" -revertplatform ausführen. Nach einer Minute prüfen sc query windefend und sc qc windefend, ob der Dienst wieder läuft und die Modulversion 4.18.1901.7 nicht mehr referenziert. Danach lässt sich das System neu starten und Secure Boot im BIOS/UEFI wieder aktivieren. Ein Fix per Update war zum Zeitpunkt des Beitrags in Arbeit.
AppLocker-Pfad an die neue Modullocation anpassen
Die Download-Blockaden haben eine andere Ursache: Das Update verlagert die Binaries der Plattform. Der Dienst MsMpEng.exe und der Network Realtime Inspection Service NisSrv.exe liegen nicht mehr unter %ProgramFiles%\Windows Defender, sondern unter %ProgramData%\Microsoft\Windows Defender\Platform\<Version>; die Treiber wandern von %Windir%\System32\drivers nach %Windir%\System32\drivers\wd. Wer AppLocker einsetzt, muss den Pfad %OSDrive%\ProgramData\Microsoft\Windows Defender\Platform\* in den Richtlinien auf Allow setzen, damit Downloads wieder zugelassen werden. Microsoft weist außerdem darauf hin, dass Drittanwendungen mit Verweisen auf die alten Speicherorte der Binaries angepasst werden müssen.
Die Störung betrifft unmittelbar die Arbeitsumgebungen von Entwickler-, QA- und Build-Teams, in denen Windows-10-Rechner mit aktiviertem Secure Boot und zentrale Richtlinienverwaltung zum Standard gehören. Welche Wechselwirkungen zwischen Windows-Subsystemen und Antimalware-Software bestehen können, hatte Microsoft im November 2016 bereits bei WSL und der Anbindung an Virenscanner diskutiert. Das Defender-Plattformupdate von Januar 2019 zeigt, dass solche Umstellungen auch ohne neue Sicherheitslücke den Betrieb ausbremsen können.