La actualización KB2267602 Defender elimina accesos directos y problemas de ASR

Después de instalar la última actualización de Defender, KB2267602, algunos usuarios no pueden utilizar los accesos directos a aplicaciones en el menú Inicio y la barra de tareas. Microsoft reconoció este problema al registrar un ticket de incidente (MO497128) y está trabajando para solucionarlo.

Después de instalar KB2267602 versión 1.381.2140.0 en un dispositivo, los accesos directos a aplicaciones en el menú Inicio y la barra de tareas se eliminan automáticamente. Los informes procedentes de varios clientes se ven afectados por esto debido a las reglas de reducción de la superficie de ataque. Varios usuarios han informado sobre los problemas a través de Twitter y otras plataformas sociales.

Microsoft ha publicado un nuevo incidente MO497128 que confirma que la actualización KB2267602 Defender efectivamente causa problemas a los usuarios que acceden a los accesos directos de las aplicaciones en el menú Inicio y la barra de tareas.

Seguimiento del incidente MO497128

Si instaló la actualización KB2267602 en sus dispositivos y ha estado experimentando problemas, aquí hay algunas actualizaciones relacionadas con el incidente MO497128:

Primera respuesta de Microsoft: estamos revisando los datos de los informes de los clientes para determinar nuestros próximos pasos para la solución de problemas.
Segunda respuesta de Microsoft: estamos investigando cambios recientes en el servicio Microsoft Defender para identificar la causa raíz subyacente y formular un plan de mitigación.
Tercera respuesta de Microsoft: Hemos identificado que una regla específica estaba teniendo un impacto. Hemos revertido la regla para evitar un mayor impacto mientras investigamos más a fondo. Esta actualización rápida está diseñada para brindar la información más reciente sobre este tema.
Cuarta respuesta de Microsoft: revertimos la regla ASR infractora; sin embargo, este cambio se está propagando por todo el entorno y podría tardar varias horas en completarse. Le recomendamos que tome medidas para colocar la regla ASR infractora en modo de auditoría y evitar un mayor impacto hasta que la actualización haya completado la implementación.

Para realizar un seguimiento de este problema, puede visitar el panel de estado del centro de administración de Microsoft 365 y seleccionar Estado del servicio. Selecciona el Servicio - Microsoft 365 Suite y aquí podrás seguir todos los detalles sobre este problema. Si desea recibir actualizaciones sobre el MO497128, puede seleccionar personalizar y configurar el correo electrónico.

Actualización de Defender KB2267602 que afecta las reglas ASR

La actualización KB2267602 está provocando que la regla ASR (Reducción de superficie de ataque) bloquee las llamadas a la API de Win32 desde Office Macro e incluso bloquee aplicaciones como OfficeClickToRun.

Tenga en cuenta que ASR está bloqueando la ejecución de aplicaciones en dispositivos como el navegador (explore.exe), el clic para ejecutar de Office, RuntimeBroker.exe, etc.

Solución alternativa KB2267602: modificar las reglas de ASR

Si está implementando las actualizaciones del defensor con Intune y si la regla es eliminar los accesos directos de la barra de tareas y bloquear las aplicaciones, aquí tiene una solución alternativa. Todo lo que necesita hacer es editar la regla ASR y en Parámetros de configuración, cambiar la configuración Bloquear llamadas API de Win32 desde macros de Office a Desactivado. Si lo configura en Auditoría, es posible que no funcione según lo informado por los usuarios.

Nota: Microsoft está trabajando en este problema y lo resolverá pronto. Hasta entonces, puede probar la solución alternativa mencionada anteriormente. Si la solución anterior no funcionó para usted, hágamelo saber en la sección de comentarios.

Solución alternativa 1: inicie las aplicaciones de Office mediante el Iniciador de aplicaciones

Microsoft ha sugerido la siguiente solución para los usuarios que experimentan problemas después de instalar la actualización KB2267602 Defender.

Mientras investigamos el problema subyacente, los usuarios pueden iniciar aplicaciones de Office directamente mediante la aplicación de Office o mediante el iniciador de aplicaciones de Microsoft 365. Puede encontrar más detalles sobre el iniciador de aplicaciones de Microsoft 365 en https://support.microsoft.com/en-us/office/meet-the-microsoft-365-app-launcher-79f12104-6fed-442f-96a0-eb089a3f476a.

Solución alternativa 2: configurar la regla ASR en modo auditoría

Microsoft ha recomendado la siguiente solución para las configuraciones que utilizan Intune para administrar las actualizaciones del defensor.

Le recomendamos que ponga la regla ASR en modo auditoría para evitar un mayor impacto. Esto se puede hacer a través de las siguientes opciones:

Usando Powershell: Add-MpPreference -AttackSurfaceReductionRules_Ids 92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b -AttackSurfaceReductionRules_Actions AuditMode
Usando Intune: https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/enable-attack-surface-reduction?view=o365-worldwide#mem
Uso de la directiva de grupo: https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/enable-attack-surface-reduction?view=o365-worldwide#group -política
Tenga en cuenta que la regla ASR "Bloquear llamadas API de Win32 desde macros de Office" con ID: 92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b

También puede configurar la regla en modo deshabilitado. En ese caso, considere utilizar el siguiente comando de PowerShell: