微软安全软件 Defender 将自家 Office 更新错误标记为勒索软件

Microsoft Defender 是近年来微软在个人、企业与教育版本上面主力推动的自家防护机制，因为不需安装其他防毒软件为大家省了很多麻烦。 近日有 Microsoft Defender 端点防护的用户在论坛上回报了一波误报的状况，其中就把自家的 Office 更新标记为勒索软件活动。

Microsoft Defender 将自家 Office 更新错误标记为勒索软件活动

刚开始，在 Windows 的论坛上面有系统管理员少量回报 Microsoft Defender 端点防护的误报问题，这种情况在回报前几个小时前就已经开始发生，并且大量引发勒索软件警报，在回报激增后，微软调查证实，由于误报的关系， Office 更新被当作勒索软件活动标记。

这个问题大概从 3/16 开始发生在用户身上，这些警示归因于文件系统中的勒索软件行为检测，管理员可能已经看到错误警报的标题为「在文件系统中检测到勒索软件行为」，且该警报是在 OfficeSvcMgr.exe 上触发。 经过微软调查发现，最近在检测勒索软件服务组件中部署的更新出现一个代码的问题，导致在没有问题时也触发了警报，而微软已经更新了代码与云端逻辑来纠正，并确保在重新处理积压的警报后不会再有新的错误警报发出。 整个程序更新后，不正确的勒索软件警报将不再产生，原本记录的误报也会自动从系统中清除，无需管理员手动移除。

Microsoft Defender 端点防护的误报这并不是第一次发生。 在去年 11 月时，Microsoft Defender 端点防护还阻止了 Office Word 的启动，以及某些 Office 文件的开启，原因是另一个误报把它们标计为 Emptet 恶意软件的有效负载。 在 12 月份，它来错误地警示监测器篡改警报，此警报与该公司新部署用于 Log4j 进程的 Microsoft 365 Defender 扫描程序相关。

从 2020 年 10 月以来，系统管理员不得不处理其他类似的 Microsoft Defender 端点防护的问题，其中还包含一个感染了 Cobalt Strike 的网络设备警报，另一个问题则是将 Chrome 的更新标记为 PHP 后门的警报。 只能说，这误报的出现机率好像有点高啊！