为什么 Windows Defender 从 2023 年 1 月 13 日开始删除快捷方式？

Question

突然间，Windows Defender 从我们的 Windows 10 和 11 计算机中删除了大量快捷方式（.lnk 文件）。数十台计算机受到影响。

快捷方式已从桌面文件夹和任务栏中消失 - 当用户双击图标时，大多数快捷方式会立即消失。据推测，问题是机器范围内的，只是大多数快捷方式都可以在这些位置找到。

但是，某些快捷方式不受影响，而其他已删除的快捷方式可以重新创建，但可能无法删除。

很奇怪！！

Answer 1

禁用（关闭）ASR 规则“阻止来自 Office 宏的 Win32 API 调用”。

我们的设置为“警告”，因此您不会指望它会删除或阻止对文件的访问，但它还是这么做了！

我不知道 Win32 API 调用或 Office 宏的链接是什么，但禁用此规则并在 4 台电脑（Windows 10 和 11）上同步设置后，问题立即得到解决。

Answer 2

因为它是越野车...

\n

^{[简短回答“为什么 Windows Defender 今天（13/01/2023）开始删除快捷方式？ ”]}

\n

\n

此问题已在安全情报更新 build\xc2\xa01.381.2164.0 中得到解决。安装安全情报更新 build\xc2\xa01.381.2164.0 或更高版本应该可以防止该问题，但它不会恢复以前删除的快捷方式。您将需要通过其他方法重新创建或恢复这些快捷方式。有关其他信息，请参阅从攻击面减少规则快捷方式删除中恢复。

\n

\n

注意

\n

\n

受影响的设备启用了攻击面减少 (ASR) 规则“阻止来自 Office 宏的 Win32 API 调用”。安装安全智能版本 1.381.2140.0 后，检测导致删除与不正确的检测模式匹配的某些 Windows 快捷方式 (.lnk) 文件。

\n

\n

如何解决/避免问题

\n

\n
1. 未安装安全情报更新 build\xc2\xa01.381。2140.0 . （阻止）
\n
2. 安装安全情报更新 build\xc2\xa01.381.2164.0 或更高版本。（解决）
\n
3. 将 ASR 规则更改为审核模式（这可能有助于防止）。
\n

\n

\n

\n
• 使用 Intune：启用攻击面减少规则 | Defender for Endpoint：Microsoft 端点管理器
\n
• \xe2\x80\x8b使用组策略：启用攻击面减少规则 | 端点防御者：组策略
\n

\n

\n

Answer 3

Microsoft 在 Microsoft 365 管理中心也将问题跟踪为“ MO497128：某些用户无法使用“开始”菜单和任务栏上的应用程序快捷方式”。

如果还没有在工作站上设置 Defender 更新定义的延迟分发，则似乎也是可能的。如果您有选项 (MDM/MECM/GPO)，请禁用特定的 ASR 规则。