Processus Office, Microsoft Defender détecte un ransomware

Certains utilisateurs de la suite bureautique Office ont été surpris par une alerte de sécurité de Microsoft Defender. L’application a détecté un ransomware dans le processus OfficeSvcMgr.exe, bloquant du coup l’accès à celui-ci.

Toute cette histoire a débuté suite à la mise en ligne des nouvelles mises à jour de définition reçues par Microsoft Defender for Endpoint. Naturellement cette alerte est un  faux positif. L’ingénieur Steve Scholz de chez Microsoft expliqué sur Reddit que Redmond est rapidement intervenu suite à la détection d’une augmentation soudaine du nombre d’alertes envoyées.

« À partir du 16 mars au matin, les clients peuvent avoir subi une série de détections de faux positifs attribuées à une détection de comportement Ransomware dans le système de fichiers. Microsoft a enquêté sur ce pic de détections et a déterminé qu’il s’agissait de résultats faussement positifs. Microsoft a mis à jour ses systèmes pour supprimer les faux positifs. »

En parallèle un message a été publié dans le centre d’administration indiquant un problème de code dans Microsoft Defender for Endpoint.

« Notre enquête a révélé qu’une mise à jour récemment déployée dans les composants de service qui détectent les alertes de ransomware a introduit un problème de code qui provoquait le déclenchement d’alertes lorsqu’aucun problème n’était présent. Nous avons déployé une mise à jour du code pour corriger le problème et nous assurer qu’aucune nouvelle alerte ne sera envoyée […]. »

Désormais tout doit fonctionner comme prévu. Microsoft recommande aux administrateurs système de maintenir Microsoft Defender for Endpoints à jour. L’objectif est de profiter des définitions les plus récentes tout en bénéficiant d’un correctif traitant ce problème de faux positif.