Pular para o conteúdo

Nova atualização da AMSI causa problemas graves no Exchange 2016 CU21 e no Exchange 2019 CU10

O Outlook bloqueia, os e-mails não são enviados e surgem problemas de ligação devido a uma atualização da interface antivírus AMSI
21 de julho de 2021 por
Dominic Schnur

A integração da AMSI (Antimalware Scan Interface), que deveria proporcionar uma melhor proteção com o Exchange 2016 CU21 e o Exchange 2019 CU10, está agora, infelizmente, a causar problemas graves quando o Exchange é utilizado em conjunto com vários programas antivírus.

Estes problemas incluem, por exemplo, tempos de carregamento intermináveis ao abrir o Outlook e durante a sua utilização, atrasos no envio de e-mails e até a perda total da ligação ao servidor Exchange. 

Uma coisa é certa: assim não se consegue trabalhar.

Felizmente, alguns fornecedores de antivírus estavam preparados e disponibilizam uma opção para desativar a AMSI. Aqui mostramos como pôr fim a estes problemas, com exemplos de soluções como Sophos, McAfee, Bitdefender e Kaspersky.
Explicaremos também como desativar esta funcionalidade através de uma alteração no ficheiro web.config do servidor Exchange.

Sophos

No Sophos, existem duas formas de desativar a AMSI. Pode fazê-lo diretamente na aplicação instalada no cliente, o que se torna pouco prático quando há várias instalações para gerir, ou de forma centralizada, através da interface de administração do Sophos Central. 

Odoo • Texto e imagem

1. No endpoint: Mesmo que desative a AMSI no endpoint, terá de recorrer ao Sophos Central. Primeiro, é necessário desativar a proteção contra adulteração (Tamper Protection) do dispositivo em questão no Sophos Central. Para isso, basta deslocar-se para baixo na página de visão geral até à secção Tamper Protection e clicar em "View password details". Pode então copiar a palavra-passe.
Em seguida, no PC onde o Sophos está instalado, clique no ícone do Sophos no canto inferior direito da barra de tarefas. Na opção de início de sessão como administrador, introduza a palavra-passe que copiou do Sophos Central.

Odoo • Imagem e texto

Agora, em "Definições", no canto inferior direito, pode desativar a proteção AMSI.

Odoo • Imagem e texto

2. No Sophos Central: Se pretender aplicar esta definição a toda a infraestrutura e não apenas desativar a proteção temporariamente, veja a seguir quais as políticas que tem de atualizar para o fazer.
Primeiro, clique em "Server Protection" no menu de navegação, pois são essas as políticas que queremos editar. Em seguida, clique em "Policies" para aceder às políticas.

(No Sophos Central, em "Server -> Policies -> Threat Protection", desative "AMSI Protection (Windows)".)
Odoo • Imagem e texto
Odoo • Imagem e texto
A política que queremos editar é a que está identificada como "Enforced" em "Threat Protection".
Odoo • Imagem e texto
Depois de clicar na política em questão, aceda às respetivas definições. Se estiver a utilizar a política predefinida, verá uma marca de seleção azul na opção "Use recommended settinge". Primeiro, tem de desmarcar esta opção para poder editar as definições.
Feito isto, basta deslocar a página para baixo até à opção "AMSI Protection" e desativá-la.
Depois de clicar na política em questão, aceda às respetivas definições. Se estiver a utilizar a política predefinida, verá uma marca de seleção azul na opção "Use recommended settinge". Primeiro, tem de desmarcar esta opção para poder editar as definições.
Feito isto, basta deslocar a página para baixo até à opção "AMSI Protection" e desativá-la.
Odoo • Imagem e texto

Agora, basta clicar em "Save", no canto superior direito, para voltar a trabalhar normalmente com o Outlook.

McAfee

Também foi adicionada ao McAfee Endpoint Security uma opção nas definições que permite desativar a proteção AMSI.

Odoo • Imagem e texto

Bitdefender

No Bitdefender, estas alterações têm de ser efetuadas através da Gravityzone, pois não existe uma opção específica para AMSI. Apenas é possível desativar a proteção antimalware na íntegra nas opções de acesso, execução (Advanced Thread Control) e proteção avançada contra exploits. Recomenda-se criar um perfil Exchange separado para o servidor e desativar aí a proteção até estar disponível uma correção.

Kaspersky


Ativar e desativar a "Proteção AMSI"


A "Proteção AMSI" está ativada por predefinição.

Para ativar ou desativar a "Proteção AMSI", proceda da seguinte forma:

  1. Na parte inferior da janela principal do programa, clique no botão icon_settings.png.
  2. Na janela de definições do programa, selecione a secção Proteção → Proteção básica → Proteção AMSI.
  3. Utilize o interruptor Proteção AMSI para ativar ou desativar o componente.
  4. Guarde as alterações efetuadas.

    Fonte: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Diretamente no Exchange

Por último, também é possível desativar a AMSI alterando diretamente o ficheiro web.config para MAPIoverHTTP e RPCoverHTTP no servidor onde o Exchange está instalado. Esta solução já não é recomendada. Por isso, utilize apenas as opções acima indicadas ou a alternativa através do Powershell. 

Se optar pelo Powershell, inicie a Exchange Management Shell (Powershell com extensões do Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Estes comandos aplicam as definições e reiniciam o IIS. Desta forma, o problema fica resolvido até ser disponibilizada uma correção definitiva. 

Fonte: https://support.sophos.com/support/s/article/KB-000042460 
Fonte: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371