Microsoft.WindowsAppRuntime.dll
1.8.0.0
2282KB
2282KB
MpAsDesc.dll
MpAsDesc.dll是Microsoft Defender Antivirus的核心动态链接库文件，隶属于Microsoft反恶意软件技术栈（AMSI）。该模块主要负责威胁描述元数据解析与特征码动态关联，实现基于云安全智能的异步威胁分析功能。其核心作用包括：1）执行威胁属性结构化描述（CVE-ID、MITRE ATT&CK TTP映射）；2）协调AMSI接口与反恶意软件扫描接口（AMSI-ASync）的异步通信；3）生成威胁情报指纹（Threat Intelligence Fingerprint）用于实时行为检测；4）管理动态签名服务（Dynamic Signature Service）的本地缓存更新。该组件通过与mpengine.dll的协同工作，实现启发式检测（Heuristic Detection）与机器学习模型输出的威胁指标（IoC）的上下文关联，支撑Microsoft Defender的下一代防护（NGAV）功能。采用安全描述符隔离机制（SDDL）保障进程间通信安全，是Microsoft安全技术堆栈中威胁情报处理的关键模块。
4.18.26060.3008
205KB
205KB
MpAzSubmit.dll
MpAzSubmit.dll 是 Windows Defender 中的一个动态链接库文件，主要负责与高级威胁防护（Advanced Threat Protection, ATP）相关的功能。具体来说，它用于提交可疑文件或威胁样本到 Microsoft 的云安全服务（Microsoft Defender Antivirus Cloud Protection）进行深度分析和检测。通过云端的机器学习和大数据分析，该组件能够快速识别新型恶意软件、零日攻击和其他高级威胁，从而增强系统的实时防护能力。MpAzSubmit.dll 在后台运行，确保系统能够及时响应并处理潜在的威胁，提升整体安全防护水平。
4.18.26060.3008
1601KB
1601KB
MpClient.dll
MpClient.dll 是 Microsoft Defender 防病毒解决方案的核心动态链接库，隶属于 Windows 系统安全体系。该模块作为反恶意软件服务接口层，提供标准化 API 实现第三方应用程序与 Microsoft Defender 高级威胁防护功能的深度集成。其主要功能包括：托管安全事件通知机制（如实时防护告警）、执行按需/计划扫描任务调度、管理进程内存扫描接口，以及处理威胁情报元数据交互。该组件通过 COM 接口与 Antimalware Scan Interface (AMSI) 及 Windows 安全中心进行数据协同，实现启发式检测引擎与云交付保护的策略联动，同时负责安全凭证存储和数字签名验证等底层操作，确保端点防护组件的完整性验证与行为监控功能的有效执行。
4.18.26060.3008
1781KB
1781KB
MpCommu.dll
MpCommu.dll是Windows Defender（现为Microsoft Defender）的核心组件之一，位于`C:\Program Files\Windows Defender`目录下。其主要作用是作为Windows Defender与操作系统及其他安全组件之间的通信接口，负责协调和管理防病毒、反恶意软件等安全功能的运行。该动态链接库文件通过提供API接口，支持实时保护、威胁检测、更新管理等功能，确保系统能够及时响应潜在的安全威胁。MpCommu.dll还负责与Windows安全中心（Security Center）进行交互，传递安全状态信息，确保用户能够通过系统界面监控和管理安全防护状态。
4.18.26060.3008
577KB
577KB
MpDetours.dll
MpDetours.dll 属于 Microsoft Malware Protection（Mp*）组件族，是 Microsoft Defender 防病毒引擎的用户态 API Hook 支撑库，基于 Microsoft Detours 机制实现。该模块由 MsMpEng.exe、MpSvc.dll 等进程通过 LoadLibrary 动态载入，以 inline hook 及 IAT/EAT 重定向挂钩 NtCreateFile、NtOpenProcess、RegOpenKeyEx、CreateProcessInternalW 等调用入口，为实时保护、行为监控、AMSI 脚本扫描、勒索软件防护与篡改防护提供调用级事件源，并向 MDE 遥测通道回传上下文。缺失将导致 WinDefend 服务以 0x8007007E 加载失败、实时保护不可用、扫描与定义更新中断。
4.18.26060.3008
453KB
453KB
MpDetoursCopyAccelerator.dll
MpDetoursCopyAccelerator.dll 是 Microsoft Defender 平台内基于 Microsoft Detours API Hook 的复制加速模块，挂接 CopyFile、CopyFileEx、CopyFile2 等文件复制路径，协同 MsMpEng.exe、MpFilter.sys 与扫描缓存，实现实时防护下的扫描调度、去重、预扫描与吞吐优化。缺失时模块加载失败，复制扫描回退，导致 Defender 组件异常、I/O 延迟升高与复制性能退化。
4.18.26060.3008
229KB
229KB
MpDlp.dll
MpDlp.dll 是 Microsoft Defender 平台的原生 DLP 组件模块，由 MsMpEng.exe 与 Windows 安全中心服务加载，作为敏感信息识别与策略执行的中间层：通过文件系统微筛选器、剪贴板与打印管道挂钩采集数据流，结合敏感信息类型（SIT）正则、关键字字典与文档指纹完成内容分类，再由 MDE/Intune 下发的 DLP 策略引擎输出允许、审计或阻止判定，并将命中遥测上报至 Defender for Endpoint 门户。其缺失将造成 DLP 策略脱管、平台服务加载失败及端点合规状态异常。
4.18.26060.3008
3797KB
3797KB
MpEvMsg.dll
MpEvMsg.dll 是 Windows Defender 的核心组件之一，位于 `C:\Program Files\Windows Defender` 目录下。其主要功能是处理与 Windows Defender 事件消息相关的操作，包括生成、解析和传递安全事件日志信息。该动态链接库（DLL）文件与 Windows Defender 的实时保护、扫描引擎和威胁响应模块紧密集成，用于记录和报告系统检测到的恶意软件、病毒或其他安全威胁的详细信息。通过 MpEvMsg.dll，Windows Defender 能够向系统管理员和用户提供详细的安全事件通知，并支持日志分析和事件追踪，以增强系统的安全性和可管理性。
4.18.26060.3008
149KB
149KB
MpNiRtp.dll
4.18.26060.3008
2493KB
2493KB
MpOAV.dll
MpOAV.dll是Microsoft Defender高级威胁防护组件的动态链接库，专用于Office文档反病毒扫描（Office AntiVirus）。该模块通过深度解析Office文件格式（如DOCX、XLSX），结合启发式引擎与YARA规则库，检测嵌入式恶意宏、OLE对象及CVE漏洞利用载荷。其采用基于行为的动态分析技术（如AMSI集成）监控脚本解释过程，拦截可疑的AutoOpen/RCE链式攻击。该组件通过进程注入方式挂载于Office宿主程序，实施实时内存扫描与API调用追踪，配合云端威胁情报（TI）实现零日攻击防御。作为Microsoft安全技术栈的原子化组件，其与MPCMDRUN.exe协同工作，确保企业级文档安全基线。
4.18.26060.3008
657KB
657KB
MpRtp.dll
MpRtp.dll是Windows Defender反恶意软件服务的一部分，位于C:\Program Files\Windows Defender目录下。该动态链接库文件（DLL）主要负责实时保护（Real-Time Protection, RTP）功能，用于监控系统中的文件和进程活动，以检测和阻止潜在的恶意软件行为。具体来说，MpRtp.dll通过与其他Windows Defender组件（如MpEngine.dll）协同工作，提供对恶意软件、病毒、间谍软件等威胁的实时扫描和防护。它通过挂钩系统调用和文件操作，确保在恶意软件执行前或文件被访问时进行检测和拦截，从而增强系统的安全性。
4.18.26060.3008
1241KB
1241KB
MpSenseComm.dll
MpSenseComm.dll 是 Microsoft Defender 防病毒/端点防护平台的通信代理模块，通常位于 Defender Platform 目录。其通过 IPC、RPC、命名管道或共享内存，在 MpSvc、MpClient、MsMpEng、MpCmdRun、Windows 安全中心及云保护服务之间传递扫描请求、威胁事件、策略配置、签名更新通知与实时保护状态。该模块参与遥测上报、云保护交互和 Defender for Endpoint 传感器数据流转。缺失或版本不匹配会导致 Defender 组件间通信失败、实时保护/云保护异常、安全中心状态不可用、扫描与更新报错，并可能产生 0x8007007E 等模块加载错误。
4.18.26060.3008
877KB
877KB
MpSvc.dll
MpSvc.dll是Microsoft Defender Antivirus的核心服务模块，隶属于Windows系统安全基础架构。作为Microsoft Protection Service的动态链接库，其核心功能包括：1. 提供反恶意软件引擎接口，协调实时防护（Real-time Protection）、云交付检测（CLD）及行为监控（AMSI）；2. 管理威胁修复工作流，执行隔离/清除/回滚操作；3. 集成Windows安全中心（WSC）的威胁情报同步机制，处理安全策略更新与特征库部署；4. 通过WMI提供安全状态查询接口，支持第三方安全方案协同运作。该组件以SvcHost.exe为载体运行，依赖RPC终结点进行跨进程通信，事件日志记录于Microsoft-Windows-Windows Defender/Operational通道，其完整性由Windows模块安装器（TrustedInstaller）强制验证。
4.18.26060.3008
6613KB
6613KB
MpUpdate.dll
MpUpdate.dll 是 Microsoft Defender（原 Windows Defender / Microsoft Security Essentials）反恶意软件平台中的安全智能更新组件，以动态链接库形式被 MsMpEng.exe、MpCmdRun.exe 及 Windows Update 代理调用。该模块负责签名更新包的清单解析、Delta 增量与 CU 累积补丁下载、版本比对、Authenticode 数字签名与哈希完整性校验、Anti-Rollback 防回滚验证，以及特征数据库（VDM 签名集）的原子化提交与失败回滚。其导出接口用于查询当前引擎与签名版本、触发更新流程并回传状态码，是维持反恶意软件引擎检测时效性的关键环节。
4.18.26060.3008
313KB
313KB
MpUxAgent.dll
MpUxAgent.dll 属于 Microsoft Malware Protection（MP）组件族，是 Windows Defender 反恶意软件平台的用户界面代理模块（Ux 即 User Experience），通常位于 %ProgramData%\Microsoft\Windows Defender\Platform\<版本号> 目录。它充当受保护的 WinDefend 服务与 UI 层之间的中间代理，通过 COM/RPC 接口调度进程间通信，向 Windows 安全中心、通知中心与系统托盘转发扫描状态、威胁检测结果及处置建议，并回传策略配置、上报遥测与事件日志，从而实现引擎与管理界面之间的权限隔离。该模块缺失或被篡改时，安全中心界面渲染、威胁通知与状态查询将失效，并可能引发平台更新回滚。
4.18.26060.3008
849KB
849KB
MsMpLics.dll
MsMpLics.dll 是 Microsoft Defender Antivirus 的核心接口组件，隶属反恶意软件服务（MsMpEng.exe）的许可控制子系统。该动态链接库实现实时防护引擎与系统底层资源的权限协商机制，主要负责管理反病毒扫描器（mpengine.dll）对受保护内存区域、内核对象及敏感进程的操作授权。其通过数字证书验证、代码完整性校验及安全描述符分析，确保扫描行为符合最小特权原则。该模块还协调Windows事件追踪（ETW）的日志捕获接口，并为AMSI（反恶意软件扫描接口）提供脚本解析上下文。在高级威胁防护场景中，MsMpLics.dll 执行动态链接库白名单验证，并参与控制流防护（CFG）的异常处理协商。其采用异步RPC通道与安全中心（SecurityHealthHost.exe）通信，实现策略同步与威胁处置权限的动态升降级。
4.18.26060.3008
21KB
21KB
onnxruntime.dll
ONNX Runtime.dll是ONNX Runtime推理引擎的动态链接库，为跨平台部署机器学习模型提供高效运行时环境。其核心功能为解析并执行符合ONNX（Open Neural Network Exchange）标准的计算图，通过图优化技术（如算子融合、常量折叠、内存共享）提升推理性能，支持异构硬件加速执行提供者（Execution Providers）接口，包括CPU（MLAS加速）、CUDA、DNNL、TensorRT、DirectML等，实现计算资源自适应分配。该组件实施内存池化管理和并行计算策略，优化显存/内存利用率，支持动态维度输入及混合精度推理（FP16/INT8量化），提供C/C++ API接口层实现跨语言调用，确保低延迟、高吞吐的模型推理能力，广泛应用于边缘计算、云端服务及嵌入式AI系统部署场景。
1.23.25.1022
21049KB
21049KB
onnxruntime_providers_shared.dll
onnxruntime_providers_shared.dll 是 ONNX Runtime 在 Windows 下的执行提供程序共享库，承担 Runtime 与 Execution Provider 间的 ABI 桥接，导出 Provider 注册、能力查询、设备资源、内存分配器、会话配置及错误处理等公共接口，被 onnxruntime_providers_cuda.dll、TensorRT、DirectML 等 EP 动态链接。缺失时相关 EP 无法加载，InferenceSession 初始化失败或回退 CPU，导致加速推理不可用。
1.23.25.1022
52KB
52KB
ProtectionManagement.dll
ProtectionManagement.dll 是 Windows Defender 的核心组件之一，主要负责高级威胁防护管理。该模块集成了实时监控、行为分析、机器学习算法及云端智能防护机制，通过动态签名服务（Dynamic Signature Service）和高级启发式扫描技术，实现对零日漏洞攻击、无文件恶意软件等新型威胁的精准检测与阻断。其功能涵盖进程行为监控、内存保护、网络流量分析及系统完整性验证，确保系统免受复杂恶意软件的侵害。
4.18.26060.3008
853KB
853KB
endpointdlp.dll
endpointdlp.dll 是 Windows 端点数据丢失防护（Endpoint DLP）的客户端代理组件，通常位于 System32 目录。它承载 Purview 合规策略的本地落地执行：调用敏感信息类型（SIT）与可训练分类器完成内容判定，经文件系统微过滤驱动与网络过滤驱动拦截复制、粘贴、打印、可移动存储写入及云上传等外发通道，并按策略执行阻止、警告、审计或用户覆盖；同时将审计事件与遥测数据上报 Defender/Purview 门户，支撑合规取证与自动化响应。
4.18.26060.3008
1328KB
1328KB
MpAsDesc.dll
MpAsDesc.dll是Microsoft Defender Antivirus的核心动态链接库文件，隶属于Microsoft反恶意软件技术栈（AMSI）。该模块主要负责威胁描述元数据解析与特征码动态关联，实现基于云安全智能的异步威胁分析功能。其核心作用包括：1）执行威胁属性结构化描述（CVE-ID、MITRE ATT&CK TTP映射）；2）协调AMSI接口与反恶意软件扫描接口（AMSI-ASync）的异步通信；3）生成威胁情报指纹（Threat Intelligence Fingerprint）用于实时行为检测；4）管理动态签名服务（Dynamic Signature Service）的本地缓存更新。该组件通过与mpengine.dll的协同工作，实现启发式检测（Heuristic Detection）与机器学习模型输出的威胁指标（IoC）的上下文关联，支撑Microsoft Defender的下一代防护（NGAV）功能。采用安全描述符隔离机制（SDDL）保障进程间通信安全，是Microsoft安全技术堆栈中威胁情报处理的关键模块。
4.18.26060.3008
198KB
198KB
MpClient.dll
MpClient.dll 是 Microsoft Defender 防病毒解决方案的核心动态链接库，隶属于 Windows 系统安全体系。该模块作为反恶意软件服务接口层，提供标准化 API 实现第三方应用程序与 Microsoft Defender 高级威胁防护功能的深度集成。其主要功能包括：托管安全事件通知机制（如实时防护告警）、执行按需/计划扫描任务调度、管理进程内存扫描接口，以及处理威胁情报元数据交互。该组件通过 COM 接口与 Antimalware Scan Interface (AMSI) 及 Windows 安全中心进行数据协同，实现启发式检测引擎与云交付保护的策略联动，同时负责安全凭证存储和数字签名验证等底层操作，确保端点防护组件的完整性验证与行为监控功能的有效执行。
4.18.26060.3008
1440KB
1440KB
MpDetours.dll
MpDetours.dll 属于 Microsoft Malware Protection（Mp*）组件族，是 Microsoft Defender 防病毒引擎的用户态 API Hook 支撑库，基于 Microsoft Detours 机制实现。该模块由 MsMpEng.exe、MpSvc.dll 等进程通过 LoadLibrary 动态载入，以 inline hook 及 IAT/EAT 重定向挂钩 NtCreateFile、NtOpenProcess、RegOpenKeyEx、CreateProcessInternalW 等调用入口，为实时保护、行为监控、AMSI 脚本扫描、勒索软件防护与篡改防护提供调用级事件源，并向 MDE 遥测通道回传上下文。缺失将导致 WinDefend 服务以 0x8007007E 加载失败、实时保护不可用、扫描与定义更新中断。
4.18.26060.3008
339KB
339KB
MpDetoursCopyAccelerator.dll
MpDetoursCopyAccelerator.dll 是 Microsoft Defender 平台内基于 Microsoft Detours API Hook 的复制加速模块，挂接 CopyFile、CopyFileEx、CopyFile2 等文件复制路径，协同 MsMpEng.exe、MpFilter.sys 与扫描缓存，实现实时防护下的扫描调度、去重、预扫描与吞吐优化。缺失时模块加载失败，复制扫描回退，导致 Defender 组件异常、I/O 延迟升高与复制性能退化。
4.18.26060.3008
162KB
162KB
MpOAV.dll
MpOAV.dll是Microsoft Defender高级威胁防护组件的动态链接库，专用于Office文档反病毒扫描（Office AntiVirus）。该模块通过深度解析Office文件格式（如DOCX、XLSX），结合启发式引擎与YARA规则库，检测嵌入式恶意宏、OLE对象及CVE漏洞利用载荷。其采用基于行为的动态分析技术（如AMSI集成）监控脚本解释过程，拦截可疑的AutoOpen/RCE链式攻击。该组件通过进程注入方式挂载于Office宿主程序，实施实时内存扫描与API调用追踪，配合云端威胁情报（TI）实现零日攻击防御。作为Microsoft安全技术栈的原子化组件，其与MPCMDRUN.exe协同工作，确保企业级文档安全基线。
4.18.26060.3008
558KB
558KB
MsMpLics.dll
MsMpLics.dll 是 Microsoft Defender Antivirus 的核心接口组件，隶属反恶意软件服务（MsMpEng.exe）的许可控制子系统。该动态链接库实现实时防护引擎与系统底层资源的权限协商机制，主要负责管理反病毒扫描器（mpengine.dll）对受保护内存区域、内核对象及敏感进程的操作授权。其通过数字证书验证、代码完整性校验及安全描述符分析，确保扫描行为符合最小特权原则。该模块还协调Windows事件追踪（ETW）的日志捕获接口，并为AMSI（反恶意软件扫描接口）提供脚本解析上下文。在高级威胁防护场景中，MsMpLics.dll 执行动态链接库白名单验证，并参与控制流防护（CFG）的异常处理协商。其采用异步RPC通道与安全中心（SecurityHealthHost.exe）通信，实现策略同步与威胁处置权限的动态升降级。
4.18.26060.3008
14KB
14KB
DefenderAiPlatform.dll
DefenderAiPlatform.dll 是 Microsoft Defender 反恶意软件引擎的 AI 推理平台组件，为 MsMpEng.exe 提供机器学习模型的加载、签名校验与推理调度能力，承担特征向量化、轻量级神经网络前向计算及模型热更新等职责，并通过导出函数向 MpOav.dll、MpClient.dll 等扫描模块输出置信度评分，是本地启发式检测与零日威胁识别的关键运行时依赖。
1.0.26070.9
234KB
234KB
DefenderCSP.dll
DefenderCSP.dll是Windows系统中Microsoft Defender防病毒组件的配置服务提供者（Configuration Service Provider），通过统一资源标识符（URI）路径实现安全策略的标准化管理。该动态链接库作为MDM（移动设备管理）/Intune及组策略对象（GPO）的技术接口，支持远程配置Microsoft Defender高级安全控制项，包括实时防护阈值、威胁响应动作、排除目录/进程、云提交样本策略及攻击面防护规则等关键参数。其采用CSP框架与Windows安全服务核心（MsMpEng.exe）交互，确保策略变更通过WMI或MMC控制台同步至系统注册表及安全基线。该模块同时提供事件报告标准化管道，支持企业级EDR/XDR平台集成，符合NIST SP 800-53安全控制规范。
4.18.26070.9
538KB
538KB
DefenderDiag.dll
DefenderDiag.dll 是 Microsoft Defender 反恶意软件平台的诊断与遥测组件，由 MsMpEng.exe、MpCmdRun.exe 等进程动态加载。其职责为采集引擎与特征库版本、扫描及清理结果、平台健康指标，经 Windows Defender 遥测通道上报 Microsoft 恶意软件防护中心；同时对外提供诊断接口，供 Windows 安全中心与平台更新程序查询运行状态，并将异常写入 Defender 操作日志及 ETW 跟踪会话，用于故障定位、完整性校验与兼容性分析。
4.18.26070.9
2206KB
2206KB
DsClientBase.dll
DsClientBase.dll 是戴尔客户端支持组件的基础动态链接库，承担客户端初始化、配置策略加载、设备枚举、硬件与驱动版本采集、会话管理、后端通信封装、日志遥测及异常处理等职责。它以 API 形式向上层扫描、诊断、更新模块提供统一调用入口，并维护运行上下文与资源释放。若缺失、损坏或注册失效，依赖进程将出现模块加载失败，导致 SupportAssist 扫描、保修查询、驱动/BIOS 更新、遥测上报及后台服务不可用；系统核心启动通常不受影响。
1.0.26070.9
202KB
202KB
DsClientFull.dll
DsClientFull.dll 是 Microsoft Dynamics 365 / Dynamics CRM for Outlook 完整客户端的关键互操作组件，通常以进程内 COM 服务器或托管程序集形式被 Outlook 加载项调用。其核心作用包括：初始化 Outlook 加载项与功能区，处理发现服务、组织服务终结点、身份认证和令牌缓存；维护实体、属性、视图、表单及筛选器元数据缓存；协调邮件、约会、联系人和任务与 CRM 记录的跟踪、同步、冲突检测和离线数据库访问。缺失或注册损坏会导致加载项初始化失败、功能区缺失、同步管道中断、脱机模式不可用，并可能触发 COM 类未注册或程序集加载错误。
1.0.26070.9
238KB
238KB
DsCoreBase.dll
DsCoreBase.dll 是宿主应用自带的共享核心基础库，非 Windows 原生组件。它以动态链接库形式封装公共底层能力，向主程序及同级模块导出配置读写、日志记录、加解密与哈希校验、进程与服务间通信、设备资源枚举、统一错误码与异常捕获等 API，实现业务逻辑与基础服务解耦。加载时由宿主进程按搜索路径解析并调用其导出函数。该文件缺失或版本不匹配将导致进程初始化失败、模块定位错误（如 0xc000007b、找不到指定模块）及依赖链级联断裂。
1.0.26070.9
190KB
190KB
DsCoreFull.dll
DsCoreFull.dll 是 Windows 动态链接库，通常作为特定应用或游戏的核心运行时模块，以 PE 导出表提供函数、类工厂、回调接口与资源入口，承担初始化、对象注册、配置加载、数据序列化、IPC/网络通信、加解密、授权校验和插件调度等职责。缺失时，加载器无法解析导入依赖，可能触发找不到 DLL、入口点定位失败、进程启动中断、模块崩溃或功能降级。应匹配版本、架构与签名，通过官方安装包或修复安装部署。
1.0.26070.9
134KB
134KB
DsMain.dll
DsMain.dll 是应用程序级动态链接库，向主进程导出函数入口，承载核心业务逻辑与接口转发，负责驱动通信、IOCTL 控制码下发、共享内存与命名管道数据交换、报文序列化与反序列化及资源加载，并参与授权校验与模块版本自检。运行期由 LoadLibrary 挂载，缺失时触发 ERROR_MOD_NOT_FOUND，导致进程启动失败或功能模块不可用。
1.0.26070.9
218KB
218KB
endpointdlp.dll
endpointdlp.dll 是 Windows 端点数据丢失防护（Endpoint DLP）的客户端代理组件，通常位于 System32 目录。它承载 Purview 合规策略的本地落地执行：调用敏感信息类型（SIT）与可训练分类器完成内容判定，经文件系统微过滤驱动与网络过滤驱动拦截复制、粘贴、打印、可移动存储写入及云上传等外发通道，并按策略执行阻止、警告、审计或用户覆盖；同时将审计事件与遥测数据上报 Defender/Purview 门户，支撑合规取证与自动化响应。
4.18.26070.9
1702KB
1702KB
MpAsDesc.dll
MpAsDesc.dll是Microsoft Defender Antivirus的核心动态链接库文件，隶属于Microsoft反恶意软件技术栈（AMSI）。该模块主要负责威胁描述元数据解析与特征码动态关联，实现基于云安全智能的异步威胁分析功能。其核心作用包括：1）执行威胁属性结构化描述（CVE-ID、MITRE ATT&CK TTP映射）；2）协调AMSI接口与反恶意软件扫描接口（AMSI-ASync）的异步通信；3）生成威胁情报指纹（Threat Intelligence Fingerprint）用于实时行为检测；4）管理动态签名服务（Dynamic Signature Service）的本地缓存更新。该组件通过与mpengine.dll的协同工作，实现启发式检测（Heuristic Detection）与机器学习模型输出的威胁指标（IoC）的上下文关联，支撑Microsoft Defender的下一代防护（NGAV）功能。采用安全描述符隔离机制（SDDL）保障进程间通信安全，是Microsoft安全技术堆栈中威胁情报处理的关键模块。
4.18.26070.9
206KB
206KB
MpAzSubmit.dll
MpAzSubmit.dll 是 Windows Defender 中的一个动态链接库文件，主要负责与高级威胁防护（Advanced Threat Protection, ATP）相关的功能。具体来说，它用于提交可疑文件或威胁样本到 Microsoft 的云安全服务（Microsoft Defender Antivirus Cloud Protection）进行深度分析和检测。通过云端的机器学习和大数据分析，该组件能够快速识别新型恶意软件、零日攻击和其他高级威胁，从而增强系统的实时防护能力。MpAzSubmit.dll 在后台运行，确保系统能够及时响应并处理潜在的威胁，提升整体安全防护水平。
4.18.26070.9
1602KB
1602KB
MpClient.dll
MpClient.dll 是 Microsoft Defender 防病毒解决方案的核心动态链接库，隶属于 Windows 系统安全体系。该模块作为反恶意软件服务接口层，提供标准化 API 实现第三方应用程序与 Microsoft Defender 高级威胁防护功能的深度集成。其主要功能包括：托管安全事件通知机制（如实时防护告警）、执行按需/计划扫描任务调度、管理进程内存扫描接口，以及处理威胁情报元数据交互。该组件通过 COM 接口与 Antimalware Scan Interface (AMSI) 及 Windows 安全中心进行数据协同，实现启发式检测引擎与云交付保护的策略联动，同时负责安全凭证存储和数字签名验证等底层操作，确保端点防护组件的完整性验证与行为监控功能的有效执行。
4.18.26070.9
1790KB
1790KB
MpCommu.dll
MpCommu.dll是Windows Defender（现为Microsoft Defender）的核心组件之一，位于`C:\Program Files\Windows Defender`目录下。其主要作用是作为Windows Defender与操作系统及其他安全组件之间的通信接口，负责协调和管理防病毒、反恶意软件等安全功能的运行。该动态链接库文件通过提供API接口，支持实时保护、威胁检测、更新管理等功能，确保系统能够及时响应潜在的安全威胁。MpCommu.dll还负责与Windows安全中心（Security Center）进行交互，传递安全状态信息，确保用户能够通过系统界面监控和管理安全防护状态。
4.18.26070.9
578KB
578KB
MpDetours.dll
MpDetours.dll 属于 Microsoft Malware Protection（Mp*）组件族，是 Microsoft Defender 防病毒引擎的用户态 API Hook 支撑库，基于 Microsoft Detours 机制实现。该模块由 MsMpEng.exe、MpSvc.dll 等进程通过 LoadLibrary 动态载入，以 inline hook 及 IAT/EAT 重定向挂钩 NtCreateFile、NtOpenProcess、RegOpenKeyEx、CreateProcessInternalW 等调用入口，为实时保护、行为监控、AMSI 脚本扫描、勒索软件防护与篡改防护提供调用级事件源，并向 MDE 遥测通道回传上下文。缺失将导致 WinDefend 服务以 0x8007007E 加载失败、实时保护不可用、扫描与定义更新中断。
4.18.26070.9
466KB
466KB
MpDetoursCopyAccelerator.dll
MpDetoursCopyAccelerator.dll 是 Microsoft Defender 平台内基于 Microsoft Detours API Hook 的复制加速模块，挂接 CopyFile、CopyFileEx、CopyFile2 等文件复制路径，协同 MsMpEng.exe、MpFilter.sys 与扫描缓存，实现实时防护下的扫描调度、去重、预扫描与吞吐优化。缺失时模块加载失败，复制扫描回退，导致 Defender 组件异常、I/O 延迟升高与复制性能退化。
4.18.26070.9
230KB
230KB
MpDlp.dll
MpDlp.dll 是 Microsoft Defender 平台的原生 DLP 组件模块，由 MsMpEng.exe 与 Windows 安全中心服务加载，作为敏感信息识别与策略执行的中间层：通过文件系统微筛选器、剪贴板与打印管道挂钩采集数据流，结合敏感信息类型（SIT）正则、关键字字典与文档指纹完成内容分类，再由 MDE/Intune 下发的 DLP 策略引擎输出允许、审计或阻止判定，并将命中遥测上报至 Defender for Endpoint 门户。其缺失将造成 DLP 策略脱管、平台服务加载失败及端点合规状态异常。
4.18.26070.9
5494KB
5494KB
MpEvMsg.dll
MpEvMsg.dll 是 Windows Defender 的核心组件之一，位于 `C:\Program Files\Windows Defender` 目录下。其主要功能是处理与 Windows Defender 事件消息相关的操作，包括生成、解析和传递安全事件日志信息。该动态链接库（DLL）文件与 Windows Defender 的实时保护、扫描引擎和威胁响应模块紧密集成，用于记录和报告系统检测到的恶意软件、病毒或其他安全威胁的详细信息。通过 MpEvMsg.dll，Windows Defender 能够向系统管理员和用户提供详细的安全事件通知，并支持日志分析和事件追踪，以增强系统的安全性和可管理性。
4.18.26070.9
150KB
150KB
MpNiRtp.dll
4.18.26070.9
2510KB
2510KB
MpOAV.dll
MpOAV.dll是Microsoft Defender高级威胁防护组件的动态链接库，专用于Office文档反病毒扫描（Office AntiVirus）。该模块通过深度解析Office文件格式（如DOCX、XLSX），结合启发式引擎与YARA规则库，检测嵌入式恶意宏、OLE对象及CVE漏洞利用载荷。其采用基于行为的动态分析技术（如AMSI集成）监控脚本解释过程，拦截可疑的AutoOpen/RCE链式攻击。该组件通过进程注入方式挂载于Office宿主程序，实施实时内存扫描与API调用追踪，配合云端威胁情报（TI）实现零日攻击防御。作为Microsoft安全技术栈的原子化组件，其与MPCMDRUN.exe协同工作，确保企业级文档安全基线。
4.18.26070.9
658KB
658KB
MpRtp.dll
MpRtp.dll是Windows Defender反恶意软件服务的一部分，位于C:\Program Files\Windows Defender目录下。该动态链接库文件（DLL）主要负责实时保护（Real-Time Protection, RTP）功能，用于监控系统中的文件和进程活动，以检测和阻止潜在的恶意软件行为。具体来说，MpRtp.dll通过与其他Windows Defender组件（如MpEngine.dll）协同工作，提供对恶意软件、病毒、间谍软件等威胁的实时扫描和防护。它通过挂钩系统调用和文件操作，确保在恶意软件执行前或文件被访问时进行检测和拦截，从而增强系统的安全性。
4.18.26070.9
1258KB
1258KB
MpSenseComm.dll
MpSenseComm.dll 是 Microsoft Defender 防病毒/端点防护平台的通信代理模块，通常位于 Defender Platform 目录。其通过 IPC、RPC、命名管道或共享内存，在 MpSvc、MpClient、MsMpEng、MpCmdRun、Windows 安全中心及云保护服务之间传递扫描请求、威胁事件、策略配置、签名更新通知与实时保护状态。该模块参与遥测上报、云保护交互和 Defender for Endpoint 传感器数据流转。缺失或版本不匹配会导致 Defender 组件间通信失败、实时保护/云保护异常、安全中心状态不可用、扫描与更新报错，并可能产生 0x8007007E 等模块加载错误。
4.18.26070.9
878KB
878KB
MpSvc.dll
MpSvc.dll是Microsoft Defender Antivirus的核心服务模块，隶属于Windows系统安全基础架构。作为Microsoft Protection Service的动态链接库，其核心功能包括：1. 提供反恶意软件引擎接口，协调实时防护（Real-time Protection）、云交付检测（CLD）及行为监控（AMSI）；2. 管理威胁修复工作流，执行隔离/清除/回滚操作；3. 集成Windows安全中心（WSC）的威胁情报同步机制，处理安全策略更新与特征库部署；4. 通过WMI提供安全状态查询接口，支持第三方安全方案协同运作。该组件以SvcHost.exe为载体运行，依赖RPC终结点进行跨进程通信，事件日志记录于Microsoft-Windows-Windows Defender/Operational通道，其完整性由Windows模块安装器（TrustedInstaller）强制验证。
4.18.26070.9
6686KB
6686KB
MpUpdate.dll
MpUpdate.dll 是 Microsoft Defender（原 Windows Defender / Microsoft Security Essentials）反恶意软件平台中的安全智能更新组件，以动态链接库形式被 MsMpEng.exe、MpCmdRun.exe 及 Windows Update 代理调用。该模块负责签名更新包的清单解析、Delta 增量与 CU 累积补丁下载、版本比对、Authenticode 数字签名与哈希完整性校验、Anti-Rollback 防回滚验证，以及特征数据库（VDM 签名集）的原子化提交与失败回滚。其导出接口用于查询当前引擎与签名版本、触发更新流程并回传状态码，是维持反恶意软件引擎检测时效性的关键环节。
4.18.26070.9
314KB
314KB