Hkcu software microsoft windows currentversion deviceaccess global

I dunno if these are useful to anyone, but here some registry values for many of the settings people may wish to change via a login script or GPO or something, plus a few services «of ill repute»

I haven’t even dipped my toe in the rabbit hole yet but these might be useful for changing basic single-user settings.

 #These are all the settings per single user as they are when set to off/disabled.

#Cortana displays history

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearchHistoryViewEnabled

Type: REG_DWORD, Length: 4, Data: 0

#Cortana can use my device history

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearchDeviceHistoryEnabled

Type: REG_DWORD, Length: 4, Data: 0

#Disable Location

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{BFA794E4-F964-4FDB-90F6-51056BFE4B44}Value

Type: REG_SZ, Length: 10, Data: Deny

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{E6AD100E-5F4E-44CD-BE0F-2265D88D14F5}Value

Type: REG_SZ, Length: 10, Data: Deny

RegSetValue HKCUSOFTWAREMicrosoftWindows NTCurrentVersionSensorPermissions{BFA794E4-F964-4FDB-90F6-51056BFE4B44}SensorPermissionState

Type: REG_DWORD, Length: 4, Data: 0

#Advertising ID

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionAdvertisingInfoEnabled

Type: REG_DWORD, Length: 4, Data: 0

#Smartscreen

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionAppHostEnableWebContentEvaluation

Type: REG_DWORD, Length: 4, Data: 0

#Send typing info to M$

RegSetValue HKCUSOFTWAREMicrosoftInputTIPCEnabled

Type: REG_DWORD, Length: 4, Data: 0

#Let websites provide local content by accessing language list

RegSetValue HKCUSOFTWAREMicrosoftInternet ExplorerInternationalAcceptLanguage

Type: REG_SZ, Length: 30, Data: en-US,en;q=0.5

RegSetValue HKCUControl PanelInternationalUser ProfileHttpAcceptLanguageOptOut

Type: REG_DWORD, Length: 4, Data: 1

#Smartglass; let apps on other devices open apps on this device

RegSetValue HKLMSOFTWAREMicrosoftWindowsCurrentVersionSmartGlassUserAuthPolicy

Type: REG_DWORD, Length: 4, Data: 0

#Let apps use camera

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{E5323777-F976-4f5b-9B55-B94699C46E44}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps use Mic

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{2EEF81BE-33FA-4800-9670-1CD474972C3F}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access notifications

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{52079E78-A92B-413F-B213-E8FE35712E72}Value

Type: REG_SZ, Length: 10, Data: Deny

#Get to know my typing (this has a metric f**k ton of values. These ones seem to be the major ones. I particularly like HarvestContacts

RegSetValue HKCUSOFTWAREMicrosoftPersonalizationSettingsAcceptedPrivacyPolicy

Type: REG_DWORD, Length: 4, Data: 0

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsLanguageEnabled

Type: REG_DWORD, Length: 4, Data: 0

RegSetValue HKCUSOFTWAREMicrosoftInputPersonalizationRestrictImplicitTextCollection

Type: REG_DWORD, Length: 4, Data: 1

RegSetValue HKCUSOFTWAREMicrosoftInputPersonalizationRestrictImplicitInkCollection

Type: REG_DWORD, Length: 4, Data: 1

RegSetValue HKCUSOFTWAREMicrosoftInputPersonalizationTrainedDataStoreHarvestContacts

Type: REG_DWORD, Length: 4, Data: 0

#Let apps access my account info

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{C1D23ACC-752B-43E5-8448-8D0E519CD6D6}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access my contacts

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{7D7E8402-7C54-4821-A34E-AEEFD62DED93}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access my calendar

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{D89823BA-7180-4B81-B50C-7E471E6121A3}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access my call history

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{8BC668CF-7728-45BD-93F8-CF2B3B41D7AB}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access my email

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{9231CB4C-BF57-4AF3-8C55-FDA7BFCC04C5}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access text/mms

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{992AFA70-6F47-4148-B3E9-3003349C1548}Value

Type: REG_SZ, Length: 10, Data: Deny

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{21157C1F-2651-4CC1-90CA-1F28B02263F6}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps access radios

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{A8804298-2D5F-42E3-9531-9C8C39EB29CE}Value

Type: REG_SZ, Length: 10, Data: Deny

#Let apps share and sync non-explicitly paired wireless devices over uPnP

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobalLooselyCoupledValue

Type: REG_SZ, Length: 10, Data: Deny

#Set telemetry to basic (can disable via service Diagtrack and DmwApPushSvc)

RegSetValue HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesDataCollectionAllowTelemetry

Type: REG_DWORD, Length: 4, Data: 1

#Never ask for feedback

RegSetValue HKCUSOFTWAREMicrosoftSiufRulesNumberOfSIUFInPeriod

Type: REG_DWORD, Length: 4, Data: 0

#Use my sign in info to automatically finish setting up after an update

RegSetValue HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonARSOUserConsent

Type: REG_DWORD, Length: 4, Data: 2

#Delivery optimization, disabled

RegSetValue HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeliveryOptimizationSystemSettingsDownloadMode

Type: REG_DWORD, Length: 4, Data: 3

RegSetValue HKLMSOFTWAREMicrosoftWindowsCurrentVersionDeliveryOptimizationConfigDODownloadMode

Type: REG_DWORD, Length: 4, Data: 0

#Disable cloud Defender protection (love the key name)

RegSetValue HKLMSOFTWAREMicrosoftWindows DefenderSpynetSpyNetReporting

Type: REG_DWORD, Length: 4, Data: 2

Services:

DiagTrack and Dmwappushsvc — Parts of telemetry
DoSvc — Delivery «optimization»
DcpSvc — Allows first party apps to upload data to the cloud (Data collection and publishing)
lfsvc — Geolocation
XblAuthManager, XblGameSave, XboxNetApiSvc — xBox services

@echo off setlocal EnableDelayedExpansion ver | find «10.« > nul if errorlevel 1 ( echo Your Windows version is not Windows 10… yet. Brace yourself, Windows 10 is coming^^! pause exit ) echo Make Windows 10 Great Again^^! Ultimate batch spyware and trash remover, v. 2.2.4. echo Optimized for Anniversary Update. pause echo. echo | set /p=Checking permissions… net session >nul 2>&1 if errorlevel 1 ( echo Permission denied. Run this script as administrator. pause exit ) else ( echo OK. timeout /t 1 > nul ) reg query «HKLMSoftwareMicrosoftWindows NTCurrentVersion« /v «ProductName« | find «LTSB« > nul if not errorlevel 1 ( set LTSB=1 ) if not defined LTSB ( cls echo Deleting trash apps… powershell -Command «& {Get-AppxPackage -AllUsers | Remove-AppxPackage; Get-AppxProvisionedPackage -Online | Remove-AppxProvisionedPackage -Online;}« takeown /f «%ProgramFiles%WindowsApps« /r icacls «%ProgramFiles%WindowsApps« /inheritance:e /grant «%UserName%:(OI)(CI)F« /T /C for /d %%i in («%ProgramFiles%WindowsApps*«) do ( rd /s /q «%%i« ) icacls «%ProgramFiles%WindowsApps« /setowner «NT ServiceTrustedInstaller« icacls «%ProgramFiles%WindowsApps« /inheritance:r /remove «%UserName%« ) cls echo Deleting spyware firewall rules… powershell -Command «& {Get-NetFirewallRule | Where { $_.Group -like ‘*@{*’ } | Remove-NetFirewallRule;}« powershell -Command «& {Get-NetFirewallRule | Where { $_.Group -eq ‘DiagTrack’ } | Remove-NetFirewallRule;}« powershell -Command «& {Get-NetFirewallRule | Where { $_.DisplayGroup -eq ‘Delivery Optimization’ } | Remove-NetFirewallRule;}« powershell -Command «& {Get-NetFirewallRule | Where { $_.DisplayGroup -like ‘Windows Media Player Network Sharing Service*’ } | Remove-NetFirewallRule;}« cls echo | set /p=Deleting OneDrive… taskkill /f /im OneDrive.exe > nul 2>&1 if exist %SystemRoot%System32OneDriveSetup.exe ( start /wait %SystemRoot%System32OneDriveSetup.exe /uninstall ) else ( start /wait %SystemRoot%SysWOW64OneDriveSetup.exe /uninstall ) rd «%UserProfile%OneDrive« /q /s > nul 2>&1 rd «%SystemDrive%OneDriveTemp« /q /s > nul 2>&1 rd «%LocalAppData%MicrosoftOneDrive« /q /s > nul 2>&1 rd «%ProgramData%Microsoft OneDrive« /q /s > nul 2>&1 reg delete «HKEY_CLASSES_ROOTCLSID{018D5C66-4533-4307-9B53-224DE2ED1FE6}« /f > nul 2>&1 reg delete «HKEY_CLASSES_ROOTWow6432NodeCLSID{018D5C66-4533-4307-9B53-224DE2ED1FE6}« /f > nul 2>&1 reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsOneDrive« /v «DisableFileSyncNGSC« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsOneDrive« /v «DisableFileSync« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsOneDrive« /v «DisableMeteredNetworkFileSync« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsOneDrive« /v «DisableLibrariesDefaultSaveToOneDrive« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftOneDrive« /v «DisablePersonalSync« /t REG_DWORD /d 1 /f > nul echo OK. echo. echo Deleting spyware/bloatware services… set spy_services=^ DiagTrack,dmwappushservice,diagnosticshub.standardcollector.service,DcpSvc,^ WerSvc,PcaSvc,DoSvc,WMPNetworkSvc,XblAuthManager,XblGameSave,XboxNetApiSvc,^ xboxgip,wlidsvc,lfsvc,NcbService,WbioSrvc,LicenseManager,OneSyncSvc,CDPSvc,^ CDPUserSvc,MapsBroker,PhoneSvc,RetailDemo,WalletService for %%i in (%spy_services%) do ( sc query %%i > nul if not errorlevel 1060 ( echo Current service: %%i sc stop %%i > nul sc delete %%i set spy_svc_found=1 ) ) if not defined spy_svc_found ( echo No spyware services found. ) echo. echo Disabling unsafe services… set unsafe_services=^ RemoteRegistry,TermService,TrkWks,DPS,^ SensorDataService,SensorService,SensrSvc for %%i in (%unsafe_services%) do ( echo Current service: %%i sc stop %%i > nul sc config %%i start= disabled ) echo. echo Adding antispy firewall rules… set spy_ips=^ 104.96.147.3,111.221.29.177,111.221.29.253,111.221.64.0-111.221.127.255,^ 131.253.40.37,134.170.115.60,134.170.165.248,134.170.185.70,131.253.40.109,^ 134.170.30.202,137.116.81.24,137.117.235.16,157.55.129.21,198.78.208.254,^ 157.55.130.0-157.55.130.255,157.55.235.0-157.55.235.255,66.119.144.189,^ 157.55.236.0-157.55.236.255,157.55.52.0-157.55.52.255,134.170.51.248,^ 157.55.56.0-157.55.56.255,157.56.106.189,157.56.121.89,157.56.124.87,^ 157.56.91.77,168.63.108.233,191.232.139.2-191.232.139.255,131.253.40.53,^ 191.232.80.62,191.237.208.126,195.138.255.0-195.138.255.255,94.245.121.251,^ 2.22.61.43,2.22.61.66,204.79.197.200,207.46.101.29,207.46.114.58,207.46.223.94,^ 207.68.166.254,212.30.134.204,212.30.134.205,213.199.179.0-213.199.179.255,^ 23.102.21.4,23.218.212.69,23.223.20.82,23.57.101.163,23.57.107.163,^ 23.57.107.27,23.99.10.11,64.4.23.0-64.4.23.255,64.4.54.22,64.4.54.32,^ 64.4.6.100,65.39.117.230,65.52.100.11,65.52.100.7,65.52.100.9,65.52.100.91,^ 65.52.100.92,65.52.100.93,65.52.100.94,65.52.108.29,65.52.108.33,65.55.108.23,^ 65.55.138.186,65.55.223.0-65.55.223.255,157.56.106.184,131.253.40.59,^ 65.55.252.63,65.55.252.71,65.55.252.92,65.55.252.93,65.55.29.238,65.55.39.10,^ 77.67.29.176,204.79.197.203,111.221.29.254,128.63.2.53,131.253.14.153,^ 134.170.188.248,134.170.52.151,157.56.149.250,207.46.114.61,64.4.54.153,^ 157.56.57.5,157.56.74.250,168.61.24.141,168.62.187.13,191.232.140.76,^ 64.4.54.253,64.4.54.254,65.52.108.153,65.52.108.154,65.55.44.108,65.52.161.64,^ 65.55.130.50,65.55.138.110,65.55.176.90,65.55.252.43,65.55.44.109,^ 65.55.83.120,66.119.147.131,194.44.4.200,194.44.4.208,8.254.209.254,^ 157.56.77.139,134.170.58.121,207.46.194.14,207.46.194.33,13.107.3.128,^ 134.170.53.30,134.170.51.190,131.107.113.238,157.56.96.58,23.67.60.73,^ 104.82.22.249,207.46.194.25,173.194.113.220,173.194.113.219,216.58.209.166,^ 157.56.91.82,157.56.23.91,104.82.14.146,207.123.56.252,185.13.160.61,^ 94.245.121.253,65.52.108.92,207.46.7.252,23.74.8.99,23.74.8.80,65.52.108.103,^ 23.9.123.27,23.74.9.198,23.74.9.217,23.96.212.225,23.101.115.193,^ 23.101.156.198,23.101.187.68,23.102.17.214,23.193.225.197,23.193.230.88,^ 23.193.236.70,23.193.238.90,23.193.251.132,23.210.5.16,23.210.48.42,^ 23.210.63.75,23.217.138.11,23.217.138.18,23.217.138.25,23.217.138.43,^ 23.217.138.90,23.217.138.97,23.217.138.122,40.117.145.132,65.52.108.94,^ 65.52.108.252,65.52.236.160,65.55.113.13,65.55.252.190,65.52.108.27,^ 94.245.121.254,104.73.92.149,104.73.138.217,104.73.143.160,104.73.153.9,^ 104.73.160.16,104.73.160.51,104.73.160.58,104.91.166.82,104.91.188.21,^ 104.208.28.54,134.170.51.246,134.170.179.87,137.116.74.190,157.56.77.138,^ 157.56.96.123,157.56.144.215,157.56.144.216,198.41.214.183,198.41.214.184,^ 198.41.214.186,198.41.214.187,198.41.215.182,198.41.215.185,198.41.215.186 for %%i in (%spy_ips%) do ( netsh advfirewall firewall show rule %%i_BLOCK > nul if errorlevel 1 ( echo | set /p=%%i_BLOCK route -p ADD %%i MASK 255.255.255.255 0.0.0.0 > nul 2>&1 netsh advfirewall firewall add rule name=«%%i_BLOCK« dir=out interface=any action=block remoteip=%%i > nul set frw_rule_added=1 echo [OK] ) ) set svchost=%SystemRoot%System32svchost.exe set svchost_rules=^ «VeriSign Global Registry Services;199.7.48.0-199.7.63.255,199.16.80.0-199.16.95.255«^ «Microsoft Limited;94.245.64.0-94.245.127.255«^ «Microsoft Internet Data Center;213.199.160.0-213.199.191.255«^ «Akamai Technologies;92.122.212.0-92.122.219.255,92.123.96.0-92.123.111.255,95.100.0.0-95.100.15.255,23.32.0.0-23.67.255.255« for %%i in (%svchost_rules%) do ( for /f «tokens=1,2 delims=;« %%a in (%%i) do ( netsh advfirewall firewall show rule «%%a SVCHOST_BLOCK« > nul if errorlevel 1 ( echo | set /p=%%a SVCHOST_BLOCK netsh advfirewall firewall add rule name=«%%a SVCHOST_BLOCK« dir=out interface=any action=block program=%svchost% remoteip=%%b > nul set frw_rule_added=1 echo [OK] ) ) ) set spy_apps=^ «Program FilesCommon Filesmicrosoft sharedOFFICE16OLicenseHeartbeat.exe«^ «Program FilesMicrosoft OfficeOffice16EXCEL.EXE«^ «Program FilesMicrosoft OfficeOffice16MSACCESS.EXE«^ «Program FilesMicrosoft OfficeOffice16msoia.exe«^ «Program FilesMicrosoft OfficeOffice16MSOSYNC.EXE«^ «Program FilesMicrosoft OfficeOffice16MSOUC.EXE«^ «Program FilesMicrosoft OfficeOffice16MSPUB.EXE«^ «Program FilesMicrosoft OfficeOffice16POWERPNT.EXE«^ «Program FilesMicrosoft OfficeOffice16SETLANG.EXE«^ «Program FilesMicrosoft OfficeOffice16WINWORD.EXE«^ «Program FilesMicrosoft OfficerootOffice16EXCEL.EXE«^ «Program FilesMicrosoft OfficerootOffice16MSACCESS.EXE«^ «Program FilesMicrosoft OfficerootOffice16msoia.exe«^ «Program FilesMicrosoft OfficerootOffice16MSOSYNC.EXE«^ «Program FilesMicrosoft OfficerootOffice16MSOUC.EXE«^ «Program FilesMicrosoft OfficerootOffice16MSPUB.EXE«^ «Program FilesMicrosoft OfficerootOffice16POWERPNT.EXE«^ «Program FilesMicrosoft OfficerootOffice16SETLANG.EXE«^ «Program FilesMicrosoft OfficerootOffice16WINWORD.EXE«^ «Program Files (x86)Common FilesMicrosoft SharedOFFICE16OLicenseHeartbeat.exe«^ «Program Files (x86)Microsoft OfficeOffice16EXCEL.EXE«^ «Program Files (x86)Microsoft OfficeOffice16MSACCESS.EXE«^ «Program Files (x86)Microsoft OfficeOffice16msoia.exe«^ «Program Files (x86)Microsoft OfficeOffice16MSOSYNC.EXE«^ «Program Files (x86)Microsoft OfficeOffice16MSOUC.EXE«^ «Program Files (x86)Microsoft OfficeOffice16MSPUB.EXE«^ «Program Files (x86)Microsoft OfficeOffice16POWERPNT.EXE«^ «Program Files (x86)Microsoft OfficeOffice16SETLANG.EXE«^ «Program Files (x86)Microsoft OfficeOffice16WINWORD.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16EXCEL.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16MSACCESS.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16msoia.exe«^ «Program Files (x86)Microsoft OfficerootOffice16MSOSYNC.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16MSOUC.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16MSPUB.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16POWERPNT.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16SETLANG.EXE«^ «Program Files (x86)Microsoft OfficerootOffice16WINWORD.EXE«^ «Windowsexplorer.exe«^ «WindowsImmersiveControlPanelSystemSettings.exe«^ «WindowsSystem32backgroundTaskHost.exe«^ «WindowsSystem32BackgroundTransferHost.exe«^ «WindowsSystem32browser_broker.exe«^ «WindowsSystem32CompatTelRunner.exe«^ «WindowsSystem32dmclient.exe«^ «WindowsSystem32InstallAgentUserBroker.exe«^ «WindowsSystem32lsass.exe«^ «WindowsSystem32msfeedssync.exe«^ «WindowsSystem32rundll32.exe«^ «WindowsSystem32SettingSyncHost.exe«^ «WindowsSystem32SIHClient.exe«^ «WindowsSystem32smartscreen.exe«^ «WindowsSystem32taskhostw.exe«^ «WindowsSystem32wbemWmiPrvSE.exe«^ «WindowsSystem32WerFault.exe«^ «WindowsSystem32wermgr.exe«^ «WindowsSystem32wsqmcons.exe«^ «WindowsSystem32WWAHost.exe«^ «WindowsSystemAppsContactSupport_cw5n1h2txyewyContactSupport.exe«^ «WindowsSystemAppsMicrosoft.MicrosoftEdge_8wekyb3d8bbweMicrosoftEdge.exe«^ «WindowsSystemAppsMicrosoft.Windows.Cortana_cw5n1h2txyewySearchUI.exe«^ «WindowsSysWOW64backgroundTaskHost.exe«^ «WindowsSysWOW64BackgroundTransferHost.exe«^ «WindowsSysWOW64InstallAgentUserBroker.exe«^ «WindowsSysWOW64msfeedssync.exe«^ «WindowsSysWOW64rundll32.exe«^ «WindowsSysWOW64SettingSyncHost.exe«^ «WindowsSysWOW64wbemWmiPrvSE.exe«^ «WindowsSysWOW64WerFault.exe«^ «WindowsSysWOW64wermgr.exe«^ «WindowsSysWOW64WWAHost.exe« for %%i in (%spy_apps%) do ( set item=%%i set file_path=«%SystemDrive%!item:~1! if exist !file_path! ( echo !file_path! | find «SysWOW64« > nul if errorlevel 1 ( set rule_name=%%~nxi_BLOCK ) else ( set rule_name=%%~nxi-SysWOW64_BLOCK ) netsh advfirewall firewall show rule !rule_name! > nul if errorlevel 1 ( echo | set /p=!rule_name! netsh advfirewall firewall add rule name=!rule_name! dir=out interface=any action=block program=!file_path! > nul set frw_rule_added=1 echo [OK] ) ) ) set spy_svc=WSearch netsh advfirewall firewall show rule %spy_svc%_BLOCK > nul if errorlevel 1 ( echo | set /p=%spy_svc%_BLOCK netsh advfirewall firewall add rule name=«%spy_svc%_BLOCK« dir=out interface=any action=block service=%spy_svc% > nul set frw_rule_added=1 echo [OK] ) if not defined frw_rule_added ( echo Antispy rules already present. ) echo. echo Blocking spyware domains… set spy_domains=^ nullroute,^ statsfe2.update.microsoft.com.akadns.net,fe2.update.microsoft.com.akadns.net,^ survey.watson.microsoft.com,watson.microsoft.com,^ watson.ppe.telemetry.microsoft.com,vortex.data.microsoft.com,^ vortex-win.data.microsoft.com,telecommand.telemetry.microsoft.com,^ telecommand.telemetry.microsoft.com.nsatc.net,oca.telemetry.microsoft.com,^ sqm.telemetry.microsoft.com,sqm.telemetry.microsoft.com.nsatc.net,^ watson.telemetry.microsoft.com,watson.telemetry.microsoft.com.nsatc.net,^ redir.metaservices.microsoft.com,choice.microsoft.com,^ choice.microsoft.com.nsatc.net,wes.df.telemetry.microsoft.com,^ services.wes.df.telemetry.microsoft.com,sqm.df.telemetry.microsoft.com,^ telemetry.microsoft.com,telemetry.appex.bing.net,telemetry.urs.microsoft.com,^ settings-sandbox.data.microsoft.com,watson.live.com,statsfe2.ws.microsoft.com,^ corpext.msitadfs.glbdns2.microsoft.com,www.windowssearch.com,ssw.live.com,^ sls.update.microsoft.com.akadns.net,i1.services.social.microsoft.com,^ diagnostics.support.microsoft.com,corp.sts.microsoft.com,^ statsfe1.ws.microsoft.com,feedback.windows.com,feedback.microsoft-hohm.com,^ feedback.search.microsoft.com,rad.msn.com,preview.msn.com,^ df.telemetry.microsoft.com,reports.wes.df.telemetry.microsoft.com,^ vortex-sandbox.data.microsoft.com,settings.data.microsoft.com,^ oca.telemetry.microsoft.com.nsatc.net,pre.footprintpredict.com,^ spynet2.microsoft.com,spynetalt.microsoft.com,win10.ipv6.microsoft.com,^ fe3.delivery.dsp.mp.microsoft.com.nsatc.net,cache.datamart.windows.com,^ db3wns2011111.wns.windows.com,settings-win.data.microsoft.com,^ v10.vortex-win.data.microsoft.com,apps.skype.com,^ g.msn.com,bat.r.msn.com,client-s.gateway.messenger.live.com,^ arc.msn.com,rpt.msn.com,bn1303.settings.live.net,client.wns.windows.com,^ ieonlinews.microsoft.com,inprod.support.services.microsoft.com,^ geover-prod.do.dsp.mp.microsoft.com,geo-prod.do.dsp.mp.microsoft.com,^ kv201-prod.do.dsp.mp.microsoft.com,cp201-prod.do.dsp.mp.microsoft.com,^ disc201-prod.do.dsp.mp.microsoft.com,array201-prod.do.dsp.mp.microsoft.com,^ array202-prod.do.dsp.mp.microsoft.com,array203-prod.do.dsp.mp.microsoft.com,^ array204-prod.do.dsp.mp.microsoft.com,tsfe.trafficshaping.dsp.mp.microsoft.com,^ dl.delivery.mp.microsoft.com,tlu.dl.delivery.mp.microsoft.com,^ statsfe1-df.ws.microsoft.com,statsfe2-df.ws.microsoft.com,^ public-family.api.account.microsoft.com,dub407-m.hotmail.com,^ www.bing.com,c.bing.com,g.bing.com,appex.bing.com,^ urs.microsoft.com,c.urs.microsoft.com,t.urs.microsoft.com,activity.windows.com,^ uif.microsoft.com,iecvlist.microsoft.com,ieonline.microsoft.com,c.microsoft.com,^ nexus.officeapps.live.com,nexusrules.officeapps.live.com,c1.microsoft.com,^ c.s-microsoft.com,apprep.smartscreen.microsoft.com,otf.msn.com,c.msn.com,^ rr.office.microsoft.com,web.vortex.data.microsoft.com,ocsa.office.microsoft.com,^ ocos-office365-s2s.msedge.net,odc.officeapps.live.com,uci.officeapps.live.com,^ roaming.officeapps.live.com,urs.smartscreen.microsoft.com set hosts=%SystemRoot%System32driversetchosts for %%i in (%spy_domains%) do ( find /c « %%i« %hosts% > nul if errorlevel 1 ( echo %%i echo 0.0.0.0 %%i>>%hosts% set hosts_added=1 ) ) if not defined hosts_added ( echo Spyware domains already blocked. ) else ( echo. echo | set /p=Flushing DNS cache ipconfig /flushdns > nul echo [OK] ) echo. echo Adding registry tweaks… echo | set /p=Disable telemetry reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesDataCollection« /v «AllowTelemetry« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsDataCollection« /v «AllowTelemetry« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMControlSet001ServicesDiagTrack« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMControlSet001Servicesdmwappushsvc« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesdmwappushservice« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesdiagnosticshub.standardcollector.service« /v «Start« /t REG_DWORD /d 4 /f > nul echo [OK] echo | set /p=Disable Windows Customer Experience Improvement Program reg add «HKLMSOFTWAREPoliciesMicrosoftSQMClientWindows« /v «CEIPEnable« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftSQMClient« /v «CorporateSQMURL« /t REG_SZ /d «0.0.0.0« /f > nul echo [OK] echo | set /p=Disable Application Telemetry reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppCompat« /v «AITEnable« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable Inventory Collector reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppCompat« /v «DisableInventory« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Steps Recorder reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppCompat« /v «DisableUAR« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Advertising ID reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionAdvertisingInfo« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionAdvertisingInfo« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAdvertisingInfo« /v «DisabledByGroupPolicy« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable keylogger reg add «HKCUSOFTWAREMicrosoftInputPersonalization« /v «RestrictImplicitInkCollection« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftInputPersonalization« /v «RestrictImplicitTextCollection« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftInputPersonalizationTrainedDataStore« /v «HarvestContacts« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsTabletPC« /v «PreventHandwritingDataSharing« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsHandwritingErrorReports« /v «PreventHandwritingErrorReports« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable browser access to local language reg add «HKCUControl PanelInternationalUser Profile« /v «HttpAcceptLanguageOptOut« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable SmartScreen reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer« /v «SmartScreenEnabled« /t REG_SZ /d «Off« /f > nul reg add «HKLMSOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionExplorer« /v «SmartScreenEnabled« /t REG_SZ /d «Off« /f > nul reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionAppHost« /v «EnableWebContentEvaluation« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionAppHost« /v «EnableWebContentEvaluation« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSystem« /v «EnableSmartScreen« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable Cortana and web search reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «AllowCortana« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «AllowSearchToUseLocation« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «ConnectedSearchPrivacy« /t REG_DWORD /d 3 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «ConnectedSearchUseWeb« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «ConnectedSearchUseWebOverMeteredConnections« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Search« /v «DisableWebSearch« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREMicrosoftPolicyManagerdefaultExperienceAllowCortana« /v «value« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «CortanaEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «BingSearchEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «CortanaEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «CanCortanaBeEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftPersonalizationSettings« /v «AcceptedPrivacyPolicy« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «DeviceHistoryEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSearch« /v «HistoryViewEnabled« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable Wi-Fi Sense reg add «HKLMSOFTWAREMicrosoftPolicyManagerdefaultWiFiAllowWiFiHotSpotReporting« /v «value« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREMicrosoftPolicyManagerdefaultWiFiAllowAutoConnectToWiFiSenseHotspots« /v «value« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREMicrosoftWcmSvcwifinetworkmanagerconfig« /v «AutoConnectAllowedOEM« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable biometrics reg add «HKLMSOFTWAREPoliciesMicrosoftBiometrics« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesWbioSrvc« /v «Start« /t REG_DWORD /d 4 /f > nul echo [OK] echo | set /p=Disable location access and sensors reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsLocationAndSensors« /v «DisableLocation« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsLocationAndSensors« /v «DisableLocationScripting« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsLocationAndSensors« /v «DisableSensors« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsLocationAndSensors« /v «DisableWindowsLocationProvider« /t REG_DWORD /d 1 /f > nul reg add «HKLMSYSTEMCurrentControlSetServiceslfsvc« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMCurrentControlSetServiceslfsvcServiceConfiguration« /v «Status« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindows NTCurrentVersionSensorPermissions{BFA794E4-F964-4FDB-90F6-51056BFE4B44}« /v «SensorPermissionState« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREMicrosoftWindows NTCurrentVersionSensorOverrides{BFA794E4-F964-4FDB-90F6-51056BFE4B44}« /v «SensorPermissionState« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable sync reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSync« /v «SyncPolicy« /t REG_DWORD /d 5 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsAccessibility« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsAppSync« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsBrowserSettings« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsCredentials« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsDesktopTheme« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsLanguage« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsPackageState« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsPersonalization« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsStartLayout« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionSettingSyncGroupsWindows« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableAppSyncSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableAppSyncSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableApplicationSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableApplicationSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableCredentialsSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableCredentialsSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableDesktopThemeSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableDesktopThemeSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisablePersonalizationSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisablePersonalizationSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableStartLayoutSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableStartLayoutSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableSyncOnPaidNetwork« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableWebBrowserSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableWebBrowserSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableWindowsSettingSync« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsSettingSync« /v «DisableWindowsSettingSyncUserOverride« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable device access for Universal Apps reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{21157C1F-2651-4CC1-90CA-1F28B02263F6}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{2EEF81BE-33FA-4800-9670-1CD474972C3F}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{7D7E8402-7C54-4821-A34E-AEEFD62DED93}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{8BC668CF-7728-45BD-93F8-CF2B3B41D7AB}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{9231CB4C-BF57-4AF3-8C55-FDA7BFCC04C5}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{992AFA70-6F47-4148-B3E9-3003349C1548}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{9D9E0118-1807-4F2E-96E4-2CE57142E196}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{A8804298-2D5F-42E3-9531-9C8C39EB29CE}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{B19F89AF-E3EB-444B-8DEA-202575A71599}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{BFA794E4-F964-4FDB-90F6-51056BFE4B44}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{C1D23ACC-752B-43E5-8448-8D0E519CD6D6}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{D89823BA-7180-4B81-B50C-7E471E6121A3}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{E5323777-F976-4f5b-9B55-B94699C46E44}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{E6AD100E-5F4E-44CD-BE0F-2265D88D14F5}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobal{E83AF229-8640-4D18-A213-E22675EBB2C3}« /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessGlobalLooselyCoupled« /v «Value« /t REG_SZ /d «Deny« /f > nul if not defined LTSB ( set edge_path=HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessS-1-15-2-3624051433-2125758914-1423191267-1740899205-1073925389-3782572162-737981194 reg add !edge_path!{2EEF81BE-33FA-4800-9670-1CD474972C3F} /v «Value« /t REG_SZ /d «Deny« /f > nul reg add !edge_path!{E5323777-F976-4f5b-9B55-B94699C46E44} /v «Value« /t REG_SZ /d «Deny« /f > nul ) set shell_exp_path=HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeviceAccessS-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708 reg add %shell_exp_path%{7D7E8402-7C54-4821-A34E-AEEFD62DED93} /v «Value« /t REG_SZ /d «Deny« /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessAccountInfo« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessCalendar« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessCallHistory« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessCamera« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessContacts« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessEmail« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessLocation« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessMessaging« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessMicrophone« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessMotion« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessNotifications« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessPhone« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessRadios« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsAccessTrustedDevices« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppPrivacy« /v «LetAppsSyncWithDevices« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionSmartGlass« /v «UserAuthPolicy« /t REG_DWORD /d 0 /f > nul echo [OK] if not defined LTSB ( echo | set /p=Disable background access for Universal Apps reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsMicrosoft.PPIProjection_cw5n1h2txyewy« /v «Disabled« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsMicrosoft.PPIProjection_cw5n1h2txyewy« /v «DisabledByUser« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsWindows.ContactSupport_cw5n1h2txyewy« /v «Disabled« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsWindows.ContactSupport_cw5n1h2txyewy« /v «DisabledByUser« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsMicrosoft.MicrosoftEdge_8wekyb3d8bbwe« /v «Disabled« /t REG_DWORD /d 1 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionBackgroundAccessApplicationsMicrosoft.MicrosoftEdge_8wekyb3d8bbwe« /v «DisabledByUser« /t REG_DWORD /d 1 /f > nul echo [OK] ) echo | set /p=Disable protected trash services reg add «HKLMSYSTEMCurrentControlSetServicesPimIndexMaintenanceSvc« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesUnistoreSvc« /v «Start« /t REG_DWORD /d 4 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesUserDataSvc« /v «Start« /t REG_DWORD /d 4 /f > nul echo [OK] echo | set /p=Disable Windows Defender reg add «HKLMSOFTWAREPoliciesMicrosoftWindows Defender« /v «DisableAntiSpyware« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindows DefenderReal-Time Protection« /v «DisableBehaviorMonitoring« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindows DefenderReal-Time Protection« /v «DisableOnAccessProtection« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindows DefenderReal-Time Protection« /v «DisableScanOnRealtimeEnable« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindows DefenderSpynet« /v «SpyNetReporting« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindows DefenderSpynet« /v «SubmitSamplesConsent« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftMRT« /v «DontOfferThroughWUAU« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftMRT« /v «DontReportInfectionInformation« /t REG_DWORD /d 1 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesWinDefend« /v «Start« /t REG_DWORD /d 4 /f > nul 2>&1 reg add «HKLMSYSTEMCurrentControlSetServicesWdNisSvc« /v «Start« /t REG_DWORD /d 4 /f > nul 2>&1 reg add «HKLMSYSTEMCurrentControlSetServicesWdNisDrv« /v «Start« /t REG_DWORD /d 4 /f > nul 2>&1 reg add «HKLMSYSTEMCurrentControlSetServicesWdBoot« /v «Start« /t REG_DWORD /d 4 /f > nul 2>&1 reg add «HKLMSYSTEMCurrentControlSetServicesWdFilter« /v «Start« /t REG_DWORD /d 4 /f > nul 2>&1 regsvr32 /s /u «%ProgramFiles%Windows Defendershellext.dll« taskkill /f /im MSASCuiL.exe > nul 2>&1 reg delete «HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun« /v «WindowsDefender« /f > nul 2>&1 echo [OK] if not defined LTSB ( echo | set /p=Disable Windows Store reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsStore« /v «AutoDownload« /t REG_DWORD /d 2 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsStore« /v «DisableStoreApps« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsStore« /v «RemoveWindowsStore« /t REG_DWORD /d 1 /f > nul echo [OK] ) echo | set /p=Disable Delivery Optimization reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionDeliveryOptimization« /v «SystemSettingsDownloadMode« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionDeliveryOptimizationConfig« /v «DODownloadMode« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsDeliveryOptimization« /v «DODownloadMode« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsDeliveryOptimization« /v «SystemSettingsDownloadMode« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesDoSvc« /v «Start« /t REG_DWORD /d 4 /f > nul echo [OK] echo | set /p=Disable Program Compatibility Assistant reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsAppCompat« /v «DisablePCA« /t REG_DWORD /d 1 /f > nul reg add «HKLMSYSTEMCurrentControlSetServicesPcaSvc« /v «Start« /t REG_DWORD /d 4 /f > nul echo [OK] echo | set /p=Disable Windows Error Reporting reg add «HKLMSOFTWAREMicrosoftWindowsWindows Error Reporting« /v «Disabled« /t REG_DWORD /d 1 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsWindows Error Reporting« /v «Disabled« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Windows Tips reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsCloudContent« /v «DisableSoftLanding« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Windows Consumer Features (App Suggestions on Start) reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionContentDeliveryManager« /v «SystemPaneSuggestionsEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsCloudContent« /v «DisableWindowsConsumerFeatures« /t REG_DWORD /d 1 /f > nul echo [OK] if not defined LTSB ( echo | set /p=Disable ads on lock screen reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionContentDeliveryManager« /v «RotatingLockScreenOverlayEnabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «LockImageFlags« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «CreativeId« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «PortraitAssetPath« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «LandscapeAssetPath« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «DescriptionText« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «ActionText« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «ActionUri« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «PlacementId« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «ClickthroughToken« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «ImpressionToken« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «HotspotImageFolderPath« /t REG_SZ /d «« /f > nul reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionLock ScreenCreative« /v «CreativeJson« /t REG_SZ /d «« /f > nul echo [OK] ) echo | set /p=Disable File History reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsFileHistory« /v «Disabled« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Active Help reg add «HKLMSOFTWAREPoliciesMicrosoftAssistanceClient1.0« /v «NoActiveHelp« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable loggers reg add «HKLMSYSTEMControlSet001ControlWMIAutoLoggerAutoLogger-Diagtrack-Listener« /v «Start« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMCurrentControlSetControlWMIAutoLoggerAutoLogger-Diagtrack-Listener« /v «Start« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMCurrentControlSetControlWMIAutoLoggerSQMLogger« /v «Start« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable Windows Feedback reg add «HKCUSOFTWAREMicrosoftSiufRules« /v «NumberOfSIUFInPeriod« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftSiufRules« /v «PeriodInNanoSeconds« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsDataCollection« /v «DoNotShowFeedbackNotifications« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Microsoft Help feedback reg add «HKCUSOFTWAREPoliciesMicrosoftAssistanceClient1.0« /v «NoExplicitFeedback« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable feedback on write reg add «HKLMSOFTWAREMicrosoftInputTIPC« /v «Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREMicrosoftInputTIPC« /v «Enabled« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable lock screen camera reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsPersonalization« /v «NoLockScreenCamera« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable password reveal button reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsCredUI« /v «DisablePasswordReveal« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Windows Insider Program reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsPreviewBuilds« /v «AllowBuildPreview« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsPreviewBuilds« /v «EnableConfigFlighting« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable DRM features reg add «HKLMSOFTWAREPoliciesMicrosoftWMDRM« /v «DisableOnline« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Office 2016 telemetry reg add «HKCUSOFTWAREPoliciesMicrosoftOffice16.0osm« /v «Enablelogging« /t REG_DWORD /d 0 /f > nul reg add «HKCUSOFTWAREPoliciesMicrosoftOffice16.0osm« /v «EnableUpload« /t REG_DWORD /d 0 /f > nul echo [OK] if not defined LTSB ( echo | set /p=Disable Adobe Flash Player in Microsoft Edge reg add «HKCUSOFTWAREClassesLocal SettingsSoftwareMicrosoftWindowsCurrentVersionAppContainerStoragemicrosoft.microsoftedge_8wekyb3d8bbweMicrosoftEdgeAddons« /v «FlashPlayerEnabled« /t REG_DWORD /d 0 /f > nul echo [OK] ) echo | set /p=Disable Game DVR reg add «HKCUSystemGameConfigStore« /v «GameDVR_Enabled« /t REG_DWORD /d 0 /f > nul reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsGameDVR« /v «AllowGameDVR« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable Live Tiles reg add «HKCUSOFTWAREPoliciesMicrosoftWindowsCurrentVersionPushNotifications« /v «NoTileApplicationNotification« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable AutoPlay and AutoRun reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorer« /v «NoDriveTypeAutoRun« /t REG_DWORD /d 255 /f > nul reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorer« /v «NoAutorun« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Disable Remote Assistance reg add «HKLMSYSTEMCurrentControlSetControlRemote Assistance« /v «fAllowToGetHelp« /t REG_DWORD /d 0 /f > nul reg add «HKLMSYSTEMCurrentControlSetControlRemote Assistance« /v «fAllowFullControl« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Disable administrative shares reg add «HKLMSYSTEMCurrentControlSetServicesLanmanServerParameters« /v «AutoShareWks« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Do not send Windows Media Player statistics reg add «HKCUSOFTWAREMicrosoftMediaPlayerPreferences« /v «UsageTracking« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Remove 3D Builder from context menu reg delete «HKEY_CLASSES_ROOTSystemFileAssociations.bmpShellT3D Print« /f > nul 2>&1 reg delete «HKEY_CLASSES_ROOTSystemFileAssociations.jpgShellT3D Print« /f > nul 2>&1 reg delete «HKEY_CLASSES_ROOTSystemFileAssociations.pngShellT3D Print« /f > nul 2>&1 echo [OK] echo | set /p=Set default PhotoViewer reg add «HKCUSOFTWAREClasses.ico« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.tiff« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.bmp« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.png« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.gif« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.jpeg« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul reg add «HKCUSOFTWAREClasses.jpg« /ve /t REG_SZ /d «PhotoViewer.FileAssoc.Tiff« /f > nul echo [OK] echo | set /p=Turn off «You have new apps that can open this type of file« alert reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsExplorer« /v «NoNewAppAlert« /t REG_DWORD /d 1 /f > nul echo [OK] if not defined LTSB ( echo | set /p=Turn off «Look For An App In The Store« option reg add «HKLMSOFTWAREPoliciesMicrosoftWindowsExplorer« /v «NoUseStoreOpenWith« /t REG_DWORD /d 1 /f > nul echo [OK] ) echo | set /p=Open File Explorer to This PC instead of Quick Access reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced« /v «LaunchTo« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Do not show recently used files in Quick Access reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorer« /v «ShowRecent« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Do not show frequently used folders in Quick Access reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorer« /v «ShowFrequent« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Show hidden files, folders and drives in File Explorer reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced« /v «Hidden« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Show file extensions in File Explorer reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced« /v «HideFileExt« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Launch folder windows in a separate process reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced« /v «SeparateProcess« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Auto-end non responsive tasks reg add «HKCUControl PanelDesktop« /v «AutoEndTasks« /t REG_SZ /d «1« /f > nul echo [OK] echo | set /p=Maximize wallpaper quality reg add «HKCUControl PanelDesktop« /v «JPEGImportQuality« /t REG_DWORD /d 100 /f > nul echo [OK] echo | set /p=Set icon cache size to 4096 KB reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer« /v «Max Cached Icons« /t REG_SZ /d «4096« /f > nul echo [OK] echo | set /p=Add Recycle Bin to Navigation Pane reg add «HKCUSOFTWAREClassesCLSID{645FF040-5081-101B-9F08-00AA002F954E}« /v «System.IsPinnedToNameSpaceTree« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Restore Classic Context Menu in Explorer reg add «HKLMSOFTWAREMicrosoftWindowsCurrentVersionFlightedFeatures« /v «ImmersiveContextMenu« /t REG_DWORD /d 0 /f > nul echo [OK] echo | set /p=Set «Do this for all current items« checkbox by default in the file operation conflict dialog reg add «HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerOperationStatusManager« /v «ConfirmationCheckBoxDoForAll« /t REG_DWORD /d 1 /f > nul echo [OK] echo | set /p=Enable NTFS long paths reg add «HKLMSYSTEMCurrentControlSetPolicies« /v «LongPathsEnabled« /t REG_DWORD /d 1 /f > nul echo [OK] echo. echo | set /p=Restarting Explorer… taskkill /f /im explorer.exe >nul & explorer.exe schtasks /delete /tn «CreateExplorerShellUnelevatedTask« /f > nul echo OK. echo. echo Deleting spyware tasks… set spy_tasks=^ «MicrosoftOfficeOffice 15 Subscription Heartbeat«^ «MicrosoftOfficeOfficeTelemetryAgentFallBack2016«^ «MicrosoftOfficeOfficeTelemetryAgentLogOn2016«^ «MicrosoftWindowsAppIDSmartScreenSpecific«^ «MicrosoftWindowsApplication ExperienceAitAgent«^ «MicrosoftWindowsApplication ExperienceMicrosoft Compatibility Appraiser«^ «MicrosoftWindowsApplication ExperienceProgramDataUpdater«^ «MicrosoftWindowsApplication ExperienceStartupAppTask«^ «MicrosoftWindowsAutochkProxy«^ «MicrosoftWindowsClipLicense Validation«^ «MicrosoftWindowsCloudExperienceHostCreateObjectTask«^ «MicrosoftWindowsCustomer Experience Improvement ProgramBthSQM«^ «MicrosoftWindowsCustomer Experience Improvement ProgramConsolidator«^ «MicrosoftWindowsCustomer Experience Improvement ProgramKernelCeipTask«^ «MicrosoftWindowsCustomer Experience Improvement ProgramUsbCeip«^ «MicrosoftWindowsDevice InformationDevice«^ «MicrosoftWindowsDiskDiagnosticMicrosoft-Windows-DiskDiagnosticDataCollector«^ «MicrosoftWindowsFeedbackSiufDmClient«^ «MicrosoftWindowsFeedbackSiufDmClientOnScenarioDownload«^ «MicrosoftWindowsLicense ManagerTempSignedLicenseExchange«^ «MicrosoftWindowsLocationNotifications«^ «MicrosoftWindowsLocationWindowsActionDialog«^ «MicrosoftWindowsMapsMapsToastTask«^ «MicrosoftWindowsMapsMapsUpdateTask«^ «MicrosoftWindowsMedia CenterActivateWindowsSearch«^ «MicrosoftWindowsMedia CenterConfigureInternetTimeService«^ «MicrosoftWindowsMedia CenterDispatchRecoveryTasks«^ «MicrosoftWindowsMedia CenterehDRMInit«^ «MicrosoftWindowsMedia CenterInstallPlayReady«^ «MicrosoftWindowsMedia Centermcupdate«^ «MicrosoftWindowsMedia CenterMediaCenterRecoveryTask«^ «MicrosoftWindowsMedia CenterObjectStoreRecoveryTask«^ «MicrosoftWindowsMedia CenterOCURActivate«^ «MicrosoftWindowsMedia CenterOCURDiscovery«^ «MicrosoftWindowsMedia CenterPBDADiscovery«^ «MicrosoftWindowsMedia CenterPBDADiscoveryW1«^ «MicrosoftWindowsMedia CenterPBDADiscoveryW2«^ «MicrosoftWindowsMedia CenterPvrRecoveryTask«^ «MicrosoftWindowsMedia CenterPvrScheduleTask«^ «MicrosoftWindowsMedia CenterRegisterSearch«^ «MicrosoftWindowsMedia CenterReindexSearchRoot«^ «MicrosoftWindowsMedia CenterSqlLiteRecoveryTask«^ «MicrosoftWindowsMedia CenterUpdateRecordPath«^ «MicrosoftWindowsMaintenanceWinSAT«^ «MicrosoftWindowsPower Efficiency DiagnosticsAnalyzeSystem«^ «MicrosoftWindowsRetailDemoCleanupOfflineContent«^ «MicrosoftWindowsSettingSyncBackgroundUploadTask«^ «MicrosoftWindowsSettingSyncBackupTask«^ «MicrosoftWindowsSettingSyncNetworkStateChangeTask«^ «MicrosoftWindowsShellFamilySafetyMonitor«^ «MicrosoftWindowsShellFamilySafetyMonitorToastTask«^ «MicrosoftWindowsShellFamilySafetyRefresh«^ «MicrosoftWindowsShellFamilySafetyRefreshTask«^ «MicrosoftWindowsSpeechSpeechModelDownloadTask«^ «MicrosoftWindowsWindows DefenderWindows Defender Cache Maintenance«^ «MicrosoftWindowsWindows DefenderWindows Defender Cleanup«^ «MicrosoftWindowsWindows DefenderWindows Defender Scheduled Scan«^ «MicrosoftWindowsWindows DefenderWindows Defender Verification«^ «MicrosoftWindowsWindows Error ReportingQueueReporting«^ «MicrosoftWindowsWindowsUpdateAutomatic App Update«^ «MicrosoftWindowsWindowsUpdatesih«^ «MicrosoftWindowsWindowsUpdatesihboot«^ «MicrosoftWindowsWSLicense Validation«^ «MicrosoftWindowsWSWSTask«^ «MicrosoftXblGameSaveXblGameSaveTask«^ «MicrosoftXblGameSaveXblGameSaveTaskLogon« set tasks_dir=%SystemRoot%System32Tasks for %%i in (%spy_tasks%) do ( schtasks /query /tn %%i > nul 2>&1 if not errorlevel 1 ( echo | set /p=%%i schtasks /delete /tn %%i /f > nul set item=%%i set dir_path=«%tasks_dir%!item:~1! mkdir !dir_path! icacls !dir_path! /deny «Everyone:(OI)(CI)W« > nul set spy_task_deleted=1 echo [OK] ) ) if not defined spy_task_deleted ( echo Spyware tasks already deleted. ) set update_orchestrator_dir=%tasks_dir%MicrosoftWindowsUpdateOrchestrator if not exist %update_orchestrator_dir%Reboot ( echo. echo | set /p=Prevent Windows 10 reboots after installing updates… schtasks /delete /tn «MicrosoftWindowsUpdateOrchestratorReboot« /f > nul 2>&1 mkdir %update_orchestrator_dir%Reboot icacls %update_orchestrator_dir%Reboot /deny «Everyone:(OI)(CI)W« > nul echo OK. ) echo. echo Finished. pause

Доброго времени суток всем гуру!

В компании последнее время наблюдается такая проблема: юзеры хватают злополучный банер «Trololo» (блочит рабочий стол картинками непристойного содержания).

Собственно бороться с ним достаточно просто, если это разовая акция (убить процесс самой программы, рестарнуть процесс explorer-а, удалить ключ автозапуска из указанной в теме поста ветки и почистить темпы).

Проблема в том, что в компании используется антивирус зарубежного производства, в связи с чем сигнатуры этой «отечественной разработки» попадают с опозданием — троян постоянно модифицируется, но у него всегда единая точка входа — он прописывает ссылку на
исполняемый файл в ветку HKCUsoftwaremicrosoftwindowscurrentversionrun для автозапуска.

Собственно проанализоровав, пришёл к выводу, что пользователю незачем иметь права на запись в оноую. В связи с чем столкнулся со следующей проблеммой: как на этой ветке отобрать права на запись у пользователей? В gpmc назначение какой-либо политики на ветку
HKCU невозможно, т.к. эта ветка создается для каждого пользователя при первом логине живет она на самом деле в
HKU{SID_пользователя} 

Насколько я понял, шаблон для этой ветки со всем разрешениями берётся из локального
Default User’s Profile (по умолчанию C:Documents and SettingsDefault UserNTUSER.DAT) Так ли это? (сначала думал, что
HKU.default и есть дефолотовые настройки для профиля пользователей).

Если так, то вопрос следующий: как сделать так, чтобы пользователю данная ветка создавалась с заранее установленными разрешениями и где их нужно устанавливать: в политике реестра или же в политике профилей пользователей?

P.S. хочу отметить, что Групповая политика User ConfigurationAdministrative TemplatesSystemLogon«Не обрабатывать список автозапуска для старых версий» в данном
случае не подойдёт, т.к. она исключит возможность автозагрузки из данной ветки в принципе. Целью же является ограничить права на запись.

Заранее спасибо!

Идея написания сводного руководства по самостоятельному обнаружению вирусов на станциях под управлением Windows зрела на протяжении достаточно длительного времени и обуславливалась, прежде всего необходимостью составить и время от времени дополнять справочник возможных расположений запуска вирусного кода. Лейтмотивом этой идеи является необходимость непосредственного, то есть самостоятельного (ручного) анализа системы в случаях, когда имеется подозрение, что автоматические методы (утилиты/антивирусы), не в состоянии обнаружить работающий в системе вредоносный код. Обнаружение вируса собственными силами — вот тот уровень, который не будет лишним для любого технического специалиста по операционным системам Windows. Хотелось бы сделать небольшое отступление и пару слов сказать на счет самих антивирусных продуктов. Надо заметить, что эти, самые надежные по мнению большинства, помощники в борьбе с вредоносным кодом, вообще-то не являются панацеей от заражения операционной системы. Повидавшая виды практика помнит случаи, когда грамотно написанный вредоносный код, учитывающий эвристические особенности определенных «региональных» антивирусов, долгое время оставался незамеченным на критически важных корпоративных системах. В этом то и заключается парадокс зараженной системы, в которой установлен авторитетный антивирус с актуальными антивирусными базами. Подобный курьез говорит о том, что если вирус использует хотя бы мало-мальски оригинальный код, методы маскировки, различные виды упаковок, алгоритмы противодействия, то антивирусу бывает сложно обнаружить его, либо он не может деактивировать и удалить уже находящийся и функционирующий в системе вредоносный код, и это не смотря на продвинутые методы контроля системы с перехватом различных системных вызовов и прочие виды глубокой системной интеграции. Подобных доводов можно привести множество, но все они сводятся к одному единственному выводу.

Невозможно обеспечить 100% антивирусную защиту автоматизированными средствами.

И именно в свете сего немаловажного обстоятельства, в критические моменты встает необходимость уметь собственноручно обнаруживать и удалять вредоносный код, и именно поэтому данная статья будет посвящена изложению методов обнаружения без использования каких-либо антивирусных средств, исключением у нас будут, разве что, небольшие сопутствующие утилиты.
«Все течет, все меняется» (© Гераклит), и операционные системы из этого постулата, конечно же, не исключение. На протяжении всей истории развития операционных систем Windows, идет их постоянное видоизменение, одни системные механизмы перестают эксплуатироваться, долгое время присутствуя в системе в виде рудиментов совместимости и в последствии исчезая, другие же появляются. Происходит бесконечное движение, вирусописатели подстраиваются под эволюционирующую среду, переписывая код, использующий устаревающие механизмы, начинают искать и эксплуатировать другие, обретающие актуальность. Учитывая меняющиеся от версии к версии особенности операционных систем и достаточно большое количество потенциальных точек активации вредоносного кода, статья эта никогда не будет завершена полностью и конечно же не будет претендовать на полное руководство по выбранной тематике. Однако, по мере получения новых знаний, будет время от времени мною дорабатываться в бесконечной попытке соответствовать современным реалиям.
Перед тем как мы начнем работать с довольно сложной темой под названием обнаружение вируса, хотелось бы отдельно сказать вот еще о чем.

Во избежание разночтения и неправильного трактования некоторых моих выражений, под понятием вирус в данной статье будет подразумеваться любой вид вредоносного кода.

Дело в том, что с момента зарождения эры компьютерных вирусов, специалистами по безопасности было введено в оборот такое великое многообразие терминов и определений, что классификация в рамках небольшой статьи выглядела бы, откровенно говоря, излишней, учитывая и тот факт, что в свете характера статьи для нас фактически не так уж и важно, как зовется та или иная разновидность вредоносного кода. В разнообразных материалах, посвященных теме компьютерных вирусов, встречаются оригинальные определения, специалисты по безопасности называют программное обеспечение, которое выполняет деструктивные действия различными именами. На заре операционной системы MS-DOS вирусами называли программы, которые реплицировали собственный код в обнаруживаемые исполняемые модули и загрузочный сектор. С появлением линейки операционных систем Windows, вредоносный код обрел истинное многообразие, на свет появилось большое количество всевозможных алгоритмических отклонений, таких как руткиты (rootkit), трояны (troyan), шпионы (spyware), рекламные программы (adware), вымогатели (ransomware), сетевые черви (worms) и прочее, прочее, прочее. И все эти вариации на вирусную тему имеют различное предназначение. Часто термины ассоциируются неправильно, и вещи называются не своими именами, в дополнение, ко всему этому многообразию применяются второстепенные термины, такие как вредоносный код, зловред, вредонос. Поэтому, дабы не вводить читателя в заблуждение, я буду использовать определение «вирус» применительно к любому вредоносному коду, поэтому встречая в тексте термин вирус, подразумеваем любой вид вредоносного кода.
По каким косвенным признакам пользователь может обнаружить вирус в операционной системе? Дело в том, что какого-то единого, вполне определенного и однозначного симптома заражения системы вирусом не существует, однако общими следствиями вирусной активности могут быть:

• Низкая производительность операционной системы;
• Низкая производительность отдельных приложений;
• Часто возникающие ошибки в приложениях;
• Отображение посторонних информационных окон;
• Блокировка рабочего стола пользователя различными информационными окнами;
• Блокировка страницы (вкладки) браузера различными информационными окнами;
• Блокировка доступа к определенным ресурсам в сети Интернет (например, к сайтам антивирусных лабораторий);
• Автоматический запуск разнообразных программ;
• Отказ в изменении некоторых настроек операционной системы (даже под учетной записью локального администратора);
• Загруженная сеть, наличие интенсивного трафика на интерфейсах в моменты бездействия;
• Иная подозрительная (отклоненная от штатной) активность операционной системы;

Внимательно изучив описанные выше первичные признаки, можно сделать однозначный вывод что зачастую довольно сложно отличить вирусную активность от типовых сбоев, вызванных аппаратными и программными проблемами. Обычно в случае подозрения на аномальную активность, пользователь прибегает к помощи антивирусов, но что же делать ему в ситуации, когда работающий антивирус при сканировании не может детектировать в системе никакой вирусной активности, а «глюки» сохраняются и подозрение на вирус остается?! В этом случае можно попробовать переустановить операционную систему, выбор безусловно за вами, но в этом случае вы теряете уникальную возможность саморазвития, не получаете дополнительных знаний по компьютерным вирусам, исключаете возможность обнаружить новые виды вирусной активности. Может все же стоит попробовать «пройтись по системе» самостоятельно с целью обнаружения вируса, изучив возможные местоположения запуска и модификации? Хорошо, для начала требуется усвоить одно простое правильно:

Компьютерный вирус — код, способный (несанкционированно, без ведома пользователя) копировать самого себя в любом доступном виде, модифицируя требуемым образом различные системные области: регионы виртуальной памяти, системный реестр, загрузочный сектор диска/раздела, файловую систему. Может содержать деструктивную нагрузку.

Большинство вирусов рассчитаны на многократное исполнение, поэтому обычно оставляют свою копию в файловой системе в виде отдельного файла (группы файлов), с целью в дальнейшем иметь возможность запускаться многократно в автоматическом режиме. Применительно к операционной системе Windows, вирус представляется обычно в виде отдельного файла с расширением, идентифицирующим исполняемый различными подсистемами операционной системы код, вот некоторые из этих расширений: .exe, .dll, .sys, .ocx, .js, .ps1, .wht, .com, .bat, .vbs и прч. Некоторые вирусы, активизирующиеся в системе, не оставляют свои запускаемые копии, а просто проводят модификации определенных ключей реестра или ключевых конфигурационных файлов с целью решения собственных задач. Следуя этой логике, в целях обнаружения вируса, мы будем искать наличие подозрительных данных в физических секторах диска, файловой системе, реестре и оперативной памяти. Но ведь не придется же нам парсить полностью все эти компоненты в поисках вирусного кода? Хотя идея и неплоха но конечно же нет, мы будем пытаться обнаружить вирус в строго предопределенных местах: в тех расположениях в операционной системе, откуда, по задумке разработчиков, средствами самой системы могут запускаться различные исполняемые модули и где могут находиться важные для системы данные в виде файлов конфигурации различного назначения. Не лишним будет и умение отличать вирусный код от легального, знание о том, какие именно данные являются вполне безобидными, а какие из них подозрительны, то есть с большой вероятностью могут представлять вредоносный код.
Еще одним немаловажным аспектом является наличие сторонней среды, то есть операционной системы, заведомо чистой от различного рода вирусов. Делается это с тем расчетом, что некоторые особо продвинутые вирусы могут маскировать свою активность в системе, перехватывая вызовы различных функций Windows API. Поэтому, с целью получения чистой тестовой среды, мы можем:

• Запуститься в обычном режиме загрузки под учетной записью с правами локального администратора.
• Загрузиться в защищенный режим; Большинство вирусов в защищенном режиме не запускаются.
• Загрузиться с внешнего диска LiveCD, содержащего среду Windows PE (Portable Executable), в состав которой входят средства работы с физическими секторами диска, файловой системой и системным реестром.

Сокращения, используемые далее в данной статье:

В статье я постарался свести максимальное количество известных мне методов загрузки вирусов в операционной системе Windows.

Автозагрузка

Конечно же, первое по популярности расположение в операционной системе это автозагрузка. Автозагрузка — специализированное расположение в операционной системе, описываемое соответствующими ключами реестра а так же определенными каталогами в файловой системе, которое предназначается для автоматической загрузки исполняемых модулей на этапе загрузки операционной системы. Большой процент вирусов пытается прописать себя именно в автозагрузку методом модификации соответствующих ключей и расположений. Поэтому, для того, чтобы обнаружить вирус, достаточно пристально изучить списки программ, загружающихся с помощью данного системного механизма.

Автозагрузка в реестре

Windows 7:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
  Определяет общесистемную ветку реестра, содержащую записи о программам, запускаемых при входе в систему любого пользователя.
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionRun
  Определяет пользовательскую ветку реестра, содержащую записи о программах, запускаемых при входе в систему конкретного пользователя.
• HKLMSOFTWAREWow6432NodeMicrosoftWindowsCurrentVersionRun
  Определяет общесистемную ветку реестра, содержащую записи о 32-битных программах, загружаемых при входе в 64-битную систему любого пользователя.
• HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunOnce
  Определяет общесистемную ветку реестра, содержащие записи о программам, запускаемых при входе в систему разово, то есть единожды. После единственного запуска ключи программ автоматически удаляются операционной системой из данного раздела.
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionRunOnce
  Определяет ветку реестра конкретного пользователя, содержащую записи о программах, запускаемых при входе в систему конкретного пользователя разово, то есть единожды. После единственного запуска ключи программ автоматически удаляются операционной системой из данного раздела.
• HKEY_USERSSID_пользователяSoftwareMicrosoftWindowsCurrentVersionRun
  Содержит копию основной ветви автозагрузки для пользователя системы, определяемого конкретным SID-идентификатором. Например HKEY_USERSS-1-5-21-792320725-696519568-570327587-7793SoftwareMicrosoftWindowsCurrentVersionRun. Если Вы проверяете систему из защищенного режима, либо с LiveCD, то не поленитесь проверить данный раздел для SID пользователя, который, предположительно, подхватил заразу.

Индивидуальные пути Windows 98/98SE/ME:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionRunServices
• HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServicesOnce
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionRunServicesOnce
• HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunOnceEx

Индивидуальные пути Windows XP:

• HKCUSOFTWAREMicrosoftWindows NTCurrentVersionWindowsRun

Автозагрузка групповой политики (в реестре)

В системе присутствуют ключи реестра, которые используются для загрузки программ как части групповой политики компьютера/пользователя. Если политики не заданы, что обычно имеет место быть в случае типовой домашней станции, то подраздел пуст. Записи в нем создаются только по определенным условиям, например при использовании локальной или доменной групповой политики для загрузки программ. Программы из списка автозагрузки с использованием групповой политики не отображаются во вкладке Автозагрузка в утилите msconfig.exe, могу предположить что и другие менеджеры автозагрузки могут не отображать эти записи, по этой то причине с целью обнаружения вируса, стоит заглянуть непосредственно в следующие ключи реестра:

• HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun
• HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun

Автозагрузка в файловой системе

Однако, автозагрузка вовсе не ограничивается ключами реестра. Как мы все прекрасно знаем, в Windows существует еще один (пожалуй основной) способ автоматически загрузить программу при старте операционной системы. В интерфейсе пользователя присутствует раздел Автозагрузка, который аккумулирует списки программ из специализированных расположений в файловой системе: каталогов с именем Startup в профиле конкретного пользователя и профиле пользователя по-умолчанию. Помещая в это расположение ярлык программы либо непосредственно саму программу, можно легко добиться автозагрузки программы на стадии запуска. Меня всегда вот удивляло, почему нельзя универсализировать механизмы реестровой автозагрузки и пользовательской и объединить их? Почему в Windows присутствует именно несколько различных методов загрузки, мало того, что представлены специальные ветви реестра, так еще и предоставили каталоги? Немного поразмыслив, понял, что механизм с реестром позиционируется как «системный», а механизм с автозагрузкой в качестве «пользовательского», чтобы пользователю можно было тривиально, в два клика обеспечить своему приложению автозапуск. Представляете ситуацию объединения этих механизмов.. неподготовленный (рядовой) пользователь получал бы возможность видеть все специализированные утилиты, которые загружаются через реестр и мог бы (не)преднамеренно просто их поудалять. К тому же, не каждая программа способна загрузиться посредством записи в ключах реестра.
Конечно же, и этот механизм не смог обойтись без внимания вирусописателей, и некоторые вирусы используют механизм автозагрузки из каталога для добавления исполняемых модулей при первичном получении управления собственным кодом. Поэтому специалисту не лишним будет проверить следующие местоположения:

Однако описанные местоположения могут быть изменены через ключи реестра.
Для всех пользователей системы:

• ключ HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerUser Shell Folders,
  параметр Common Startup = %ProgramData%MicrosoftWindowsStart MenuProgramsStartup

Для текущего пользователя системы:

• ключ HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders,
  параметр Startup = %USERPROFILE%AppDataRoamingMicrosoftWindowsStart MenuProgramsStartup

Поэтому стоит иногда заглядывать в упомянутые ключи с целью проверки корректных значений установленных путей как составляющей общей стратегии по обнаружению вируса.

Загрузка на ранних стадиях

По задумке разработчиков некоторые сервисные утилиты, к примеру дефрагментаторы, программы проверки дисков, антивирусные сканеры, должны запускаться на раннем этапе процесса загрузки Windows, когда стартовали драйвера этапа загрузки (тип BOOT_START) и этапа системы (тип SYSTEM_START), но еще не инициализирован файл подкачки, переменные среды и не запущены некоторые подсистемы. В данной точке Диспетчер сеансов (Session Manager, smss.exe) только начинает разбирать переменные окружения пользовательского режима, поэтому никаких других процессов, понятное дело, еще не запущено. Однако, на данном этапе возможен запуск специально написанных образов, поддерживающих нативный (native) режим (использующих функции Native API).
Загрузка через Диспетчер сеансов настраивается в ключе реестра:

• ключ HKLMSystemCurrentControlSetControlSession Manager,
  параметр BootExecute = autocheck autochk *

Если в данном параметре Вы обнаружили дополнительные образы загрузки, присмотритесь к ним внимательнее, а что если это вирус? Только не удаляйте значение по умолчанию (autocheck autochk *), оно указывает на запуск утилиты проверки диска autochk с модификатором autocheck, которая проверяет значение грязного бита (dirty bit), сообщающего о необходимости проверки раздела диска на наличие ошибок.

Hosts

Файл hosts — это системный конфигурационный (текстовый) файл, содержащий локальную базу доменных имен, используемую системой в процессе сопоставления имени хоста с IP-адресом и предназначающуюся для обеспечения возможности пользовательской настройки адресов отдельных узлов сети. Его еще можно назвать своеобразным локальным DNS-сервером. Предположим, у пользователя или какой-нибудь программы появится необходимость привязать имя домена example.com к IP-адресу 1.2.3.4, то он сможет это сделать именно благодаря внесению изменений в файл hosts. Запрос к записям из файла hosts имеет приоритет перед обращением к прописанным в системе DNS-серверам, что является немаловажным фактором. Надо ли объяснять, что для вирусов это достаточно интересная точка перенаправления трафика и модификация файла вирусом может привести к подмене адреса определенного доверенного узла. Существует категория вирусов, которая модифицирует файл hosts для маршрутизации запросов на фишинговые (поддельные) сайты, в точности эмитирующие страницы оригинальных сайтов [социальных сетей] с целью кражи паролей учетных записей, показа рекламных страниц, либо просто с целью блокировки доступа к определенным ресурсам. Поэтому, обнаружение в файле hosts сторонних записей может свидетельствовать о наличии в системе вредоносного кода, либо о разовой модификации записей вредоносным кодом, что может указывать на существование в системе серьезной уязвимости безопасности. Файл hosts по-умолчанию размещается в папке %SystemRoot%System32Driversetc и оригинальное его содержимое выглядит следующим образом:

Видите, все закомментировано (лидирующий символ # в начале строки). В Windows 7 в файле hosts нет и одной реальной записи, только лишь примеры использования. В предыдущих версиях Windows правильный файл может содержать записи об интерфейсе локальной петли (localhost), но не более.
А вот как выглядит модифицированный вирусом тот же файл hosts:

Можно увидеть, что доменные имена крупных российских социальных сетей перенаправлены на некий неизвестный хост 1.2.3.4. Поэтому, если Вы обнаружили в файле hosts подозрительные записи, которых Вы уж точно не добавляли, то можете их смело удалять. Однако, в случае, если они через некоторое время появляются вновь, можно с уверенностью говорить о наличии в системе активного вируса, одним из функциональных особенностей которого является периодическое обновление данных файла. Поскольку это не место загрузки вируса, а место модификации, то надо сперва обнаружить в системе сам активный код вируса и устранить причину, а затем уже следствие.
Ко всему прочему, само местоположение файла hosts в рамках системы может быть подвергнуто атаке и изменено. Задается оно соответствующим параметром в ветви реестра:

• ключ HKLMSystemCurrentControlSetServicesTcpipParameters,
  параметр DatabasePath = %SystemRoot%System32driversetc

..но вредоносный код, получивший привилегии локального администратора, может изменить значение параметра на собственное, ссылающееся совершенно в другое местоположение файловой системы. Обязательно проверьте данный параметр, и если Вы обнаружите в параметре DatabasePath что-либо отличное от вышеуказанного значения, то стоит заменить значение на базовое.

DNS

DNS (Domain Name System) — распределенная система доменных имен, которая используется для сопоставления IP-адреса с именем хоста (фактически получения IP-адреса на основе заданного имени). Для большинства рабочих окружений на основе операционной системы Windows это основной метод разрешения внешних (по отношению к локальной сети) имен хостов. Конечно же, он имеет меньший приоритет по сравнению с вышеописанным файлом hosts, тем не менее используется очень часто. С помощью (локального|внешнего) сервера DNS разрешаются символические имена узлов (например datadump.ru), к которым Вы обращаетесь в локальной|внешней сети, и которые не были разрешены другими, более приоритетными, методами. Существует категория вирусов, которые преднамеренно модифицируют параметры реестра, относящиеся к настройкам DNS-серверов с целью перенаправления сетевого трафика скомпрометированной машины на собственные сервера имен. В операционной системе Windows настройки DNS-серверов, к которым обращается модуль разрешения имен, хранятся в специальном ключе реестра:

• HKLMSYSTEMCurrentControlSetServicesTcpipParameters

параметры DhcpNameServer и NameServer которого должны содержать исключительно DNS-сервера, предоставляемые вашим локальным сетевым подключенным сетевым оборудованием (роутером/маршрутизатором), контроллером домена либо провайдером-поставщиком услуг доступа к сети Интернет.
Дополнительно, я бы проверил одноименные параметры для адаптеров и интерфейсов в следующих ключах реестра:

• HKLMSYSTEMCurrentControlSetServicesTcpipParametersAdapters{GUID}
• HKLMSYSTEMCurrentControlSetServicesTcpipParametersInterfaces{GUID}

Для того, чтобы проверить корректность адресов DNS-серверов, Вы должны просто-напросто знать адреса «своих» серверов, обычно это адреса из частных диапазонов подсетей: 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8, но не во всех случаях.
Для того, чтобы можно было посмотреть адреса DNS-серверов, можно выполнить из консоли (cmd) следующую команду:

ipconfig /all

которая сгенерирует вывод информации обо всех сетевых интерфейсах, сконфигурированных в вашей операционной системе:

Для того, чтобы найти в этом огромном потоке информации интересующие нас DNS-сервера, Вы можете найти в выводе тот интерфейс, который «смотрит» у вас в сеть Интернет, и изучить сопоставленные с ним параметры конфигурации. Стоит обратить внимание на значение параметра «DNS-серверы». Если Вы вдруг обнаружили «левые» адреса серверов, принадлежность которых сложно установить, то можете смело их удалять, либо менять на корректные.

Оболочка (Проводник)

С тех давних пор, как мир обленился и основная масса пользователей отказалась от текстового интерфейса в пользу графического, классическое понимание оболочки (shell) определенным образом трансформировалось и в дополнение к своим типичным консольным характеристикам текстового режима приобрело дополнительные особенности в виде графической среды взаимодействия с операционной системой. Графическая оболочка пользовательского интерфейса операционной системы Windows, иначе называемая Проводником и представленная в системе файлом explorer.exe, включает в себя функционал различных элементов интерфейса пользователя, как то: рабочий стол, меню пуск, проводник (файловый менеджер), панель инструментов и некоторые другие элементы взаимодействия. Однако в Windows с целью расширения целевого применения операционной системы в качестве различных однооконных киосков, не стали жестко закреплять «родную» пользовательскую оболочку explorer.exe и дали пользователю свободу конфигурировать альтернативную оболочку посредством ключей реестра, чем и не преминули воспользоваться вирусописатели.
В реестре за настройку пользовательской оболочки отвечает ключ:

• ключ HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon,
  параметр Shell = explorer.exe

Помимо оболочки есть еще параметр userinit, который описывает программы, загружаемые процессом Winlogon на этапе входа пользователя в систему. По умолчанию, Winlogon запускает модуль под названием Userinit.exe, который запускает скрипты стадии загрузки, а уже только затем вызывает оболочку пользовательского интерфейса explorer.exe. Настройка хранится в том же ключе в параметре Userinit:

• ключ HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon,
  параметр Userinit = C:Windowssystem32userinit.exe,

Обнаружение вируса в данном случае сводится к проверке наличия сторонних записей в данных ключах реестра.

Конфигурационные ini-файлы

Вплоть до современных версий в системе Windows все еще присутствует такой рудимент из прошлого, как конфигурационные ini-файлы. Речь у нас идет о следующих файлах:

• %SystemRoot%system.ini
• %SystemRoot%win.ini

В старых версиях Windows ini-файлы активно использовались в качестве основного механизма конфигурации системы, в том числе и для автозагрузки. В современных же версиях Windows система загружает некоторые параметры из указанных ini-файлов в реестр, используя так называемое отображение (сопоставление), задаваемое в следующем ключе реестра:
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionIniFileMapping
Отображение (маппинг) осуществляется следующим образом:

• Переменные Run и Load из секций [boot], [windows] файла win.ini, проецируются в ключ реестра HKCUSoftwareMicrosoftWindows NTCurrentVersionWindows. Таким образом, данные параметры операционная система обрабатывает как элементы автозагрузки, то есть как если бы они находились в секции [windows] файла win.ini.
• Переменная Shell из файла system.ini проецируется в HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon.

Отображение используется в целях совместимости с устаревшим программным обеспечением, которое знает про существование ini-файлов, однако не имеет никакого представления о том, что такое реестр. В случае подобного кода, который работает через совместимые функции Win16/Win32 API, функции эти получают информацию не из описанных файлов напрямую, а уже из соответствующих сопоставленных ключей реестра. Как мы можем догадаться, механизм этот оставлен разработчиками исключительно в целях совместимости с устаревшим интерфейсом Win16, который не рекомендуется к использованию в современных реалиях Win32. Но, как говорится, что работает, то может быть использовано, поэтому вирусы иногда задействуют данный механизм.

Фильтры выполнения оболочки

Так называемые фильтры выполнения оболочки (Shell Execute Hooks) предоставляют программный метод, который расширяет функционал системных функций ShellExecute и ShellExecuteEx. Конфигурацию фильтров в реестре можно найти в разделах:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks
• HKLMSoftwareWow6432NodeMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks

Записи зачастую содержат идентификаторы CLSID, ссылающиеся на ключи HKLMSOFTWAREClassesCLSID{CLSID}, в которых в параметрах InprocServer32 содержится информация о конкретном исполняемом модуле фильтра.

Фильтры выполнения оболочки не рекомендованы к использованию начиная с Windows Vista.

Объекты загрузки оболочки

Объекты загрузки оболочки (SSO/Shell Service Object) — это библиотеки, которые в процессе загрузки пользовательского окружения загружаются системной программой оболочки explorer.exe в качестве так называемых собственных расширений проводника. Функционируют в контексте родительского процесса проводника (explorer.exe) и загружаются до авторизации пользователя в системе.
В реестре представлены ключами:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerShellServiceObjects
• HKLMSOFTWAREWow6432NodeMicrosoftWindowsCurrentVersionExplorerShellServiceObjects

В дополнение к вышеописанным, имеются еще так называемые объекты отложенной загрузки оболочки (SSODL/Shell Service Object Delay Load), обычно представляющие из себя типичные библиотеки DLL. Описываются ключом реестра:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad

параметры данного раздела — это имена объектов оболочки, которые записываются в форме:
Имя_объекта = CLSID (например: WebCheck = {E6FB5E20-DE35-11CF-9C87-00AA005127ED})
Как мы видим, имена ссылаются на идентификаторы CLSID, которые можно найти в разделе HKLMSOFTWAREClassesCLSID{CLSID}, где информация о местоположении исполняемого файла оболочки содержится в параметре InprocServer32.

Уведомления оболочки

В Windows имеется механизм под названием Winlogon Notification Packages или Уведомления оболочки. Механизм уведомлений используются для запуска программ при возникновении предопределенных системных событий. События подразделяются на: вход (logon), выход (logoff), запуск (startup), завершение (shutdown), запуск хранителя экрана (startscreensaver) и останов хранителя экрана (stopscreensaver). Когда модуль Winlogon стартует, он проверяет реестр и загружает зарегистрированные пакеты уведомления оболочки (представленные в виде .dll-библиотек). Приведенные события генерируются самим процессом Winlogon.exe на разных стадиях своего функционирования. Когда событие возникает, Winlogon в параметрах ключа Notify ищет функцию обработчика того или иного события. Вирусы обычно загружают себя по событию входа пользователя (logon) в операционную систему.
Ответственный ключ реестра:

• HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonNotify

Модули (библиотеки) инициализации приложений

App Init DLLs — это системный механизм, который позволяет загружать произвольный список библиотек в адресное пространство каждого пользовательского процесса, использующего библиотеку user32.dll (а её функции используют практически все программы). Все начинается с загрузки user32.dll. Поскольку это типовая библиотека, входящая в состав базового набора поддержки подсистемы Win32 API, она загружается стандартным механизмом LoadLibrary. Загрузчик образа вызывает функцию DllEntryPoint библиотеки user32.dll, которая в недрах своего алгоритма содержит процедуру сканирования ключа реестра AppInit_Dll, которая загружает все перечисленные в ключе библиотеки в виртуальное адресное пространство процесса, а затем поочередно вызывает для каждой из них процедуру инициализации. Именно таким образом перечисленные библиотеки получают управление. Этот механизм так же носит название DLL injection, или внедрение динамической библиотеки. Естественно, если какое-либо приложение не использует стандартную библиотеку user32.dll, то никакие библиотеки, описанные в ключе AppInit_Dll в его адресное пространство загружены не будут. Согласитесь, что подобный функционал очень интересен для разнообразного злонамеренного кода. Поэтому, после всех проблем, которые доставил данный механизм в плане безопасности операционной системы, начиная с Windows 7 разработчики решили добавить необходимость подписания кода загружаемых библиотек. А в последствии грозятся и вовсе перейти на загрузку только лишь подписанных библиотек.

Later versions of Windows will load only code-signed AppInit DLLs and will not include a registry key to disable this requirement.

Информация об активном механизме, а так же списках загружаемых библиотек хранится в следующих ключах.

• для 32-битных DLL, функционирующих в 32-битной системе:
  HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindows
  параметр AppInit_DLLs
• Для 64-битных DLL, функционирующих в 64-битной системе:
  HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindows
  параметр AppInit_DLLs
• Для 32-битных DLL, функционирующих в 64-битной системе:
  HKLMSOFTWAREWow6432NodeMicrosoftWindows NTCurrentVersionWindows
  параметр AppInit_DLLs

Параметр содержит множество значений, разделенных пробелом либо запятой, каждое из которых описывает отдельную библиотеку.
Работать с данным ключам надо предельно внимательно, и хорошо себе представлять происходящее. Дело в том, что параметр может содержать модули вполне легальных приложений (антивирусы, клиенты виртуализации и прочее). Поэтому, не стоит спешить с массовым удалением всех присутствующих программ, и следует быть предельно аккуратным с очисткой данного параметра. Я думаю, в самом общем случае, алгоритм обнаружения вируса и очистки должен быть следующим: находим первую запись, определяем [гуглим] принадлежность модуля, если вирус — удаляем, если легальный — оставляем, и так по всем записям списка.

Известные библиотеки

В операционных системах Windows (начиная с Windows 95/NT) присутствует механизм под названием KnownDLL (известные библиотеки), в основном предназначающийся для кеширования часто используемых системных DLL с целью сокращения общего времени загрузки приложений (увеличения производительности). Помимо основного применения, механизм обеспечивает довольно интересный дополнительный функционал, который позиционируется как средство обеспечения безопасности. Оно позволяет предотвращать такой хитрый трюк, как загрузка дубликатов известных системных библиотек непосредственно из директории самого приложения. Поместил злоумышленник, к примеру, свою копию библиотеки wininet.dll в директорию приложения, которое данную библиотеку использует, и по идее данная библиотека должна загрузиться приоритетно, поскольку находится в директории загружаемого приложения, ан нет, механизм KnownDLL загрузит её из %SystemRoot%System32wininet.dll. Когда загрузчик образов подготавливает бинарный файл к выполнению, он смотрит в таблицу импорта и перечисляет библиотеки, которые используются загружаемым приложением. Для каждой библиотеки, которую загрузчик находит в таблице импорта, он пытается спроецировать библиотеку в адресное пространство процесса, для того, чтобы сделать функции библиотеки доступными основному приложению. Однако на этом же этапе загрузчик просматривает контейнер системных объектов KnownDLL и ищет в нем объект с именем KnownDlls<имя_библиотеки>, в случае существования которого, вместо подгрузки DLL непосредственно из текущего местоположения, загрузчик использует информацию объекта.
Описание секций присутствует в ключе реестра:

• HKLMSystemCurrentControlSetControlSession ManagerKnownDLLs

Если Вы внимательно изучите содержимое ключа, то заметите, что все перечисленные в нем DLL не имеют полного пути, поскольку по задумке разработчиков располагаются в директории %SystemRoot%System32 (задается ключом DllDirectory). Это поднимает уровень безопасности, поскольку теперь чтобы вирусу прикинуться известной библиотекой и использовать механизм KnownDLL, ему потребуются еще и права записи на системную папку. Создание секций KnownDlls<имя_библиотеки> для каждой DLL происходит на этапе загрузки операционной системы специализированным кодом, который просматривает описанный выше ключ и создает соответствующие секции. Поэтому, обнаружение вируса, использующего механизм KnownDLL, сводится к просмотру записей о библиотеках в описанном выше ключе и удалении модулей, вызывающих подозрение.

Параметры загрузки образов

Среди множества прочих, в системе реализован механизм под названием параметры загрузки образов (IFEO, Image File Execution Options), позволяющий контролировать некоторые аспекты запуска исполняемых образов (исполняемых файлов). Фактически он предоставлен разработчиками в целях отладки собственных программ. Одной из особенностей данного механизма является возможность перехватывать вызовы к исполняемому образу (программе), что дает неограниченные возможности по полному контролю запускаемого приложения, в том числе подмене его собственным кодом.
Настройки параметров загрузки хранятся в ключах реестра:

• HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options;
• HKLMSOFTWAREWow6432NodeMicrosoftWindows NTCurrentVersionImage File Execution Options;

Данные разделы реестра содержат подключи, указывающие на имена загружаемых образов, которые, в свою очередь, содержат параметры, описывающие разнообразные опции для запуска той или иной программы. В контексте текущей статьи все параметры описывать нет никакого резона, скажу только, что со стороны вредоносного кода интересным будет использование параметра Debugger, который должен указывать, по версии разработчиков, на отладчик, запускаемый каждый раз, когда описанное приложение будет стартовать. Иными словами, например, если в ключе explorer.exe создать параметр Debugger (типа REG_SZ) и присвоить ему значение myapp.exe, то каждый раз при загрузке системой проводника будет запускаться указанное приложение с параметрами командной строки, указывающими на исходную программы и переданные уже ей параметры. Таким вот незатейливым способом вирусы могут подменять различные ключевые системные модули собственными. В этом случае, подозрительным с точки зрения безопасности будет факт присутствия в каком-либо модуле параметра Debugger, указывающего на подозрительное приложение.

Зачастую таким образом вирусами перехватывается запуск проводника (explorer.exe), поэтому при нахождении в описанных выше ключах реестра подключа explorer.exe можете смело его удалять.

Предзагрузка командного интерпретатора

Если командный интерпретатор (cmd.exe) запускается без параметра командной строки /D, то код интерпретатора вначале проверяет следующие ключи реестра:

• ключ HKLMSoftwareMicrosoftCommand Processor,
  параметр AutoRun
• ключ HKCUSoftwareMicrosoftCommand Processor,
  параметр AutoRun

..и если параметр AutoRun присутствует хотя бы в одном из описанных ключей, то указанный в параметре исполняемый образ загружается непосредственно перед загрузкой самого cmd.exe. Параметры пользователя имеют приоритет перед параметрами компьютера. Данную особенность активно эксплуатируют разного рода вирусы, поэтому стоит проверять вышеуказанные ключи реестра в обязательном порядке.

Планировщик заданий (Shared Task Scheduler) — системный компонент, предоставляющий возможность планирования выполнения заданий (программ или скриптов) в системе на основе большого количества всевозможных критериев. Другими словами, планировщик заданий отвечает за автоматический запуск пользовательских и системных задач, запланированных по определенным условиям. Подобные задания зачастую связаны с запуском внешних приложений, поэтому не сложно догадаться, что это достаточно интересный механизм для некоторых категорий вирусов. К примеру, код вируса может создать собственную задачу, которая будет с определенной периодичностью подменять системные DNS-сервера (кстати воочию подобное наблюдал).
Для контроля заданий нам потребуется запустить планировщик. Запускается планировщик заданий разными способами, но один из самых универсальных это запуск через цепочку Панель управления — Администрирование — Планировщик заданий. При запуске планировщика в Windows 7 открывается стандартный интерфейс апплета:

Для просмотра сторонних запланированных задач, выделяем пункт Библиотека планировщика заданий 1, затем ставим курсор (выделяем) на пункт задания в области списка заданий 2, смотрим вкладку действия 3 для каждого заинтересовавшего нас задания, с целью выяснить, какие же действия оно выполняет. Откровенно подозрительными обычно являются задания, которые производят запуск исполняемых модулей неизвестного назначения (с невнятными именами) из таких местоположений, как %LOCALAPPDATA% и вложенных подкаталогов (например: C:Users<имя_пользователя>AppdataLocalwupdatewupdate.exe). При обнаружении подобного подозрительного или откровенно вредоносного задания, просто удаляем его из списка задач.

Windows Vista+:
Начиная с версии Windows Vista, задачи создаются в виде отдельных файлов формата XML (с расширением .xml). Размещаются планируемые задачи в нескольких местоположениях операционной системы:

• Каталог C:WindowsSystem32Tasks;
• Каталог C:WindowsTasks;
• Ключ реестра HKLMSoftwareMicrosoftWindows NTCurrentVersionScheduleTaskcacheTasks;
• Ключ реестра HKLMSoftwareMicrosoftWindows NTCurrentVersionScheduleTaskcacheTree;

Windows 2000/XP:
В данных версиях операционных систем задачи можно было найти в реестре, в следующей ветви:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerSharedTaskScheduler

Службы [Сервисы] и драйверы

Службы (Сервисы) — это приложения, автоматически или по возникновению определенных событий, запускаемые в фоновом режиме на различных стадиях загрузки операционной системы, обеспечивающие основные функциональные возможности ОС. Как правило, службы (сервисы) не взаимодействуют с графическим интерфейсом пользователя, поэтому говорится, что они не имеют графического интерфейса, и работа их в большинстве случаев не заметна для пользователя. Служба, в зависимости от настроек, может быть запущена автоматически при загрузке операционной системы, поэтому начать функционирование она может до того момента, как пользователем будет произведен вход в Windows. Основная задача по обнаружению вируса, который установил в систему собственную службу, состоит в том, чтобы просмотреть весь список запускаемых служб и детально изучить его на предмет наличия подозрительных сервисов. С этой целью можно использовать знакомую уже многим оснастку Службы, вызвав её следующим образом:
Нажать комбинацию Win + R и вписать в строку services.msc, затем нажать ОК. После этого мы видим примерно следующее:

Для полноты восприятия переключаемся в стандартный вид (1), далее сортируем службы по столбцу «Состояние», просто щелкнув на нём (2), тем самым выстроив сначала службы, которые в данный момент работают. И среди работающих служб начинаем искать те, которые могут показаться нам подозрительными. В случае нахождения подозрительной службы можно попробовать её выделить (3), нажать правую кнопку и попытаться остановить (4), выбрав одноименный пункт меню. После остановки службы можно зайти в «Свойства» и изменить Типа запуска (StartUp Type) на Отключено (Disabled), перезагрузив затем операционную систему.
На самом деле, можно смело утверждать, что практически с нулевой вероятностью «родные» системные сервисы от Microsoft вызовут у нас подозрение, поэтому хорошая практика, в данном случае, состоит в том, чтобы отфильтровать как-либо образом сторонние службы, написанные третьими лицами и вот уже среди них провести проверку. Визуально отличить стороннюю службу (коей обычно и является вирус) от системной можно при наличии определенных знаний, но не у всех они имеются, поэтому существует более надежный и простой способ с участием утилиты msconfig (Конфигурация системы). Из командной строки с правами локального администратора запускаем команду:

msconfig

открывается окно утилиты конфигурирования системы. Переходим во вкладку «Службы» — выделяем чекбокс Не отображать службы Microsoft, затем щелкаем по столбцу «Состояние», дабы отсортировать работающие службы в начало списка. В итоге у нас получится список из служб сторонних разработчиков такого вот примерно вида:

А вот уже среди отфильтрованных (оставшихся) служб можно проводить детальный анализ.

Скрытые службы

На самом деле иногда все бывает гораздо сложнее, поскольку при определенных настройках безопасности службы и применении некоторых других методов, сервисы могут быть «скрыты». Подобные скрытые службы Вы не обнаружите при помощи традиционного инструментария (например: оснастка «Службы»). Исходя из этого более надежным, на мой взгляд, решением видится самостоятельный анализ ветви реестра текущей конфигурации:

• HKLMSYSTEMCurrentControlSetServices

В данном разделе реестра определены и службы и драйвера, инсталлированные в данный момент в операционной системе

Каждый ключ реестра в данной ветви — это запись о драйвере либо сервисе, который определен в операционной системе. В каждом ключе может содержать вложенные ключи, которые описывают дополнительные параметры конфигурации драйвера/службы.
На что стоит обращать внимание:

• параметр Description — содержит либо осмысленное имя службы/драйвера, либо указание на библиотеку вида @%SystemRoot%system32AxInstSV.dll,-104.
• параметр DisplayName — содержит либо осмысленное отображаемое имя службы/драйвера, либо указание на библиотеку.
• параметр DriverPackageId — содержит указание на .inf-файл драйвера.
• параметр ImagePath — содержит полный путь и имя файла образа загрузки для службы/драйвера. Многие службы группируются в рамках единого процесса svchost.exe, в этом случае содержат что-то вроде: %SystemRoot%system32svchost.exe -k AxInstSVGroup. Зачастую у драйверов имя файла образа имеет расширение .sys, у служб обычно .exe, но это не обязательное правило.

Алгоритм нахождения сторонних записей состоит в прохождении каждого ключа и беглого анализа содержимого. В случае, если Вам показалась странной какой-либо ключ, не спешите удалять его, поскольку он может оказаться важным системным драйвером/службой. В случае неясности, перво-наперво, было бы логичным проконсультироваться у поисковиков на предмет получения дополнительных знаний
Если уж быть совсем скрупулезным, не лишним будет просмотр и сопутствующих ветви реестра различных вариантов конфигурации (хотя это не обязательно):

• HKLMSYSTEMControlSet001Services
• HKLMSYSTEMControlSet002Services
• HKLMSYSTEMControlSet003Services

С появлением 64-битных сборок Windows, процедура запуска не подписанного драйвера крайне осложнилась, а затем эту возможность перевели в предзагрузку. Теперь, чтобы запустить драйвера в 64-битной системе, необходимо наличие у него цифровой подписи. В связи со всеми этими нововведениями, протащить в систему сторонний драйвер стало достаточно проблематично. Конечно же, возможно имеются доступные открытые ключи, которыми можно подписывать собственные драйвера, однако непонятна их дальнейшая судьба в случае их активной эксплуатации. Основываясь на данных фактах, можно предположить, что в будущем использование драйверов с вредоносным кодом и вовсе сойдет на нет.

В случае обнаружения службы/драйвера вируса полностью удалить её из системы можно либо удалением соответствующего ключа реестра, либо командой:
sc delete имя_службы

Internet Explorer

Безо всякого сарказма это браузер с мировым именем На этой содержательной фразе можно было бы и остановиться, однако даже столь емкий термин не может в полной мере отразить весь тот огромный узел разнородных проблем, которых породили разработчики браузера самим фактом его создания. Пожалуй, можно смело утверждать, что браузер корпорации Microsoft является самой большой дырой в безопасности системы (на 2016 год почти восемь сотен обнаруженных уязвимостей). Восхождение звездного продукта началось с вытеснения в 1997 году конкурента под названием Netscape Navigator. Стратегическое решение было принято в связи со всё возрастающей ролью сети Интернет, и необходимостью более глубокой внутренней интеграцией обозревателя в систему. Вероятно, сама идея была действительно хорошая, поскольку продукт получился весьма функциональным, но как в последствии стало ясно, с очень непродуманной архитектурой. Практически постоянно можно наблюдать обход настроек безопасности, неправильную обработку внешних файлов, спуфинг, неавторизованную установку расширений. Зачастую уязвимости связаны с внешними плагинами типа Flash Player и Java, однако отсутствие изоляции процессов и собственной (встроенной) обработки флеш и явы делает сам браузер беспомощным. Последнее время Microsoft работают над новым браузером, который будет носить название Edge, вот только будет ли он сохранять совместимость?

Подключаемые протоколы

В браузере Internet Explorer есть возможность добавлять так называемые подключаемые протоколы, которые могут быть сконфигурированы пользователем в дополнение к стандартным. Протоколы предназначены для расширения функционала браузера и фактически позволяют определить метод доступа к внешним ресурсам исходя из пользовательских критериев, то есть по вашему собственному протоколу, задавая специфический префикс URL. Протокол сопоставляет поведение браузера и логики работы с символической короткой строкой вида mailto: или http:.

• ветвь HKLMSOFTWAREClassesPROTOCOLS содержит описание специализированных фильтров и обработчиков.
• подветвь HKLMSOFTWAREClassesPROTOCOLSHandler содержит подключи, описывающие обработчики протоколов. подключи представляют собой имена обработчиков, в которых имеется параметр CLSID, указывающий на соответствующий CLSID обработчика.
• подветвь HKLMSOFTWAREClassesPROTOCOLSFilter содержит подключи, описывающие фильтры протоколов. подключи представляют собой имена фильтров, в которых содержится параметр CLSID, указываются на соответствующий CLSID фильтра.

Как мы видим, классически все эти указанные в подразделах CLSID указывают на тот же CLSID в ключе HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{CLSID}, а вот уже внутри информация о местоположении самого исполняемого модуля содержится в параметре InprocServer32. Обнаружение вируса сводится к просмотру и нахождению подозрительных обработчиков и фильтров.

Элементы управления ActiveX для Internet Explorer

ActiveX — это механизм (дополнение), благодаря которому Internet Explorer может использовать другие системные приложения. При помощи него обеспечивается расширение функциональных возможностей браузера и, тем самым, достигается «лучшее взаимодействие» с веб-ресурсом. Например, через IE онлайновый антивирус посредством собственного ActiveX-компонента сканирует локальные файлы [на машине], сайт Microsoft Update устанавливает через свой ActiveX-компонент обновления безопасности в систему, ресурс может вызывать Windows Media Player для проигрывания звуковых форматов, вызывать QuickTime для воспроизведения анимации и так далее. Конечно же, данной технологией не могли не заинтересоваться вирусописатели, разрабатывающие вредоносные ActiveX-компоненты, которые обычно устанавливаются для последующей загрузки дополнительного программного обеспечения без вашего ведома. Все элементы ActiveX, которые инсталлируются через Internet Explorer, попадают сперва в директорию %Windir%Downloaded Program Files. Обычно это модули типов .exe, .dll, .ocx, .cab и сопутствующие .inf. Кроме самого исполняемого модуля (или архива), сюда же попадает и .inf-файл, описывающий процесс инсталляции, при участии которого и выполняется установка ActiveX-компонента в систему. Устанавливаемые таким образом элементы могут регистрировать себя в системе в качестве полноценных приложений. Для самостоятельного поиска вируса нам потребуется простой механизм по изучению списка ActiveX-элементов, установленных в системе. Существует ключ реестра, который содержит списки идентификаторов ActiveX, установленных для IE:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionExtPreApproved

Однако ключ (как всегда) содержит одни лишь голые идентификаторы, поэтому для установления ассоциации с исполняемыми модулями нам (опять) предстоит вручную проверять каждое значение CLSID в другом ключе реестра HKEY_CLASSES_ROOTCLSID и изучать для каждого CLSID подключ InprocServer32.

Общие параметры сети в Internet Explorer

Разнообразные настройки для сети Интернет можно обнаружить в следующем ключе:

• HKCUSOFTWAREMicrosoftWindowsCurrentVersionInternet Settings

В ключе содержится большое количество параметров, и ниже посмотрим на какие же подключи стоит обратить особое внимание.

Сайты и протоколы Internet Explorer

Сайты и протоколы, добавленные в зону «Надежные узлы» (Trusted Zone). Обычно добавление в данную зону позволяет перечисленным в списке сайтам обходить некоторые виды проверок безопасности, то есть считаться более доверенными.
Используемые ключи реестра:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZoneMapDomains
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZoneMapDomains
• HKLMSOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZoneMapProtocolDefaults
• HKCUSOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZoneMapProtocolDefaults

Об обнаружении вируса в системе может говорить наличие в описанных выше ключах записей о сторонних (неизвестных вам) ресурсах, назначение которых пользователю сложно определить.

Настройки прокси сервера

В ключе:

• HKCUSOFTWAREMicrosoftWindowsCurrentVersionInternet Settings

..параметр ProxyServer обычно отсутствует. В случае же наличия параметра следует понять, легальный ли это прокси и нужен ли он вам в работе?

Browser Helper Objects (BHO)

Browser Helper Object (Объект помощи браузеру, помощник браузера) — исполняемый модуль DLL, написанный в виде плагина для браузера Internet Explorer, предназначающийся для обеспечения дополнительного функционала, стандартно не поддерживаемого браузером. Вне зависимости от расширения практически всегда представляют собой обычные DLL библиотеки, которые загружаются вместе с браузером и работают в контексте основного процесса браузера. По этой причине разнообразная подозрительная активность зачастую остается незамеченной некоторыми персональными фаерволами. Вирусы могут инсталлировать BHO, отслеживающие защищенные соединения и мониторящие пароли, либо записывающие активность пользователя при посещении определенных интернет-ресурсов. С точки зрения вируса подключить BHO к браузеру Internet Explorer достаточно просто, для этого достаточно стандартными средствами зарегистрировать класс BHO и прописать ссылку на него в специальном ключе реестра:

• HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects
• HKLMSoftwareWow6432NodeMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects

подразделы ключа имеют имя-значение GUID и ссылаются на одноименный компонент.

Плагины Internet Explorer

Плагины Internet Explorer — это небольшие программные модули, загружаемые при старте браузера с целью добавления браузеру определенных функциональных возможностей. Обычно используются для визуализации различного нестандартного контента: проигрывания специфических форматов видео, аудио и прочих.
Используемый ключ реестра:

• HKLMSOFTWAREMicrosoftInternet ExplorerPlugins

подразделы описывают различные разделы плагинов.

Панели инструментов Internet Explorer

Панели инструментов Internet Explorer — это дополнения для браузера, которые позволяют создавать и добавлять отдельные пользовательские панели, наборы инструментов или даже отдельностоящие панели рабочего стола в различные местоположения окна браузера: командную строку, строку закладок, меню, системную панель задач, а так же в прочие управляющие элементы. Распространены ситуации, когда панели инструментов создаются установленными в браузер BHO.
Ответственные ключи реестра:

• HKLMSOFTWAREMicrosoftInternet ExplorerToolbar
• HKCUSOFTWAREMicrosoftInternet ExplorerToolbar
• HKLMSOFTWAREWow6432NodeMicrosoftInternet ExplorerToolbar

содержит подразделы в виде GUID, которые ссылаются непосредственно на компоненты.

Расширения Internet Explorer

Расширения для Internet Explorer (Addons, Аддоны) — это специальная категория дополнений, которые используются для добавления элементов к пользовательскому интерфейсу браузера. Возможна модификация главной панели инструментов с целью реализации на этой панели разнообразных отдельностоящих кнопок и полноценных меню. Кнопки панели инструментов могут запускать приложение, скрипт или открывать новую панель. Меню (иногда называемые сервисами), могут создавать пользовательское подменю в меню «Сервис» или «Справка» на панели инструментов браузера. Очевидно, что меню (сервисы) и кнопки сами по себе опасности не представляют ровно до того момента, пока не будет задействован их (возможный) деструктивный функционал, например непосредственным нажатием на компонент. Ведь это всего лишь ссылки, но вот после нажатия (активации) ссылка вызывает закрепленную функциональную процедуру, которая не всегда может выполнять легитимные действия.
С определенной версии IE все расширения браузера можно увидеть в подразделе «Панели инструментов и расширения» специализированного апплета Надстройки, до которого можно добраться через «Свойства обозревателя» — «Программы»- «Настроить надстройки»:

Другой способ предусматривает запуск браузера Internet Explorer из командной строки с параметром -extoff:

iexplore.exe -extoff

Поскольку при подобном типе запуска браузер позволяет увидеть все без исключения (и нормальные и скрытые) расширения.

Используемые ключи реестра:

• HKLMSOFTWAREMicrosoftInternet ExplorerExtensions
• HKCUSOFTWAREMicrosoftInternet ExplorerExtensions
• HKLMSOFTWAREWow6432NodeMicrosoftInternet ExplorerExtensions

Подразделы представляют из себя (традиционно) идентификаторы CLSID, в которых вложенными ключами описываются расширения.

Пункты меню Internet Explorer

Возможно добавить дополнительные пункты в контекстное меню браузера Internet Explorer. Обычно этот тип меню можно увидеть, нажав правую кнопку мыши на какой-либо активной ссылке, расположенной на странице, отображаемой в данный момент в окне браузера.
В реестре настройка меню представлена по следующему пути:

• HKCUSOFTWAREMicrosoftInternet ExplorerMenuExt
• HKLMSOFTWAREMicrosoftInternet ExplorerMenuExt

Подразделы имеют наименование пунктов меню. Параметр «по умолчанию» каждого подраздела указывает на функциональный модуль, ответственный за конкретный пункт меню.

Дополнительные параметры Internet Explorer

С определенной версии IE существует возможность модифицировать содержимое вкладки Дополнительно в свойствах обозревателя (Свойства обозревателя — Дополнительно), добавив туда новую группу настроек.
Ответственный ключ реестра:

• HKLMSOFTWAREMicrosoftInternet ExplorerAdvancedOptions

подключи описывают группы параметров во вкладке Дополнительно.

Стартовая страница

Стартовая (начальная) страница отображается в первой (самой левой) стартовой вкладке окна браузера непосредственно после запуска.
Используемые ключи и параметры реестра:

• ключ HKLMSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Start Page
• ключ HKCUSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Start Page
• ключ HKEY_USERSSID_пользователяSOFTWAREMicrosoftInternet ExplorerMain,
  параметр StartPage

Страница поиска

• HKLMSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Search Page
• HKCUSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Search Page

Страница по умолчанию

Страница по умолчанию — страница, открываемая при нажатии на пиктограмму с изображением «домика» (располагающуюся справа от строки адреса).
Используемые ключи и параметры реестра:

• HKLMSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Default_Page_URL
• HKCUSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Default_Page_URL = что-то вроде http://go.microsoft.com/fwlink/p/?LinkId=255141

Префикс по умолчанию

Описывает префикс, который добавляется к адресу при отсутствии явного указания префикса URL пользователем в строке адреса. Обычно в IE используется приставка http://.
Используемый ключ и параметр реестра:

• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionURLDefaultPrefix,
  параметр @=http://
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionURLPrefixes,
  параметры ftp, home, mosaic, www

Трансляция неизвестных адресов

Интерфейс IURLSearchHook раскрывает метод, используемый браузером для трансляции адресов, содержащих неизвестный или не указанный (не конкретизированный) непосредственно протокол. Примером может служить ситуация, когда в адресной строке браузера вводится адрес, не содержащий префикса http://. Для начала Internet Explorer пытается самостоятельно определить протокол используя оригинальный адрес. В ситуации, когда браузер не имеет возможности определить протокол адреса в адресной строке, он вызывает URLSearchHook, создает объекты URL Search Hook (которые зарегистрированы в системе) и вызывает для каждого объекта метод трансляции до тех пор, пока URL не будет оттранслирован или все фильтры не будут обработаны.
Настройка трансляции производится в ключе реестра:

• HKCUSOFTWAREMicrosoftInternet ExplorerURLSearchHooks

Параметры имеют имена CLSID, ссылающиеся на ключи HKLMSOFTWAREClassesCLSID{CLSID}, в которых в параметрах InprocServer32 содержится информация о трансляторе. По-умолчанию это C:WindowsSystem32ieframe.dll.

Устаревшие (необрабатываемые, исключенные) настройки Internet Explorer

Данная группа параметров активно использовалась в устаревших ныне версиях браузера (5/6/7/8) и в современных либо не используется, либо заменена другими механизмами конфигурирования:

• HKLMSOFTWAREMicrosoftInternet ExplorerSearch,
  параметр SearchAssistant
• HKLMSOFTWAREMicrosoftInternet ExplorerSearch,
  параметр CustomizeSearch
• HKCUSOFTWAREMicrosoftInternet ExplorerSearch,
  параметр CustomizeSearch

Передача запроса поисковой системе. Когда в адресной строке браузера IE вводится что-либо, не соответствующее формату типового URL-адреса, то браузер передает строку заданной по умолчанию поисковой системе. Для подобных целей используется ключ реестра:

• HKCUSOFTWAREMicrosoftInternet ExplorerSearchURL,
  параметр Default или ((По умолчанию))

Собственный заголовок окна. В старых версиях IE у окна браузера постоянно выводился заголовок, так вот для того, что бы иметь возможность задавать собственный заголовок окна браузера, был введен специализированный параметр реестра:

• HKCUSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Window Title

Отображение результатов поиска в главном окне/окне поиска браузера. Еще один устаревший параметр, который позволял изменить стиль отображения результатов поиска:

• HKCUSOFTWAREMicrosoftInternet ExplorerMain,
  параметр Search Bar

Ориентировочно до версии IE6 в коде обозревателя присутствовал Мастер подключения к Интернету:

• HKCUSOFTWAREMicrosoftInternet Connection Wizard,
  параметр ShellNext

где он теперь?

Локальная групповая политика

Время от времени модификации вредоносным кодом подвергаются файлы локальной групповой политики. В принципе, это достаточно привлекательный системный механизм для вирусописателей, поскольку модифицировав каким-либо образом локальную групповую политику, можно добиться автоматического внесения изменений в реестр. Например, на практике попадались методы заражения, которые подразумевали модификацию локальной групповой политики (а именно файла registry.pol) с целью последующего внесения изменений в те или иные ключи реестра. Например, часть конфигурации локальной групповой политики под названием «локальный компьютер» располагается по пути:

• %SystemRoot%System32GroupPolicyMachineregistry.pol

.. и если вредоносный код добавит туда, скажем, исключения для того же Защитника Windows или брендмауэра, то данные исключения каждый раз при применении групповой политики будут добавляться в соответствующие ключи реестра. Поэтому, лишний раз не поленитесь проверить содержимое файла registry.pol на предмет наличия подозрительных записей, и при обнаружении таковых, можно смело удалять последний.

Многоуровневый поставщик услуг

Winsock LSP (Layered Service Provider) — многоуровневый поставщик услуг, Windows Sockets версии 2.0, предоставляющий возможность пользователю подключать собственные библиотеки DLL для обработки вызовов Windows Sockets API. Обычно поставщик занимается обработкой низкоуровневых задач, связанных с сетевым трафиком. Поставщик обрабатывает данные, передаваемые по протоколу TCP/IP, который используется для связи с локальной сетью и сетью Интернет. В процессе приема/передачи данных по протоколу TCP/IP, информация последовательно проходит по цепочке через все зарегистрированные в стеке TCP/IP поставщики (по структуре обычные DLL-библиотеки, которые используют Winsock API). Каждый поставщик может как угодно модифицировать проходящие данные и адреса. Таким образом, механизм LSP используется для вполне легитимных действий над трафиком и пространством имен, таких как подсчет трафика, антивирусная проверка, фильтрация контента, поэтому, например, многие антивирусы и фаерволы могут на вполне легальных основаниях находиться в стеке TCP/IP в качестве поставщиков услуг. Однако, некоторые вирусы могут добавлять свои модули в цепочку обработки.
Список поставщиков услуг хранится в специальной базе, которую можно найти в реестре в следующем разделе:
HKLMSystemCurrentControlSetServicesWinsock2Parameters
Не редка ситуация, когда Вы каким-либо образом нашли и удалили из цепочки модуль вируса, который находился в стеке поставщиков, однако не произвели коррекцию самой цепочки, в этом случае цепочка обработки рвется, и работа по протоколу TCP/IP с локальной сетью и сетью Интернет становится невозможной. Бывают и случаи удаления вредоносной DLL из файловой системы без должной коррекции (отмены регистрации провайдера) базы провайдеров, которые тоже не приводят ни к чему хорошему. Для восстановления (корректировки) цепочки провайдеров существуют утилиты LSP-Fix и AVZ (является полноценным сканером), которые проходят по цепочке разделов реестра Winsock2 и восстанавливают корректные связи.
Конечно, в случае с Windows Sockets 2.0 все далеко не так радужно. Чаще всего, в случае проблем с работоспособностью локальной сети и интернет, выполняют восстановление по заданному системному шаблону, однако этот шаблон надо знать, поскольку неправильные действия с базой поставщиков могут привести к полной неработоспособности сетевого интерфейса.

В Windows 7/8 технология LSP всё еще функционирует, однако не рекомендуется к использованию! Это объясняется тем, что начиная с Windows Vista разработчики активно продвигают новую технологию под названием «Платформа фильтрации Windows» (Windows Filtering Platform, WFP), которая предназначена для обработки, отслеживания и перехвата сетевого трафика на всех уровнях сетевого стека, а так же призвана заменить все существующие технологии фильтрации в стеке TCP/IP. Существующие и разрабатываемые драйвера и приложения обработки пакетов предлагается портировать под новую технологию.

Компоненты Active Setup

Active Setup (Активная настройка/Набор активирования/Активный набор) — системный механизм, предназначенный для разового выполнения команд на этапе первичного входа пользователя в систему. Команды выполняются единожды, то есть при всех последующих входах пользователя команда исполняться уже не будет. Конфигурация каждого компонента Active Setup делится на машинную и пользовательскую части, которые расположены в разных ветвях реестра. Поэтому, когда пользователь входит в систему, Active Setup проверяет наличие идентификатора GUID каждого [заданного для установки] компонента в пользовательской части соответствующего ключа реестра и если GUID отсутствует, то выполняется команда, ассоциированная с компонентом, а по завершении процесса GUID компонента добавляется в пользовательскую часть реестра. Механизм может производить установку пакетов .msi. Работу механизма Active Setup мы можем, к примеру, лицезреть когда впервые авторизуемся в операционной системе: наблюдаем первичную настройку обозревателя Internet Explorer, проявляющую себя в появлении небольших окон установки в левом верхнем углу рабочего стола пользователя. Механизм может эксплуатироваться вирусами, поэтому поиск вируса в данном случае сводится к проверке машинной части ключей реестра Active Setup. Информация о машинной части размещается в реестре в ключе:

• HKLMSOFTWAREMicrosoftActive SetupInstalled Components
• HKLMSOFTWAREWow6432NodeMicrosoftActive SetupInstalled Components

Содержит подключи в виде идентификаторов GUID, которые и описывают (содержат параметры) установленные в системе компоненты. Лечение сводится к обходу всех представленных в ключе идентификаторов и проверке вложенных параметров (таких как stubpath), содержащих полные пути к исполняемым образам компонентов.

Интересные настройки реестра – секреты реестра Windows

В данной статье мы рассмотрим интересные, а может для кого и полезные настройки операционной системы Windows с помощью реестра. С помощью этих настроек Вы сможете отключить надоедающие Вам функции Windows или изменить их по своему вкусу.

Добавление своей папки на боковую панель

Давайте приступим и для начала я покажу как добавить свои директории на боковую панель диалогового окна Explorer’а «Открыть/Сохранить».

Мне кажется, что Вы хоть раз хотели, чтобы при открытии или сохранении файлов, Вы имели доступ к любимой директории одним кликом мыши. WinXP предлагает стандартный набор — Сеть, Мои Документы, Рабочий стол и т.д., что не всегда удобно. Если Вас данный набор ярлыков не устраивает, то можно добавить свои, например следующим образом:

1. Пуск->Выполнить->Regedit
2. Найдите ветку HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciescomdlg32
3. Щелкните правой кнопкой мыши на ключ comdlg32 и выберите Новый->Раздел
4. Назовите новый раздел PlacesBar
5. Щелкните правой кнопкой мыши на правой панели и выберите Новый->Расширенный Строковой параметр
6. Назовите его Place0
7. Щелкните правой кнопкой мыши на параметр Place0, выберите Изменить и пропишите в строке путь к желаемой директории, например C:Downloads или %USERPROFILE%Desktop
8. Аналогичным образом создайте параметры Place1, Place2, Place3, Place4, прописывая путь к желаемым директориям (максимальное количество ярлыков — 5)
9. Закройте Regedit.

Теперь давайте разберемся с клавишами клавиатуры, случайное нажатие на которых раздражает некоторых пользователей.

Отключение клавиши Windows

На некоторых современных клавиатурах присутствует клавиша Windows (как правило, логотип-флажок Майкрософт). Некоторым пользователям она мешает при быстрой печати. Чтобы отключить ее, нужно в реестре найти ключ

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlKeyboard Layout.

Создайте новый двоичный параметр, с заголовком Scancode Map и присвойте ему значение

00 00 00 00 00 00 00 00 03 00 00 00 00 00 5B E0 00 00 5C E0 00 00 00 00.

После перезагрузки клавиша Windows будет отключена.

Недостаточно места на диске

Если Windows постоянно выводит сообщения о том, что на диске мало места, то в разделе реестра

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplоrer

создайте параметр NoLowDiskSpaceChecks типа DWORD со значением, равным 1, — и Windows перестанет Вас оповещать.

Очистка файла подкачки перед перезагрузкой системы

Очистить файл pagefile.sys перед перезагрузкой системы. В данном файле может храниться конфиденциальная информация. Если данная опция включена, возможно, значительное увеличение времени выключения компьютера. Для того чтобы очищать этот файл сделайте вот что:

HKLMSYSTEMCurrentControlSetControlSession ManagerMemory Management

ClearPageFileAtShutdown:DWORD =1 или 0

Включать Num Lock при загрузке

Определяет состояние кнопки Num Lock при вводе логина и пароля. Windows XP отключает Num Lock в любом случае, даже если в BIOS состояние Num Lock находится в положении включено, для того чтобы контролировать этот параметр используйте следующие настройки:

HKEY_USERS.DEFAULTControl PanelKeyboard

InitialKeyboardIndicators:DWORD =2 — Num Lock включен, 0 — выключен

Автоматически выгружать не используемые библиотеки

При выключении компьютера в памяти загружено много ненужных библиотек и поэтому компьютер может очень долго выключаться, можно настроить так, что при выключении компьютера эти библиотеки будут сами выгружаться. Если наблюдается нестабильная работа системы при включенной опции, отключите её. Используйте следующие настройки:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer

AlwaysUnloadDLL:DWORD = 1 — выгружать библиотеки, 0 — не выгружать

Отключить слежение Windows XP за пользователем

Операционная система Windows XP постоянно записывает действия пользователя, какие программы он запускал, какие открывал документы и т.д. В целях безопасности (да и просто, если охота) данную опцию можно отключить следующим образом:

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

NoInstrumentation:DWORD = 1 — отключить слежение, 0 — включить.

Но помните, что при выключенной опции НЕ БУДЕТ СОХРАНЯТЬСЯ список часто вызываемых программ, недавние документы и пр.

Запрашивать пароль после выхода из ждущего режима

Для того чтобы при выходе из ждущего режима операционная система запрашивала пароль Вам необходимо сделать вот что:

HKCUSoftwarePoliciesMicrosoftWindowsSystemPower

PromptPasswordOnResume:DWORD = 1 – запрашивать пароль

Показывать выполняемые команды при запуске и выходе из системы

Очень полезная настройка, с помощью которой Windows показывает информацию о выполняемых процессах во время загрузки системы. Поможет быстро выяснить, на запуск чего система тратит много времени и если возможно, отключить не нужные сервисы. Для этого сделайте следующее:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem

verbosestatus:DWORD значение 1 — показывать, 0 — стандартная загрузка

Не показывать имя последнего пользователя

В операционной системе Windows, при загрузке системы, когда Вы вводите пользователя и пароль, сохраняется этот пользователь, т.е. при следующем запуске он там уже будет стоять, нужно просто ввести пароль, но если Вы не хотите, чтобы он там сохранялся, Вам нужно сделать следующую настройку:

HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem

DontDisplayLastUserName:DWORD = 1 — убрать имя пользователя

Автоматически перезагрузить компьютер

Операционная система Windows всегда думает о пользователях, не прошёл мимо и факт зависания компьютера. Теперь Вам не надо тянуться к кнопке Reset (перезагрузка), компьютер может перезагрузиться самостоятельно, если произойдет непоправимая ошибка. Данную опцию можно настроить в «Свойствах системы», вкладка «Дополнительно», раздел «Загрузка и восстановление». А в реестре можно изменить следующую настройку:

HKLMSYSTEMCurrentControlSetControlCrashControl

AutoReboot: DWORD =1 – перезагружать компьютер, 0 – не перезагружать

Использовать свою программу дефрагментации диска

Дефрагментацию диска выполнять очень полезно, но многим стандартный дефрагментатор Windows не нравится, но Вы легко можете задать свою программу дефрагментации диска. Она будет вызываться, если Вы в свойствах диска, на вкладке Сервис нажмёте на кнопку «Выполнить дефрагментацию», для этого выполните следующие действия:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer MyComputerDefragPath

EXPAND STRING (По умолчанию), система использует следующую командную строку %systemroot%system32dfrg.msc %c:

С помощью параметра %с передается имя диска. Замените программу на свою и все!

Использовать свою программу очистки системы

При очистке системы, по умолчанию Windows XP использует утилиту для очистки системы — CleanUP, которая также многим пользователям не нравится, вы можете заменить её на свою, следующим образом:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorer MyComputercleanuppath

EXPAND STRING (по умолчанию), система использует следующую командную строку %SystemRoot%system32cleanmgr.exe /D %c

С помощью параметра %с передается имя диска. Для CleanUp если не задан параметр /D, то параметр %с игнорируется и система предлагает пользователю выбрать диск самостоятельно.

Проверка диска — изменение времени ожидания

При загрузке Windows после неправильного выключения запускается проверка дисков. При этом пишется что-то типа «Через 10 секунд начну проверять…«. Чтобы уменьшить время ожидания надо в разделе

HKLMSYSTEMCurrentControlSetControlSession Manager

создать или отредактировать параметр AutoChkTimeOut типа DWORD и присвоить ему значение в секундах. По умолчанию установлена пауза в 10 секунд. Если Вы присвоите ему значение больше чем 259200 секунд (около 3 дней), то будет использоваться значение по умолчанию.

Активация Windows

Если Вам понадобилось по каким-то причинам сбросить текущую активацию Windows, то Вам необходимо в разделе реестра

HKLMSOFTWAREMicrosoftWindowsNTCurrentVersionWPAEvents

изменить любую цифру в значении параметра OOBETimer. Это аннулирует текущую активацию. Далее запускаем активизацию системы, набираем в «Пуск -> Выполнить» следующее:

В окне «активизировать по телефону» вводим в окошке для серийника новый серийный номер.

Вот пока и все что я хотел рассказать и показать про настройки реестра или как многие называют – секреты реестра, т.к. в реестре можно изменить практически все, что можно настроить в Windows, т.е. в реестре хранятся все настройки операционной системы Windows, но не все умеют пользоваться этими настройками.

Источник

Hkcu software microsoft windows currentversion device access global

Сообщения: 36212
Благодарности: 6579

Сообщения: 15
Благодарности: 1

Вот ошибки выданные данной программой:
Главное меню Сведения об издателе

Обнаруженные проблемы
Необходимые приложения установлены неправильно.Необходимые приложения установлены неправильно.
Правильно установите приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana. Не исправлено Не исправлено
Установка приложений Завершено

Проверенные потенциальные проблемы
Проблемы разрешений с разделами реестраПроблемы разрешений с разделами реестра
Текущему пользователю нужно разрешение на доступ к такому разделу реестра: HKCU:SoftwareMicrosoftWindowsCurrentVersionDeviceAccessGlobal Элемент отсутствует
База данных плитки повреждена.База данных плитки повреждена. Элемент отсутствует
Манифест приложения поврежден.Манифест приложения поврежден. Элемент отсутствует

Обнаруженные проблемы Сведения об обнаружении

6 Необходимые приложения установлены неправильно. Не исправлено Не исправлено

Правильно установите приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana.
Установка приложений Завершено

Установка приложения может исправить проблемы с меню «Пуск».

Проверенные потенциальные проблемы Сведения об обнаружении

Проблемы разрешений с разделами реестра Элемент отсутствует

Текущему пользователю нужно разрешение на доступ к такому разделу реестра: HKCU:SoftwareMicrosoftWindowsCurrentVersionDeviceAccessGlobal

База данных плитки повреждена. Элемент отсутствует

Манифест приложения поврежден. Элемент отсутствует

Я когда устанавливал Windows послу естановки запускал скрипт скачанный с форума ру. д что бы отключить «слежку в системе» в том числе отключена кортана и другие службы. Но кнопка пуск отлично работала.

Источник

Hkcu software microsoft windows currentversion device access global

Сообщения: 36212
Благодарности: 6579

Конфигурация компьютера
ОС: Windows 10 Pro x64 Release Preview
» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Сообщения: 15
Благодарности: 1

Вот ошибки выданные данной программой:
Главное меню Сведения об издателе

Обнаруженные проблемы
Необходимые приложения установлены неправильно.Необходимые приложения установлены неправильно.
Правильно установите приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana. Не исправлено Не исправлено
Установка приложений Завершено

Проверенные потенциальные проблемы
Проблемы разрешений с разделами реестраПроблемы разрешений с разделами реестра
Текущему пользователю нужно разрешение на доступ к такому разделу реестра: HKCU:SoftwareMicrosoftWindowsCurrentVersionDeviceAccessGlobal Элемент отсутствует
База данных плитки повреждена.База данных плитки повреждена. Элемент отсутствует
Манифест приложения поврежден.Манифест приложения поврежден. Элемент отсутствует

Обнаруженные проблемы Сведения об обнаружении

6 Необходимые приложения установлены неправильно. Не исправлено Не исправлено

Правильно установите приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana.
Установка приложений Завершено

Установка приложения может исправить проблемы с меню «Пуск».

Проверенные потенциальные проблемы Сведения об обнаружении

Проблемы разрешений с разделами реестра Элемент отсутствует

Текущему пользователю нужно разрешение на доступ к такому разделу реестра: HKCU:SoftwareMicrosoftWindowsCurrentVersionDeviceAccessGlobal

База данных плитки повреждена. Элемент отсутствует

Манифест приложения поврежден. Элемент отсутствует

Я когда устанавливал Windows послу естановки запускал скрипт скачанный с форума ру. д что бы отключить «слежку в системе» в том числе отключена кортана и другие службы. Но кнопка пуск отлично работала.

Источник

Adblock
detector

Конфигурация компьютера
ОС: Windows 10 Pro x64 Release Preview
» width=»100%» style=»BORDER-RIGHT: #719bd9 1px solid; BORDER-LEFT: #719bd9 1px solid; BORDER-BOTTOM: #719bd9 1px solid» cellpadding=»6″ cellspacing=»0″ border=»0″>

Все изменения вносятся через редактор реестра, для вступления
некоторых параметров в силу может потребоваться перезагрузка.

Если, каких-то подразделов/параметров/значений нет, то их необходимо
создать вручную.

1.  Запрет смены обоев рабочего стола

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem

Параметр: dword название параметра: NoDispBackgroundPage значение:  = 1

Для разрешения параметр NoDispBackgroundPage удалить или сделать = 0

2.  Запрет использования USB

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR

Параметр: dword название параметра: Star значение: = 4

Для разрешения, установить значение = 3

3.  Запрет записи на внешние USB-диски

HKEY_LOCAL_MACHINESystemCurrentControlSetControl

Раздел: StorageDevicePolicies (если такового ключа нет, то создать его)

Параметр: dword название параметра: WriteProtect значение: = 1

Для разрешения = 0

Перезагрузка компьютера.

На Windows XP работоспособна только с установленным сервис-паком
2 или 3

4. Скрытие корзины на рабочем столе

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerDesktopNameSpace

Для скрытия: удалить {645FF040-5081-101B-9F08-00AA002F954E}

Для восстановления: добавить {645FF040-5081-101B-9F08-00AA002F954E}

Требуется обновление рабочего стола (F5).

5.  Скрытие Сетевого окружения с раб. стола (в панели управления остается)

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Для скрытия: создать NoNetHood   REG_DWORD  0x00000001

Для восстановления: NoNetHood   REG_DWORD  0x00000000

Требуется перезагрузка (выход-вход пользователя)

6.  Скрытие всех элементов рабочего стола (кроме кнопки пуск)

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Для скрытия: создать NoDesktop  REG_DWORD  0x00000001

Для восстановления: NoDesktop   REG_DWORD  0x00000000

Требуется перезагрузка (выход-вход пользователя).

7.  Надпись версии Windows

HKEY_CURRENT_USERControl PanelDesktop

Для показа: PaintDesktopVersion   REG_DWORD  0x00000001

Для скрытия: PaintDesktopVersion   REG_DWORD  0x00000000

Требуется перезагрузка (выход-вход пользователя).

8.  Нет списка документов в меню

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Удалить REG_BINARY 01 00 00 00  NoRecentDocsMenu

Для запрета создать REG_BINARY 01 00 00 00  NoRecentDocsMenu

9. Запрет показа скрытых файлов

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL

Параметр CheckedValue 1 — разрешено, 2 — нет

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced

Параметр  Hidden 1 — разрешено, 2 — нет

10. Недоступно свойство папки из меню сервис

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

значение NoFolderOptions изменить с 1 на 0

Требуется перезагрузка.

11. Скрыть пункт «Управление» в «Мой компьютер»

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Значение NoManageMyComputerVerb типа DWORD = 1

Требуется перезагрузка.

12. Скрытие значков дисков

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Значение NoDrives типа DWORD =

0х00000001 – диск А

0х00000002 – диск B

0х00000004 – диск C

0х00000008 – диск D

0х00000010 – диск E

0х00000020 – диск F и т. д.

Для сокрытия значков всех дисков можно использовать значение 0x03FFFFFF.

Для показа  значение = 0

Требуется перезагрузка.

13. Запрет на доступ к дискам

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Значение NoViewOnDrive тип DWORD =

0х00000001 – диск А

0х00000002 – диск B:;

0х00000004 – диск C:;

0х00000008 – диск D:;

0х00000010 – диск E:;

0х00000020 – диск F: и т. д.

Для сокрытия значков всех дисков можно использовать значение 0x03FFFFFF.

Для показа  значение = 0

Требуется перезагрузка.

Вступление

В данной статье будут рассмотрены основные ветки реестра Windows, а также их назначение. Список корневых разделов можно увидеть ниже:

• HKEY_LOCAL_MACHINE (HKLM)
• HKEY_USERS
• HKEY_CURRENT_CONFIG
• HKEY_CURRENT_USER
• HKEY_CLASSES_ROOT

Типы данных в реестре

В реестре могут храниться данные семи типов:

• REG_BINARY хранит произвольные двоичные данные в «сыром» виде, без переформатирования и синтаксического разбора. Эти данные можно просматривать в двоичном или шестнадцатеричном виде при помощи редактора реестра.
• REG_DWORD хранит параметры, представленные восьмибайтными (длинные) целыми числами. Этот тип данных обычно применяется, когда параметр обозначает счетчик или интервал. Еще одно его применение в качестве флага (0 — флаг снят, 1 — установлен).
• REG_SZ представляет собой обычную строку в кодировке Unicode любой длины. Наиболее часто в этом типе данных хранится информация, которая будет читаться пользователем, пути доступа, названия устройств и т.п.
• REG_EXPAND_SZ — вид REG_SZ, используемый приложениями для хранения конструкций вида %SystemRoot%System32, например. При чтении этой строки Windows заменяет %SystemRoot% на имя папки, куда она установлена.
• REG_MULTI_SZ представляет собой набор произвольного количества параметров типа REG_SZ. В этом типе данных хранится, например, список IP адресов, назначенных сетевому интерфейсу.
• REG_FULL_RESOURCE_DESCRIPTOR применяется для кодирования информации о системных ресурсах, необходимых для какого-либо из устройств.
• REG_NONE служит как семафор, т.е. параметр существует, но не содержит ни какого значения. Некоторые приложения проверяют наличие этого параметра и, исходя из результата проверки, выполняют или не выполняют действие.

При добавлении параметров в реестр нужно обязательно использовать тот тип данных, который указан в источнике, откуда взята информация о необходимости добавить параметр. Если тип данных не будет соответствовать тому, который ожидает найти приложение в указанном месте, то последствия могут быть непредсказуемыми.

HKEY_LOCAL_MACHINE (HKLM)

Раздел HKEY_LOCAL_MACHINE (HKLM) — хранит все настройки, относящиеся к локальному компьютеру. Например, в подразделе HARDWARE хранятся записи операционной системы и драйверов и совместно используемая (разделяемая) информация о физических устройствах, обнаруживаемых операционной системой во время загрузки (как и остальных устройств Plug-and-Play, которые могут быть добавлены после загрузки операционной системы). Приложения должны хранить здесь данные только в том случае, когда они относятся ко всем, кто пользуется компьютером. Например, драйвер принтера может хранить здесь набор настроек принтера, применяемых по умолчанию, и копировать эти данные для каждого профиля пользователя при входе пользователя в систему.

HKLMHardware

В разделе HKLMHardware хранится информация об устройствах, обнаруженных в компьютере. Все параметры этого раздела хранятся не на жестком диске, а в оперативной памяти. Когда компьютер распознает запуск устройства, он нумерует найденное устройство, исследуя шину и отдельные классы устройств (например, порты или клавиатуру). В этом разделе имеются три основных подраздела:

• Подраздел Descriptions содержит описания центральных процессоров, процессоров для операций вещественными числами («с плавающей точкой») и многофункциональных устройств компьютера.
• Подраздел DeviceMap сопоставляет устройства драйверам. Например, DeviceMapvideo имеет параметр с именем DeviceVideo1, содержащий строку REGISTRYMachineSYSTEMControlSet001ServicesmnmddDevice0, являющуюся указателем на место, где хранятся параметры для драйвера этого видеоконтроллера.
• В подразделе ResourceMap имеются три основных подраздела. Один — для уровня аппаратных абстракций (HAL, hardware abstraction layer), применяемый при отслеживании найденных устройств. Второй — для Plug-and-Play Manager, для записи устройств, про которые известно, как с ними работать. Третий — для отображения объема оперативной памяти.

Могут быть и дополнительные подразделы, в зависимости от конфигурации компьютера. Например, компьютеры с поддержкой интерфейса управления питанием (ACPI), будут иметь подраздел ACPI, содержащий информацию о конкретных возможностях ACPI на этом компьютере.

HKLMSAM

В разделе HKLMSAM хранятся локальные учетные записи или группы, созданные на компьютере. Раздел скрыт.

HKLMSecurity

В разделе HKLMSecurity содержится всевозможная информация, относящаяся к защите. Формат не документирован. Используется для кэширования верительных данных для входа в систему, настроек политики и разделяемых секретных данных сервера. Подраздел SecuritySAM содержит копию большинства данных из HKLMSAM

HKLMSoftware

Раздел HKLMSoftware — является корнем структуры подразделов, хранящих глобальную (в пределах компьютера) информацию приложений и компонент. Программы создают свои собственные подразделы в HKLMSoftware для храниения своей служебной информации. В разделе HKLMSoftwareMicrosoftWindowsCurrentVersion хранится большинство данных о настройках пользовательского интерфейса (GUI). Подраздел HKLMSoftwareMicrosoftWindows NTCurrentVersion, среди прочих, содержит разделы для автоматического восстановления, для шифруемой файловой системы, для редактора конфигурации безопасности, для терминальных служб и т.д

HKLMSystemCurrentControlSet

Последним действием фазы загрузки Windows является обновление реестра, которое должно зафиксировать набор служб и управляющих настроек, применявшийся при последней успешной загрузке. CurrentControlSet всегда указывает на набор управляющих настроек, используемых системой в текущий момент. В HKLMSystem есть много подразделов ControlSetXXX, каждый из которых описывает набор управляющих настроек, существовавших в какой-либо момент времени, независимо от того, была ли загрузка успешной или нет. CurrentControlSet является указателем на последний набор управляющих настроек, при котором загрузка была успешной. Поскольку трудно определить сразу, какая из загрузок была успешной, то операционная система и приложения пользуются указателем CurrentControlSet.
В разделе, описывающем набор управляющих настроек, среди прочих, имеются четыре следующих раздела:

• Control — Содержит управляющую информацию для служб и системных инструментальных средств. Например, ControlBackupRestoreKeysNotToRestore содержит список разделов, которые утилита Backup на должна восстанавливать при восстановлении реестра.
• Enum — Содержит по одному элементу данных для каждого из найденных системой устройств. Если устройство имелось на на момент загрузки, то оно будет включено в этот список.
• Hardware Profiles — Содержит по одному элементу данных для каждого из профилей оборудования, найденных на компьютере. Как и сам HKLMSystem, каждый профиль имеет порядковый номер, начинающийся с 0001. HKLMSystemHardware ProfilesCurrent всегда указывает на профиль, выбранный при загрузке.
• HKLMSystemMountedDevices — Тома динамических дисков зависят от наличия информации о текущей конфигурации о логических томах на диске. Приложения и оснастки берут эту информацию из службы Logical Volume Manager, которая хранит свой список смонтированных и доступных устройств и подразделе MountedDevices

HKEY_USERS (HKU)

Раздел HKEY_USERS (HKU) — содержит записи для каждого из пользователей, когда-либо входивших в систему. Владельцем каждой из этих записей является соответствующая пользовательская учетная запись, там содержатся настройки профиля этого пользователя. Если используются групповая политика, то задаваемые в ней настройки применяются здесь к профилям отдельных пользователей.

HKEY_CURRENT_CONFIG (HKCC)

Раздел HKEY_CURRENT_CONFIG (HKCC) — хранит информацию о текущей загрузочной конфигурации компьютера. В частности, здесь хранится информация о текущем наборе системных служб и об устройствах, имевшихся во время загрузки. На самом деле, этот корневой раздел является указателем на раздел внутри HKLM.

HKEY_CURRENT_USER (HKCU)

Раздел HKEY_CURRENT_USER (HKCU) указывает на профиль текущего пользователя (вошедшего в данный момент в систему) внутри HKU. Microsoft требует, чтобы приложения хранили все предпочтения пользователей в подразделах под HKCU. Например, HKCUSoftwareMicrosoftWindowsCurrentVersionAppletsPaint содержит личные настройки пользователей программы Paint.

HKEY_CLASSES_ROOT (HKCR)

Раздел HKEY_CLASSES_ROOT (HKCR) — сопоставляет расширения файлов и идентификаторы классов OLE. Фактически он указывает на HKLMSoftwareClasses. Система использует эти соответствия чтобы определить, какие приложения или компоненты нужно использовать при открытии или создании тех или иных типов файлов или объектов данных.