Вредные и подозрительные обновления для Windows - сюда

[Retif]

Бюллетень MS16-023: Когда критическое обновление безопасности Windows затрагивает не только безопасность

В минувшие дни Microsoft объявили о выпуске новых бюллетеней безопасности в числе которых содержится MS16-023. Задачей данного обновления безопасности является устранение критических уязвимостей в Internet Explorer позволяющих осуществлять исполнение произвольного кода.

Однако, в Microsoft решили, что вместе с критическими обновлениями безопасности своим пользователям так же можно установить и что-нибудь еще…


Все дело в том, что установив на свои компьютеры критическое обновление KB3139929 пользователи Windows 7 и Windows 8.1, помимо устранения уязвимостей, в довесок обнаружат в системном трее назойливое предложение обновиться до Windows 10.

В поисках объяснений происходящему внимательно вчитываемся в описание KB3139929 где нас уведомляют о том, что это обновление безопасности которое содержит правки не относящиеся к безопасности.



Вот так просто и не замысловато, под видом благодетели, в Microsoft предприняли новый шаг по распространению навязыванию как Windows 10, так и компонентов системы в которых пользователь явно не нуждался и получил оттуда откуда совершенно не ожидал.

В заключении хочется отметить тот факт, что обновление прилетает даже с отключением рекомендуемых и получением лишь критических обновлений безопасности. Отсюда можно сделать вывод, что пользователям Windows 7 / 8.1 теперь придется внимательно читать описания к каждому обновлению, дословно изучать бюллетени со всеми зависимостями, дабы убедиться в том, что они установят исключительно заплатки безопасности а не что-нибудь еще.

https://habrahabr.ru/post/278933/

[Retif]

Microsoft использует приёмы зловредов для продвижения Windows 10 перевод
Софт, Операционные системы, Информационная безопасность, Windows, Microsoft
Как многие успели заметить, Microsoft применяет настойчивую и постоянно изменяющуюся тактику для повторного запуска на компьютерах приложения "Get Windows 10" или GWX, так что от него довольно трудно избавиться.

Те, кто отклоняет предложение, вскоре снова сталкиваются с ним много раз [что некоторых очень раздражает — прим.пер.]. Для борьбы с GWX больше подходят методы борьбы с вредоносными программами.

GWX действительно похожа на вирус: она использует канал, предназначенный для одной цели (обновления безопасности), c другой целью (реклама); она изменяет «векторы» атаки»; использует «полиморфные» техники для обхода фильтров; постоянно изменяет установленные пользователем настройки и разрешения.

В технической прессе подробно освещали, как убрать обновление KB3035583, которое постоянно появляется в системе даже после удаления. Однако изучение проблемы показало, что KB3035583 — скорее симптом, а не причина повторного инфицирования GWX.

Обновление KB3035583 обычно переустанавливается с помощью другого обновления KB2952664. Как только '664 попало в систему ,'583 запрашивается с сервера для скачивания и установки. Таким образом, именно '664 может быть ключевым элементом для управления назойливой кампанией "Get Windows 10".

«Нынешние патчи [вроде GWX Control Panel — прим.пер.] не в полной мере исправляют эту ситуацию, и я не думаю, что они когда-либо исправят её, поскольку автор патча GWX изолирует только исполняемый файл GWX и обновление '583», — написал читатель, который провёл для нас подробное расследование.

Изучение работы обновления '664 объясняет, почему так сложно контролировать GWX. Обновление постоянно «мутирует» — оно часто изменяется и содержит иную нагрузку. Microsoft не документировала его поведение и уже давно отказалась от объяснений, что обновления KB делают на самом деле.

Системные логи содержат хронику частых изменений '664.

Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.2.1 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.2.3 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.3.0 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.4.1 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.4.4 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.5.3 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.6.1 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.7.4 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.8.2 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.9.6 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.9.8 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.10.5 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.14.2 Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.15.2
Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.1.3 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.2.1 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.2.3 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.3.0 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.4.1 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.4.4 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.5.3 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.6.1 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.7.4 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.8.2 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.9.6 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.9.8 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.10.5 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.14.2 Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.15.2
Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.2.1 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.2.3 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.3.0 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.4.1 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.4.4 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.5.3 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.6.1 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.7.4 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.8.2 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.9.6 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.9.8 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.10.5 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.14.2 Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.15.2

Windows Update считает каждую новую версию новым обновлением и новым объектом для инсталляции. Так что каждый раз, когда Microsoft изменяет номер версии KB2952664, все предыдущие попытки пользователя заблокировать обновление аннулируются.

Многие не знают, что удаление из системы KB3035583 или KB2952664 деинсталлирует только одну версию патча. Позже он будет переустановлен с альтернативной версией. Сам файл с пакетом KB2952664 кешируется в папке C:\Windows\SoftwareDistribution\Download. Фильтрация дампа реестра на тестовой машине показала более 80 записей реестра, связанных с установкой '583 и '664, главным образом в разделах HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\PackageDetect и HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages.

Пока вы не избавитесь от ВСЕХ системных обновлений "Get Windows 10", всплывающее окно GWX продолжит появляться. Следует удалить:

KB2952664
KB3035583
C:\Windows\System32\GWX
C:\Windows\SoftwareDistribution\Download\*KB2952664*
C:\Windows\SoftwareDistribution\Download\*KB3035583*
ВСЕ записи реестра с KB2952664
(желательно) KB3035583

Так называемый «патч» для удаления GWX на самом деле только прячет значок с напоминанием "Get Windows 10" из трея, но не отменяет реальную инсталляцию назначенных обновлений Windows 10.

Microsoft крайне затруднила удаление GWX понятным способом. Его нельзя автоматизировать, и если вы пропустите одну из 80 записей в реестре, процесс возобновляется.

Количество записей в реестре зависит от того, какие предыдущие версии KB2952664 устанавливались и в каком количестве. Для изменения некоторых записей в реестре нужно переустановить разрешения, что затрудняет задачу.

Наш местный сисадмин и блогер Тревор Потт (Trevor Pott) советует системным администраторам предпринять три шага. Во-первых, запушить изменения в реестре через Group Policy Object (GPO). Во-вторых, убедиться в отсутствии установленных патчей GWX. В-третьих, заблокировать их в службе Windows Server Update Services (WSUS).

«Отсутствие прозрачности, особенно недостаток документации, создаёт огромные проблемы для корпоративных пользователей. Вероятнее всего, это «ложь через умолчание», сказал Потт, потому что документация многих патчей не описывает их поведение в полной мере.

«Microsoft уменьшает количество версий Windows и устраняет пользовательские функции для удаления, задержки, сокращения, фильтрации или блокирования патчей, — говорит Потт. — Сисадмины хотят получить ясное представление, что содержится в патчах, и контролировать все аспекты своих систем — а получают пакет неопределённой лжи, откровенной лжи и дезинформации».

Официальная позиция Microsoft изложена ниже. Компания сказала нам следующее:

    «Потребители могут выбрать вариант не устанавливать обновление Windows 10 или удалить обновление из Windows Update (WU), изменив настройки WU. Приложение Get Windows 10 контролируется через контрольную панель менеджера уведомлений Windows 7 и Windows 8.1, и потребители могут отключить уведомления об апгрейде в системном трее. Значок приложения "Get Windows 10" тоже может быть удалён оттуда.

    Для IT-администраторов существует возможность отключить обновление через настройки групповых политик или ключ реестра DisableUpgrade. Все остальные ключи реестра не предназначены для контроля уведомлений или управления процессом апгрейда и не рекомендуются к использованию компанией Microsoft. См. KB3080351 для дополнительной информации».


Но это далеко не полная картина. Совет Microsoft не учитывает того факта, что GWX мутирует и удаление этих апдейтов не избавляет от появления GWX в будущем.

На прошлой неделе админам пришлось избавляться от обновления безопасности IE, которое создало новый вектор атаки для GWX. Похоже, неудобства пользователей не кажутся особой проблемой, так что Microsoft продолжает использовать эту рекламную схему.

В своё время компания Microsoft стремилась подчеркнуть, что облачные сервисы конкурентов не преуспеют, пока пользователи не станут им доверять. Но её сверхагрессивная тактика с приёмами, типичными для вредоносного ПО, и отсутствие прозрачности наталкивают на мысль, что Microsoft хорошо бы прибраться в своём собственном хозяйстве.

https://geektimes.ru/post/273004/

[shs]

я чо-то никак не пойму, если есть возможность в Политике указать, что я не хочу апгрейдиться на Win10 (а, IIUC, такая возможность существует), то нафига все эти пляски с бубном (с удалением и блокированием обновлений)? Запилите полику и все. 

[Retif]

kb2952664 сегодня опять прилетело. Уже в третий раз.

[airdwarf]

How to manage Windows 10 notification and upgrade options   

[Retif]

airdwarf, ну в принципе, про выключение из групповых политик у меня в первом посте написано.

[airdwarf]

Retif, на заборе тоже написано, а там - дрова мануал от вендора.

[Retif]

airdwarf, 

Полезные обновления:
https://support.microsoft.com/en-us/kb/3065987 - для Windows 7
https://support.microsoft.com/en-us/kb/3065988 - для Windows 8.1
Это наоборот, полезное обновление, добавляет дополнительные опции в групповые политики операционной системы пользователя. Установка этого обновления не останавливает скачивание Windows 10, нужно еще зайти в групповые политики: Computer Configuration / Administrative Templates / Windows Components / Windows Update Policy и уже там выключить обновление до новой ОС.

[Triangle]

После установки Обновления Microsoft KB3133977 для Windows 7, некоторые пользователи могут столкнуться с проблемой "Secure Boot Violation", которая не дает системе загрузиться.
Чтобы защитить системы пользователя от вредоносных атак, материнские платы ASUS обеспечивают функцию Microsoft Secure Boot по умолчанию. Эта функция выполняет проверку легальности загрузчика, чтобы загрузиться в ОС. Так как Windows 7 не поддерживает Secure Boot (https://technet.microsoft.com/ru-ru/library/hh824987.aspx), с обновлением KB3133977, система может обнаружить несогласованные ключи ОС, в результате сбоя загрузки.
Пожалуйста, измените настройки UEFI Secure Boot, как описано ниже; это позволит системе загружаться в операционную систему успешно.

http://www.asus.com/ru/support/faq/1016356/

[6wings]

взято с ру-борд:

### НЕрекомендуемые обновления ###
 
 *** Windows 10 migration ***
 -KB3021917  09.02.15  Обновление для Windows 7 (для перехода на Windows 10)
 -KB2990214  06.04.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3050265  02.06.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3065987  13.07.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3075851  03.08.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3083324  31.08.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3083710  06.10.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB2977759  06.10.15  Обновление для Windows 7 (для перехода на Windows 10) (заменен на KB2952664)
 -KB3102810  03.11.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3112343  01.12.15  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3121461  11.01.16  Обновление для Windows 7 (для перехода на Windows 10) (заменен на KB2952664)
 -KB3135445  02.02.16  Windows Update Client for Windows 7 (для перехода на Windows 10) (заменен на KB3138612)
 -KB3123862  03.02.16  Обновление для Windows 7 (для перехода на Windows 10)
 -KB3138612  01.03.16  Windows Update Client for Windows 7 (для перехода на Windows 10)
 -KB3035583-v3  22.03.16  Обновление для Windows 7 (для перехода на Windows 10)
 -KB2952664-v17  05.04.16  Обновление для Windows 7 (для перехода на Windows 10)
 -KB3150513  04.05.16  Обновление для Windows 7 (для перехода на Windows 10)
 
 *** Spy&Telemetry ***
 -KB971033   22.02.11  Windows Activation Technologies (обновления технологии проверки подлинности ОС)
 -KB2882822 07.10.13  Обновление для Windows 7 (Diagnostics and Telemetry tracking service) (заменен на KB3080149)
 -KB3022345 05.05.15  Обновление для Windows 7 (Diagnostics and Telemetry tracking service) (заменен на KB3068708)
 -KB3068708 02.06.15  Обновление для Windows 7 (Diagnostics and Telemetry tracking service) 
 -KB3080149 17.08.15  Обновление для Windows 7 (Diagnostics and Telemetry tracking service) 
 -KB3075249 17.08.15  Обновление для Windows 7 (Update that adds telemetry points) 
 -KB3081954 19.10.15  Обновление для Windows 7 (Update that adds telemetry points) 
 
 ### Другие обновления ###
 
-KB3071740  21.07.15  Обновление для Windows 7 (Hyper-V update for Windows virtual machines )
 
 *** TMP (временно не отнесенные в основной список) ***
-KB3020370  20.04.15  Update for Windows 7 (Cmitrust.dll) (для KB3020369)
 
 ### Скрипт для удаления не рекомендуемых обновлений (включает замененные обновления) ###

Код:
@echo off
 rem Windows 10 migration uninstall
 start /w wusa.exe /uninstall /kb:3021917
 for /L %%i in (1,1,7) do start /w wusa.exe /uninstall /kb:3035583
 start /w wusa.exe /uninstall /kb:2990214
 start /w wusa.exe /uninstall /kb:3050265
 start /w wusa.exe /uninstall /kb:3065987
 start /w wusa.exe /uninstall /kb:3075851
 start /w wusa.exe /uninstall /kb:3083324
 start /w wusa.exe /uninstall /kb:3083710
 start /w wusa.exe /uninstall /kb:3102810
 start /w wusa.exe /uninstall /kb:3112343
 start /w wusa.exe /uninstall /kb:3121461
 for /L %%i in (1,1,19) do start /w wusa.exe /uninstall /kb:2952664
 start /w wusa.exe /uninstall /kb:2977759
 start /w wusa.exe /uninstall /kb:3135445
 start /w wusa.exe /uninstall /kb:3123862
 start /w wusa.exe /uninstall /kb:3138612
 start /w wusa.exe /uninstall /kb:3150513
 rem Telemetry service uninstall
 start /w wusa.exe /uninstall /kb:2882822
 start /w wusa.exe /uninstall /kb:3022345
 start /w wusa.exe /uninstall /kb:3068708
 start /w wusa.exe /uninstall /kb:3080149
 start /w wusa.exe /uninstall /kb:3075249
 start /w wusa.exe /uninstall /kb:3081954 

[Retif]

Не пойму, что за обновление kb3156417? Rollup почему-то пишут.

[Retif]

Не пойму, что за обновление kb3156417? Rollup почему-то пишут.

Вот что нагуглилось:

    KB 3156417: May 2016 update rollup for Windows 7 SP1 and Windows Server 2008 R2 SP1.

This is the first of the new breed of nonsecurity patches. According to the KB article, it includes only two fixes, KB 3155039 and KB 3155218, both relatively benign. As of early Wednesday morning, the KB articles for those two fixes aren't available.

I installed KB 3156417 on a test machine and found that only the rollup envelope patch, KB 3156417, appears in the list of installed updates. That may present a problem, because neither KB 3155039 nor KB 3155218 can be uninstalled individually. You either remove the whole rollup -- both individual patches -- or leave it intact.

http://www.infoworld.com/article/3071689/microsoft-windows/new-windows-7-and-81-patches-usher-in-the-future-of-rollup-updating.html

Вроде всё нормально с этим обновлением, без приколов.

[shs]

Последний patch tuseday - это просто праздник какой-то
https://support.microsoft.com/en-gb/kb/3163622

MS16-072 changes the security context with which user group policies are retrieved. This by-design behavior change protects customers’ computers from a security vulnerability. Before MS16-072 is installed, user group policies were retrieved by using the user’s security context. After MS16-072 is installed, user group policies are retrieved by using the machines security context.

Symptoms
All user Group Policy, including those that have been security filtered on user accounts or security groups, or both, may fail to apply on domain joined computers.
Cause
This issue may occur if the Group Policy Object is missing the Read permissions for the Authenticated Users group or if you are using security filtering and are missing Read permissions for the domain computers group.
Resolution
To resolve this issue, use the Group Policy Management Console (GPMC.MSC) and follow one of the following steps:•Add the Authenticated Users group with Read Permissions on the Group Policy Object (GPO).
•If you are using security filtering, add the Domain Computers group with read permission.

https://social.technet.microsoft.com/Forums/en-US/e2ebead9-b30d-4789-a151-5c7783dbbe34/patch-tuesday-kb3159398?forum=winserverGP


В общем, после установки этого обновления перестают применяться политики пользователя. Для того, чтобы они начали применяться, надо давать разрешение на чтение на объекты GPO для аутентифицированых пользователей и/или компьютеров домена.


Updated: 16 June 2016, 13:06:01
У меня в домене на Win2k8R2 на всех объектах политик, к которым применялось Security filtering, пришлось добавлять разрешение на чтение для Authenticated Users и Domain computers.

[Retif]

Еще одна напоминалка про установку 10-ки:

«Извините, что отвлекаем вас, но это важно» — очередное последнее предупрежение?

Компания Microsoft, похоже, никак не смирится с мыслью, что в мире все еще могут быть люди, которые, мало того что используют ОС Windows предыдущих версий, так еще, многократно ответив «нет» на самые заковыристые вопросы по поводу возможности обновиться до Windows 10 (да-да, включая те знаменитые варианты, на которые никак невозможно было ответить нет), не собираются оказываться от этого своего убеждения и далее.

Специально для таких упрямцев выпущено еще одно, «последнее китайское» обновление KB3173040, вся 5,3 мегабайтная суть которого сводится к выводу на экран милой таблички, полностью закрывающей экран, следующего вида:

[Retif]

А вот и полезное обновление:

Срок минул, а напоминалки в иных системах как были, так и остались (возможно, неактивными). И вот (кто бы мог подумать?) в списке обновлений для Windows появилось оно — обновление KB3184143.

Это даже несколько неожиданно, но обновление на этот раз не устанавливает, а удаляет компоненты, направленные на получение бесплатного обновления. Да-да, Microsoft, как это странно не прозвучит, в данном случае прибирается за собой.

Список обновлений, которые устанавливали напоминалки и обновлялки, и которые будут удалены с установкой KB3184143:

KB 3035583 — Update installs Get Windows 10 app in Windows 8.1 and Windows 7 SP1
KB 3064683 — Windows 8.1 OOBE modifications to reserve Windows 10
KB 3072318 — Update for Windows 8.1 OOBE to upgrade to Windows 10
KB 3090045 — Windows Update for reserved devices in Windows 8.1 or Windows 7 SP1
KB 3123862 — Updated capabilities to upgrade Windows 8.1 and Windows 7
KB 3173040 — Windows 8.1 and Windows 7 SP1 end of free upgrade offer notification
KB 3146449 — Updated Internet Explorer 11 capabilities to upgrade Windows 8.1 and Windows 7

https://geektimes.ru/post/280668/