V10 events data microsoft com что это

Как Windows 10 собирает данные о пользователях

Информация о том, что Windows 10 собирает данные о пользователях, не нова. Еще в 2014 году компания Microsoft опубликовала заявление о конфиденциальности, из которого следует, что на ее серверы может передаваться информация об использованных программах, устройстве и сетях, в которых они работают. Эти данные могут объединяться с идентификатором пользователя (учетная запись Microsoft), также собирается информация об адресе электронной почты, предпочтениях, интересах местоположении, и многом другом.

Чешское издание Aeronet.cz опубликовало расследование неназванного ИТ-специалиста, который решил отследить активность Windows 10 по сбору данных. В ходе исследования использовались следующие инструменты: программа Destroy Windows 10 Spying, блокирующая передачу данных на серверы Microsoft, PRTG Network Monitor, Windows Resource Monitor и Wireshark. По мнению исследователя, Windows 10 — больше похожа на терминал по сбору данных, чем на операционную систему.

Cortana хочет знать о пользователе все

Наиболее активным «сборщиком» данных в новой ОС является голосовой помощник Cortana. Эксперимент чешского исследователя показал, что все голосовые запросы, переданные в динамик устройства, Windows 10 отправляет на следующие серверы:

vortex.data.microsoft.com vortex-win.data.microsoft.com telecommand.telemetry.microsoft.com telecommand.telemetry.microsoft.com.nsatc.net oca.telemetry.microsoft.com oca.telemetry.microsoft.com.nsatc.net sqm.telemetry.microsoft.com sqm.telemetry.microsoft.com.nsatc.net watson.telemetry.microsoft.com watson.telemetry.microsoft.com.nsatc.net redir.metaservices.microsoft.com choice.microsoft.com choice.microsoft.com.nsatc.net df.telemetry.microsoft.com reports.wes.df.telemetry.microsoft.com wes.df.telemetry.microsoft.com services.wes.df.telemetry.microsoft.com sqm.df.telemetry.microsoft.com telemetry.microsoft.com watson.ppe.telemetry.microsoft.com telemetry.appex.bing.net telemetry.urs.microsoft.com telemetry.appex.bing.net:443 settings-sandbox.data.microsoft.com vortex-sandbox.data.microsoft.com survey.watson.microsoft.com watson.live.com watson.microsoft.com statsfe2.ws.microsoft.com corpext.msitadfs.glbdns2.microsoft.com compatexchange.cloudapp.net cs1.wpc.v0cdn.net a-0001.a-msedge.net statsfe2.update.microsoft.com.akadns.net sls.update.microsoft.com.akadns.net fe2.update.microsoft.com.akadns.net diagnostics.support.microsoft.com corp.sts.microsoft.com statsfe1.ws.microsoft.com pre.footprintpredict.com i1.services.social.microsoft.com i1.services.social.microsoft.com.nsatc.net feedback.windows.com feedback.microsoft-hohm.com feedback.search.microsoft.com rad.msn.com preview.msn.com ad.doubleclick.net ads.msn.com ads1.msads.net ads1.msn.com a.ads1.msn.com a.ads2.msn.com adnexus.net adnxs.com az361816.vo.msecnd.net az512334.vo.msecnd.net 

При этом, исследователь заметил, что информация отправляется на серверы один раз в 15 минут (примерно по 80 мегабайт). Это слишком много для метаданных, поэтому он предположил, что сначала Cortana преобразовывает голосовые записи в текст, а затем отправляет на серверы Microsoft еще и wav-файлы с голосом (включая записи разговоров через SIP). Собранная текстовая информация хранится внутри встроенного в Cortana блокнота.

Если запретить коммуникацию с серверами из списка выше через файл hosts, то в дальнейшем программа будет выдавать ошибки.

Кроме того, некоторые пользователи уже успели пожаловаться на то, что Cortana продолжает работать в фоновом режиме, даже если ее отключить в настройках.

Кроме того, как выяснили журналисты издания Ars Technica, если пользователь отключит функцию поиска в интернете из меню «Пуск», осуществление такого поиска все равно приведет к отправке запроса на сервер Bing, который вернет файл threshold.appcache, в котором также содержится некая информация Cortana, включая ID-устройства, который сохраняется при перезагрузке.

В настоящий момент виртуальный помощник понимает только английский язык, а Microsoft уверяет, что вся собираемая им информация надежно защищена. Однако компания из Редмонда также заявляет, что по запросу соответствующих государственных органов, данные могут быть переданы им.

Для того, чтобы передавать меньше персональных данных, пользователь может не связывать Windows 10 с учетной записью Microsoft. В таком случае Cortana не будет работать, но поиск будет функционировать

Даже чаты с шифрованием не защищают текст

Также ОС отслеживает поисковые запросы пользователя, анализирует почтовую переписку, чтобы узнать предпочтения и расписание владельца компьютера. Кроме того, данные также передаются и поисковому движку Bing.

Как выяснил тот же чешский исследователь, собранная текстовая информация хранится во временных файлах, которые один раз в 30 минут передаются на следующие серверы:

oca.telemetry.microsoft.com.nsatc.net pre.footprintpredict.com reports.wes.df.telemetry.microsoft.com 

Сервер телеметрии собирает информации о географическом положении, IP-адресе. Footprintpredict передает данные движку Bing. При этом используется не только информация, введенная непоследственно в браузере, но и, к примеру, взятая из чатов — Windows 10 может «перехватывать» ввод любого установленного приложения. Таким образом, если пользователь в разговоре в мессенджере упомянет о том, что собирается в отпуск, после в браузере Edge ему будет показываться соответствующая реклама. Поскольку перехватывается ввод с клавиатуры, то даже при общении через защищенные мессенджеры, ОС может видеть, что вводит пользователь (но не видит, что ему прислали в ответ).

По заявлению исследователя, ему удалось обнаружить еще одну интересную особенность Windows 10 — если где-либо в ОС напечатать название известного американского фильма, то система осуществляет соответствующий поиск на жестком диске и индексирует медиафайлы. Индексный файл затем отправляется на серверы Microsoft:

df.telemetry.microsoft.com reports.wes.df.telemetry.microsoft.com cs1.wpc.v0cdn.net vortex-sandbox.data.microsoft.com pre.footprintpredict.com 

При этом, названия иностранных фильмов (например, чешских) не приводили к подобной активности ОС, также система не изучает содержимое файлов, поэтому если назвать файл с фильмом любым другим словом, то он не будет проиндексирован. Исследователь в своей статье предположил, что эта функциональность в будущем может быть использована для поиска контрафактного контента или создания таргетированных рекламных объявлений о покупке фильмов.

Веб-камера тоже передает данные

После активации Windows 10 и после первого запуска веб-камеры она отправляет около 35 мегабайт данных на следующие серверы:

ca.telemetry.microsoft.com oca.telemetry.microsoft.com.nsatc.net vortex-sandbox.data.microsoft.com i1.services.social.microsoft.com i1.services.social.microsoft.com.nsatc.net 

Исследователь заметил только один случай отправки данных веб-камерой, но предполагает, что возможно она отправляет информацию с длинным интервалом (дни или недели). В своем материале он заявляет о том, что не знает, для чего конкретно может использоваться информация с веб-камеры, но учитывая, что Windows — это система, применяющаяся во многих даже самых крупных международных компаний, подобная функциональность потенциально может приводить к утечке важных данных.

Все данные, передающиеся на серверы Microsoft, зашифрованы, поэтому понять, что конкретно отправляет система без необходимости взлома шифрования, просто невозможно.

Журналисты Ars Technica отключили передачу телеметрии с помощью групповых политик, но система все равно периодически посылала информацию на сервер ssw.live.com

Представители Windows заявили изданию, что Windows 10 собирает только информацию, которая поможет в будущем улучшить предоставляемые пользователям сервисы. Тем не менее, не все пользователи рады тому, что система продолжает что-то отправлять на серверы Microsoft, даже если ей запретить это делать, и пытаются решить эту проблему самостоятельно, создав соответствующие инструменты. Так на Github выложен код программы DisableWinTracking, которая «использует некоторые известные способы отключения слежки в Windows 10».

• Блог компании Positive Technologies
• Информационная безопасность
• Разработка под Windows

Антивирус Windows 10 считает «критической угрозой» блокировку телеметрии Microsoft через файл HOSTS

Microsoft стала расценивать файлы HOSTS, в которых прописаны правила для блокировки серверов телеметрии Windows 10 как представляющие «критические» риски безопасности. Встроенный антивирус определяет угрозу как SettingsModifier:Win32/HostsFileHijack

Файл расположен по пути C:\Windows\System32\drivers\etc\hosts и может редактироваться только администратором устройства.

Данный файл используется для сопоставления имен хостов с IP-адресами без использования системы доменных имен (DNS).

Обычно файл используется для блокировки нежелательных сайтов, за счет указания редиректа на IP-адреса 127.0.0.1 или 0.0.0.0.

Например, если вы добавите следующую строку в файл HOSTS, то пользователи Windows не смогут получить доступ к www.google.com, Браузер посчитает, что пытаетесь подключиться к 127.0.0.1, т.е. к адресу локального компьютера.

127.0.0.1 www.google.com

Microsoft стала помечать файлы HOSTS, которые блокируют телеметрию Windows

С конца июля пользователи Windows 10 стали сообщать, что встроенная антивирусная программа «Защитник Windows» стала распознавать измененные файлы HOSTS как угрозу SettingsModifier:Win32/HostsFileHijack.

Если пользователь выбирает опцию «Подробнее», то антивирус сообщит, что устройство затронуто критической угрозой “SettingsModifier:Win32/HostsFileHijack” из категории Изменение параметров, которая является потенциально опасной.

Впервые о проблеме стало известно из блога BornCity. Хотя обнаружение взломов HOSTS не является чем-то неординарным, количество затронутых пользователей действительно поражало.

Массовые заражения нередко встречались раньше, но с текущим уровнем безопасности WIndows 10 все это было странно. Казалось, что это ложное срабатывание или безвредная проблема.

После тестирования оказалось, что срабатывание возникало после внесения в файл HOSTS правил для блокировки серверов телеметрии Windows 10. Даже при попытке сохранить изменения в файле отображалось предупреждение «Содержит вирус или потенциально нежелательное ПО». Также появлялись уведомления, что компьютер заражен SettingsModifier:Win32/HostsFileHijack.

По всей видимости, Microsoft недавно обновила сигнатурные определения Защитника Windows и настроила распознавание правил блокировки серверов телеметрии в файле HOSTS.

Таким образом, пользователи, которые блокируют телеметрию через HOSTS, получили предупреждение о заражении файла.

При тестировании были установлены домены, на которые реагирует Защитник Windows в файле HOSTS:

www.microsoft.com microsoft.com telemetry.microsoft.com wns.notify.windows.com.akadns.net v10-win.vortex.data.microsoft.com.akadns.net us.vortex-win.data.microsoft.com us-v10.events.data.microsoft.com urs.microsoft.com.nsatc.net watson.telemetry.microsoft.com watson.ppe.telemetry.microsoft.com vsgallery.com watson.live.com watson.microsoft.com telemetry.remoteapp.windowsazure.com telemetry.urs.microsoft.com

Если вы решите удалить угрозу, то Windows восстановит стандартный файл HOSTS.

Конечно, пользователи, которые таким способом блокируют телеметрию в Windows 10, могут проигнорировать угрозу, но в этом случае они рискуют пропустить реальный взлом HOSTS.

Разрешайте угрозу только, если вы хорошо понимаете потенциальные риски.

Microsoft пока никак не прокомментировала данные изменения в обнаружении.

Веб-сайты к которым подключается Windows 10 после чистой установки

Начиная с самых первых выпусков Windows 10, Microsoft часто подвергалась критике со стороны огромного числа пользователей, и даже со стороны правительственных учреждений в некоторых странах, таких как Нидерланды, за интенсивный сбор данных с помощью встроенных служб диагностики и телеметрии. В ответ Microsoft опубликовала список конечных точек, к которым Windows 10 подключается после чистой установки.

Список конечных точек для недавно выпущенной Windows 10 версии 1809.

Имея этот список в своих руках, опытные пользователи и администраторы могут заблокировать их, настроив сеть так, чтобы соединения с этими адресами не были установлены. Этот метод может иметь и отрицательный эффект, так как он может нарушить некоторые онлайн-функции ОС. Помимо серверов телеметрии, Windows 10 подключается к большому количеству сайтов различного назначения, включая OneDrive, службы Outlook, Microsoft Store, Windows Update и т. Д.

Microsoft опубликовала сведения о том, к каким адресам в сети Windows 10 1809 подключается после чистой установки. Это огромный список.

Windows 10 считает файл hosts вредоносным, если тот блокирует телеметрию

Рекомендуем почитать:

Xakep #294. Pentest Award

• Содержание выпуска
• Подписка на «Хакер» -60%

Журналисты Bleeping Computer обратили внимание, что с недавних пор Windows 10 и Windows Defender считают файл hosts (C:\Windows\system32\driver\etc\hosts) опасным, если в нем прописаны настройки, блокирующие сбор телеметрии.

По информации издания, с конца июля измененный файл hosts определяется как представляющий угрозу «SettingsModifier: Win32/HostsFileHijack». Если получив такое предупреждение пользователь нажимает «Подробнее», ему не объясняют ничего, лишь сообщают, что файл демонстрирует «потенциально нежелательное поведение».

Если пользователь согласится устранить «угрозу», система очистит файл hosts и вернет его к состоянию по умолчанию. Также есть возможность проигнорировать проблему, но это разрешит любые модификации hosts в будущем, в том числе и вредоносные.

Основатель Bleeping Computer, Лоренс Абрамс, отмечает, что в целом проблема ложноположительных срабатываний на файл hosts не нова, однако в последние недели люди вдруг стали массово жаловаться на подобные предупреждения (1, 2, 3, 4, 5).

Абрамс пишет, что он решил, будто дело опять в ложноположительных срабатываниях, но все же провел несколько тестов. Как оказалось, достаточно заблокировать через файл hosts серверы Microsoft, собирающие телеметрию, и тогда-то начинаются проблемы. В частности, проблемы возникают, если попытаться заблокировать следующие адреса.

• www.microsoft.com
• microsoft.com
• telemetry.microsoft.com
• wns.notify.windows.com.akadns.net
• v10-win.vortex.data.microsoft.com.akadns.net
• us.vortex-win.data.microsoft.com
• us-v10.events.data.microsoft.com
• urs.microsoft.com.nsatc.net
• watson.telemetry.microsoft.com
• watson.ppe.telemetry.microsoft.com
• vsgallery.com
• watson.live.com
• watson.microsoft.com
• telemetry.remoteapp.windowsazure.com
• telemetry.urs.microsoft.com

Из-за этого специалист пришел к выводу, что Microsoft, по всей видимости, недавно обновила Defender таким образом, чтобы он определял, если серверы компании были добавлены в файл hosts, и пользователь пытается блокировать сбор телеметрии.

В компании Microsoft пока никак не прокомментировали ситуацию.