Пользователи, которые приобретают стационарные компьютерные терминалы или ноутбуки с уже установленной системой и сопутствующими программными продуктами, нередко сталкиваются с тем, что в «Диспетчере задач» постоянно виден активный работающий процесс KMService.exe. Что это за служба? Об этом знают далеко не все, а большинство людей и вовсе считает ее вирусом. На самом деле так это только отчасти.
KMService.exe: что за процесс?
Сам процесс, который всех так удивляет своим присутствием, вирусом не является. Он представляет собой службу, которая изначально появляется в системных процессах после активации нелицензионного MS Office 2010.
Ситуация такова, что многие пользователи (если не абсолютное большинство) выкладывать деньги за офисный пакет не хотят (или не могут). В свою очередь, установленный «Офис» по истечении определенного времени начинает требовать активации пакета. Вот тут на помощь и приходит специальное приложение, результатом работы которого является появление фонового процесса KMService.exe. Что это за программное обеспечение? Все просто!
KMService.exe: что это с точки зрения программного обеспечения?
Поскольку кода активации для «Офиса» у пользователя нет, то для его нормальной работы встроенное средство защиты от использования нелицензионных копий нужно как-то обмануть.
Для этого и применяется утилита mini-KMS Activator, позволяющая произвести активацию Office 2010 VL, установить ключи или сбросить статус пробной версии (Trial). Иными словами, активатор сообщает системе защиты офисного пакета, что за него заплачены деньги, и генерирует лицензию. Как правило, после запуска утилиты в ее портативном виде файл приложения и сопутствующие компоненты сохраняются по пути C:\Windows\KMService.exe или в одноименной с файлом папке корневой директории системы (хотя возможны и другие варианты).
Виды файлов и варианты их расположения после запуска
Если говорить о сохранении элементов утилиты вместе с исполняемым файлом после старта или установки основного приложения, то не всегда они могут находиться именно в основной папке системы.
Так, например, иногда можно встретить вариант сохранения по пути C:\Windows\actofvl\KMService.exe (в обновленной версии утилиты).
И именно основной EXE-файл отвечает за постоянное слежение за состоянием лицензии «Офиса» в течение определенного срока, производя ее реактивацию без участия пользователя. При этом, несмотря на размещение файла по пути C:\Windows\actofvl\KMService.exe, многие пользователи совершенно не обращают внимания на то, что запуск одноименного процесса можно увидеть еще и в так называемом «Планировщике заданий».
Другое дело – когда пользователь встречает такой исполняемый файл в директории System32 при включенном отображении скрытых объектов. Это уже говорит о том, что данный файл является вирусом, который маскируется под активатор. Как правило, сама программа в эту системную папку никогда и ничего не сохраняет. По всей видимости, удалить такой объект вручную не получится - придется использовать антивирусный сканер.
Почему срабатывает антивирус?
Часто еще на стадии первого запуска портативной версии штатные антивирусы (Windows Defender в том числе) выдают предупреждение о возможной угрозе.
В системном трее появляется сообщение о том, что запускаемый апплет содержит модифицированный HackTool:Win32/AutoKMS (или KeyGen). Это нормально, поскольку практически все антивирусы (за редким исключением) настроены таким образом, чтобы не пропускать в систему генераторы ключей (кейгены), устанавливая для них атрибуты потенциально опасного или нежелательного ПО, хотя на самом деле в теле программы (в программном коде) никой вирусной угрозы нет.
Тут срабатывает защита лицензирования (особенно, если запускается процесс для KMService Srvany.exe, который действительно может являться вирусом).
Но есть и другие разновидности вредоносных кодов и программ. Самая известная угроза, способная маскироваться под процесс KMService.exe, – печально известный вирус HKTL_KEYGEN. Но определить, вирус ли это, можно самому даже по размеру файла. Существует несколько модификаций с размерами 151,522 байт, 151,622 байт, 151,606 байт, 155,648 байт и 77,824 байт.
Насколько законно применение программы?
Продолжаем рассматривать процесс KMService.exe. Что это такое, мы уже разобрались. Посмотрим теперь на некоторые правовые аспекты.
С точки зрения международного законодательства, поскольку программный продукт MS Office 2010 защищен авторскими и правами интеллектуальной собственности, не говоря уже о множестве других правовых документов и норм, применять данную утилиту, разумеется, противозаконно. Использовать ее можно только на свой страх и риск. Но когда это нашего пользователя останавливало? Тем более что проверить действительную активацию офисного пакета онлайн невозможно даже при всех имеющихся в распоряжении корпорации Microsoft ресурсах.
Новая версия активатора
Рассматриваемая утилита является несколько устаревшей. Сегодня можно встретить более расширенную версию программы под названием KMSAuto Net.
Обновленная версия может активировать не только «Офис», но и генерировать лицензии всех известных модификаций самих Windows-систем. Кроме того, приложение построено таким образом, что ни антивирус, ни встроенный брэндмауэр уже не реагируют, а утилита запускается без проблем. И выпускается она исключительно в виде портативной версии, что полностью исключает реакцию со стороны защиты при попытке инсталляции.
Заключение
Как уже понятно, ситуация при появлении такого процесса среди системных служб катастрофичной не является. Правда, в зависимости от места расположения самого исполняемого файла, которое пользователь может отследить совершенно элементарно, придется принимать решение об удалении угрозы, особенно, если офисный пакет он устанавливал сам и не активировал при помощи одной из версий утилиты KMS.
