Anti malware. Un caso comune.

I due report di Mxxxxxxxxxtes confrontano due scansioni eseguite in date diverse (26 ottobre 2024 e 1 luglio 2025) su un sistema Windows 11. Di seguito, trovi il confronto dettagliato tra i due report:

🔍 Informazioni Generali

📌 Osservazione : La scansione del 2025 ha impiegato molto più tempo nonostante abbia analizzato meno file. Questo potrebbe indicare un aumento della complessità o una maggiore profondità dell’analisi.

⚠️ Minacce Rilevate

🧾 Report del 26/10/2024

• HackTool.KMS : C:\WINDOWS\KMS-R@1n.exe
• RiskWare.KMS : Registrazioni nel registro di sistema correlate a task scheduler (Tasks\R@1n-KMS)
• PUP.Optional.BundleInstaller : File associati a utorrent web (update.exe, uninstall.exe)
• HackTool.AutoKMS : Chiavi del registro legate a OSppSvc.exe e SppExtComObj.exe

🧾 Report del 01/07/2025

• HackTool.AutoKMS : Modifiche simili al report precedente ma con alcune variazioni:
  • Nuovi file rilevati: KMS-R@1NHOOK.DLL
  • Alcuni file KMS sono stati rilevati come “AutoKMS” invece che solo “KMS”
• RiskWare.KMS : Sempre presenti le stesse voci nei Tasks Scheduler
• PUP.Optional.BundleInstaller : Stesso comportamento per utorrent web

📌 Osservazione : Le minacce principali rimangono sostanzialmente invariate tra le due scansioni, ma la versione aggiornata di Malwarebytes ha rilevato una minaccia in più (+1), probabilmente grazie a regole di rilevamento migliorate.

🧩 Dettaglio Minacce

📌 Osservazione : Il tool KMS è stato rilevato sia nel 2024 che nel 2025, suggerendo che il sistema è stato ripetutamente infettato o non è stato pulito correttamente. Il fatto che nessuna minaccia sia stata messa in quarantena rappresenta un rischio persistente.

📈 Confronto Temporale

✅ Conclusioni e Raccomandazioni

1. Persistenza del problema KMS :
   • Il sistema presenta tracce persistenti di uno strumento KMS (probabilmente utilizzato per attivare illegalmente Office o Windows).
   • Nonostante il tempo trascorso, queste minacce non sono state eliminate.
   • Raccomandazione : Rimuovere manualmente i file e le chiavi di registro rilevate oppure utilizzare uno strumento specializzato per eliminare definitivamente i componenti KMS.
2. Software Bundler (PUP) :
   • utorrent web è presente da entrambe le parti e classificato come PUP (Potentially Unwanted Program).
   • Raccomandazione : Disinstallare eventuali programmi non necessari e prestare attenzione durante l’installazione di software gratuito.
3. Mancata Quarantena :
   • Nessuna minaccia è stata isolata, quindi il rischio per il sistema permane.
   • Raccomandazione : Effettuare una scansione completa con azione di quarantena attiva oppure considerare l’utilizzo di un antivirus alternativo o complementare (es. Bitdefender, Kaspersky).
4. Aumento del tempo di scansione :
   • La scansione del 2025 è durata quasi 5 volte di più. Potrebbe essere dovuto a nuove funzionalità di analisi avanzata o a modifiche nel filesystem o nell’hardware.
   • Raccomandazione : Monitorare eventuali rallentamenti del sistema legati all’avvio automatico di Malwarebytes.

Se desideri, posso fornirti gli script per eliminare automaticamente le voci del registro o i file specifici rilevati.

Questa è una domanda molto importante e la risposta dipende da cosa hai attivato con gli strumenti KMS (che sono spesso usati per l’attivazione illegale di software Microsoft come Windows e Office).

🔍 Cosa sono gli strumenti KMS?

Gli strumenti KMS (Key Management Service) simula un server aziendale di attivazione per attivare prodotti Microsoft in modo non autorizzato. Non sono malware, ma RiskWare/PUP perché:

• Violano i termini d’uso del software.
• Possono lasciare porte aperte a modifiche di sistema.
• Sono frequentemente bloccati dagli antivirus.

🧠 Se elimini i file KMS, cosa succede?

✅ Se hai una licenza legittima:

Se hai acquistato una licenza valida per Windows o Office e il tool KMS era solo un errore o un residuo di installazioni passate, puoi eliminarlo senza problemi . I programmi continueranno a funzionare normalmente.

⚠️ Se NON hai una licenza legittima:

Se stai usando KMS per far credere al sistema che Windows o Office siano attivati senza averli realmente acquistati, eliminando i file KMS:

• Il sistema potrebbe segnalare che Windows o Office sono non autentici .
• Alcune funzionalità potrebbero essere limitate (es. personalizzazione desktop, aggiornamenti importanti, avviso nell’angolo destro dello schermo).
• Office , in particolare, potrebbe richiederti di attivarti manualmente o limitare l’utilizzo (sola lettura, nessuna modifica ai documenti).

💡 Cosa puoi fare prima di eliminare i KMS:

1. Verifica lo stato dell’attivazione di Windows

Apri PowerShell come amministratore e digita:

Questo ti mostra se Windows è attivato legalmente o meno.

2. Verifica Office (se installato)

Apri Word o Excel > Vai su File > Account > Informazioni su Product Key
Se vedi “Licensed to Volume License” o “KMS”, allora Office è stato attivato tramite KMS.

✅ Cosa succede dopo l’eliminazione dei file KMS

🛠️ Cosa puoi fare dopo aver eliminato i file KMS

Opzione 1: Acquista una licenza ufficiale

• Compra una licenza di Windows e/o Office.
• Usa slmgr /ipk <product key> per inserire il product key via riga di comando.

Opzione 2: Rimuovi completamente tracce KMS

Elimina questi file/chiavi (se non più necessari):

• File: C:\WINDOWS\KMS-R@1n.exe, KMS-R@1NHOOK.EXE, KMS-R@1NHOOK.DLL
• Cartella: C:\Windows\System32\Tasks\R@1n-KMS
• Chiavi registro:
  • HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\KMS-R@1n
  • HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\*

Opzione 3: Usare un tool di rimozione dedicato

Puoi utilizzare:

• KMS Tools by Ratiborus
• Re-Loader Activator – solo se vuoi ripristinare l’attivazione

📝 Conclusione

Se mi dici esattamente quali programmi stai usando (es. Windows 11 Pro, Office 2021), posso aiutarti a capire meglio cosa succederà dopo la cancellazione.

🔍 1. RiskWare.KMS

Cosa sono:

• Sono componenti legati a KMS ma non direttamente il tool eseguibile.
• Si tratta di chiavi del registro di sistema o file di configurazione usati dal sistema operativo per pianificare l’esecuzione automatica del tool KMS.

Dove si trovano:

• Chiavi del registro :
  • HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\R@1n-KMS\...
  • HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\KMS-R@1n
• File nel sistema :
  • C:\Windows\System32\Tasks\R@1n-KMS\Office16OneNote
  • C:\Windows\System32\Tasks\R@1n-KMS\Windows100Core

Pericolo:

• Basso , ma indica che il sistema è stato modificato per attivare illegalmente software Microsoft .
• Potenzialmente può permettere ad altre minacce di sfruttare le stesse chiavi per eseguire codice malevolo.

🧠 2. PUP.Optional.BundleInstaller

Cosa sono:

• PUP = Potentially Unwanted Program
• Sono programmi installati insieme ad altro software , spesso senza una chiara richiesta all’utente.
• In questo caso, il PUP è associato a utorrent web .

Dove si trovano:

• File:
  • C:\USERS\VCIEN\APPDATA\ROAMING\UTORRENT WEB\UPDATE.EXE
  • C:\USERS\VCIEN\APPDATA\ROAMING\UTORRENT WEB\UNINSTALL.EXE
• Chiave registro:
  • HKU\S-1-5-21-...\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\utweb

Pericolo:

• Non sono malware veri e propri, ma possono comportare rischi come:
  • Installazione di toolbar indesiderate
  • Modifica delle impostazioni del browser
  • Raccolta di dati utente
  • Scaricamento di ulteriore software potenzialmente dannoso

⚙️ 3. HackTool.AutoKMS

Cosa sono:

• È un tipo più sofisticato di HackTool.KMS.
• Usa tecniche avanzate per modificare i processi di sistema (es. OSppSvc.exe, SppExtComObj.exe) e aggirare i controlli di attivazione software.

Dove si trovano:

• Chiavi del registro :
  • HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\OSppSvc.exe
  • HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SppExtComObj.exe
• File nel sistema :
  • C:\WINDOWS\KMS-R@1NHOOK.DLL
  • C:\WINDOWS\KMS-R@1NHOOK.EXE

Pericolo:

• Medio : permette di manipolare i processi critici di Windows .
• Se lasciato attivo, può rendere il sistema vulnerabile a exploit futuri.

📦 4. Altro: File di Task Scheduler

I file in:

Questo serve per riattivare automaticamente Windows o Office ogni volta che il sistema si riavvia .

🧾 Riepilogo delle Minacce Rilevate

✅ Cosa puoi fare?

1. Elimina tutti i file e le chiavi KMS

• Puoi cancellare manualmente:
  • Il file: C:\WINDOWS\KMS-R@1n.exe
  • La cartella: C:\Windows\System32\Tasks\R@1n-KMS\
  • Le chiavi del registro correlate a KMS-R@1n e R@1n-KMS

⚠️ Attenzione: se hai Windows o Office attivati illegalmente, la rimozione potrebbe farli smettere di funzionare correttamente.

2. Disinstalla uTorrent Web o altri PUP

• Vai su Impostazioni > App > App e funzionalità
• Cerca “utorrent web” e disinstallalo se non lo usi.

3. Usa uno strumento dedicato per la pulizia

Puoi usare:

• Re-Loader Activator – solo se vuoi ripristinare l’attivazione dopo la rimozione
• CCleaner – per eliminare residui di programma
• Malwarebytes Premium – per migliorare il rilevamento e la rimozione automatica

🛡️ Consigli Finali

• Evita l’uso di tool KMS : Usare software piratato espone il sistema a rischi di sicurezza e può causare problemi legali.
• Acquista una licenza ufficiale di Windows e Office se li utilizzi regolarmente.
• Considera sistemi alternativi gratuiti come:
  • Linux (Ubuntu, Linux Mint)
  • LibreOffice invece di Microsoft Office

Se mi dici cosa usi (es. Windows 11 Pro, Office 2021, ecc.), posso aiutarti a capire cosa succederà dopo la rimozione dei KMS e darti indicazioni precise per reinstallare una versione legittima.

🧾 Cosa significa “Nessuna azione intrapresa” o “nessuna messa in quarantena”?

Nei report Maxxxxxxxtes che hai condiviso, ogni voce ha la dicitura:

Questo indica che:

• Il programma ha rilevato le minacce.
• Ma non ha rimosso né isolato nessun file o chiave di registro .
• Quindi: tutto rimane attivo sul tuo sistema .

⚠️ Quali sono i rischi?

1. HackTool.KMS / AutoKMS

• Sono strumenti per l’attivazione illegale di Windows e Office.
• Non sono virus, ma possono comportare questi problemi:
  • Violazione dei termini d’uso del software Microsoft
  • Possibili errori futuri se Microsoft aggiorna il sistema di attivazione
  • Potrebbero essere utilizzati da altri malware come backdoor
  • Alcuni antivirus potrebbero bloccarli in futuro come RiskWare

2. RiskWare.KMS

• Sono configurazioni nel registro e nei task scheduler legate ai tool KMS.
• Se lasciate, permettono al sistema di riattivare automaticamente il tool KMS all’avvio.
• Rischio: persistenza della modifica illegale

3. PUP.Optional.BundleInstaller

• Sono programmi installati insieme ad altro software (es. utorrent web).
• Possono comportare:
  • Modifiche al browser
  • Raccolta di dati utente
  • Installazione di toolbar o estensioni indesiderate
  • In alcuni casi, possono scaricare ulteriore software dannoso

✅ Cosa succede se lasci tutto così?

💡 Ti consiglio di chiederti:

• Stai usando Windows o Office piratati?
  • Se sì → Lasciarli può comportare limitazioni future o problemi legali.
• Usi davvero uTorrent Web o lo hai dimenticato lì?
  • Se no → Meglio disinstallarlo.
• Hai intenzione di acquistare una licenza legittima?
  • Se sì → Rimuovi i KMS e attiva con la tua chiave.
• Non vuoi modificare nulla?
  • Allora puoi lasciare tutto com’è, ma sappi che il sistema non è completamente pulito.

🛡️ Soluzione alternativa: Mantieni funzionalità senza rischi

Se vuoi evitare problemi futuri senza dover eliminare tutto subito, puoi:

1. Fare un backup manuale delle chiavi del registro KMS
   • Così, se elimini i file KMS e Windows si disattiva, puoi ripristinarli temporaneamente.
2. Disinstallare uTorrent Web
   • Per evitare PUP non necessari.
3. Acquistare una licenza legittima di Windows e/o Office
   • E poi rimuovere tutti i file KMS.
4. Mettere solo alcune voci in quarantena
   • Es. i file eseguibili come KMS-R@1n.exe, KMS-R@1NHOOK.EXE, lasciando però le chiavi del registro (se non sai come gestirle).

✅ Conclusione

Se mi dici cosa stai usando (es. Windows 11 Pro, Office 2021), posso aiutarti a capire come agire al meglio senza rompere nulla.