Удаление защитника windows 10 скрипт

Once again, after a Windows update, Windows Defender activated itself again. It finally bothered me enough to take an actual look at how to disable it permanently and reliably, in a fully automated way (a PowerShell script), on my Windows 10 20H2 (build 19042).

WARNING (please read me):
This script is not intended as a “stop/start” solution. It aims at disabeling permanently windows defender, even removing its files if you chose to. I made it as a malware analyst, for my usage, and decided to share it to help others. The “general public” might find another, easier to use solution that suit their need better.
I would also add that some alternative working solutions have been added in the comments of this article (many thanks to their writers !) : it’s definitly worth checking.

TL;DR : the final script can be found here : https://github.com/jeremybeaume/tools/blob/master/disable-defender.ps1

Registry configuration

First, I took some time to look at the registry configuration, where are the parameters located, and how/when the values were changed. Procmon, from SysInternals, is a very convenient tool for this kind of research.

I looked for registry access with “Defender” in the path, and this is the result:

Картинка с сайта: wirediver.com

We get a first idea of the configuration location, most interesting keys seems to be under HKLM\SOFTWARE\Microsoft\Windows Defender.

Then I proceeded to check the keys for each parameter.

First on the list is the “Real-Time protection”, modifying the key HKLM\SOFTWARE\Microsoft\Windows Defender\Real-Time Protection\DisableRealtimeMonitoring

Картинка с сайта: wirediver.com

Then the “cloud-delivered protection”, with the key HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet\SpyNetReporting :

Картинка с сайта: wirediver.com

(For reference, the key for “Automatic sample submission” is HKLM\SOFTWARE\Microsoft\Windows Defender\SpyNet\SubmitSampleConsent)

The “Tamper Protection” is next, using 2 keys: HKLM\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection (4 when disabled) and HKLM\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtectionSource (2 when disabled)

Картинка с сайта: wirediver.com

And lastly, exclusions are stored in subkeys of HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions depending on their type:

Картинка с сайта: wirediver.com

Now, one thing to note is that the Administrator (meaning members of the BUILTIN\Administrators group) cannot change those keys (only SYSTEM can):

An even as SYSTEM, with tamper protection off, writing is still not authorized:

Картинка с сайта: wirediver.com

So here we are :

• There is not option to disable “Tamper Protection” in powershel (that’s the point ….).
• We can’t edit the configuration directly in the registry, even as SYSTEM.

What I used to do was using Set-MpPreference to add whole drives as exception, but sometimes I would still get alerts : Defender is still running and analyzing my actions.

Of course, Microsoft provides ways and documentation to disable Defender, so let’s check them out.

Disable Defender: the Microsoft way

DisableAntiSpyware

Searching on the internet (like ), there seems to be a registry key for that, named DisableAntiSpyware. It is indeed read when opening the configuration:

Картинка с сайта: wirediver.com

2 Keys are read, one in the “main configuration” key, and one under HKLM\SOFTWARE\Policies. This second one, we can write, to let’s go for it!
I created it, Defender was still running, without warning or anything, so it doesn’t seem to have any effect. But it gets better, it is actually considered a Severe security alert!

Картинка с сайта: wirediver.com

Maybe we need to be more subtle, and use gpedit to edit this policy, let’s try that!

GPO

Here is what we get when editing the policy with gpedit :

Картинка с сайта: wirediver.com

The previous key is actually written by a service (svchost.exe -k netsvcs -p -s gpsvc) and another one is written in a policy object. This time is doesn’t raise a security alert, so the second key must be necessary. I also noted that a 3rd key is written when the tamper protection is off:

Картинка с сайта: wirediver.com

This 3rd key is written by MsMpEng.exe which happens to be the binary run by the Microsoft Defender service: this is the Defender userland engine. So, we should be good to go then?

Well, nothing is disabled yet, and after reboot …. the policy is removed! So this seems to be completely ignored.

Temporary solution

I finally managed to disable it, by adding a process exclusion (including regedit.exe):

Картинка с сайта: wirediver.com

Then, with “Tamper Protection” off, and as SYSTEM, the key HKLM\SOFTWARE\Microsoft\Windows Defender\DisableAntiSpyware finally becomes writable. Setting its value to 1 immediately stops Windows Defender:

So here we are! But …. no 🙂 This is still overwritten on reboot! This a good enough temporary solution, but as we need to disable the “Tamper Protection”, it cannot be scripted in PowerShell.

Disable Defender: the hacker way

How it works

So I did not found any way to configure Defender itself to stop running. But it actually runs in a Service, so maybe there is something there. The service cannot be modified using services.msc as we would usually do:

Картинка с сайта: wirediver.com

See how everything is greyed out?

We can also find the kernel drivers used by Defender, with msinfo32:

Картинка с сайта: wirediver.com

But, and that’s what we’re going to use : we can edit (at least for now) the registry keys associated to those services and drivers, in HKLM\SYSTEM\CurrentControlSet\Services\. We set they Start value to 4, meaning “Disabled”, and after next reboot, the services and driver will not be loaded / started, and so Defender will not be working anymore ! And indeed, after the reboot :

Картинка с сайта: wirediver.com

We’re good to go, finally! It’s weird that we can edit those registry keys, when services.msc doesn’t let us modify the service, but well … It works! Let’s script the whole thing.

Scripting in PowerShell

I put everything in a convenient script that disables what it can directly in defender (Set-MpPreference), then modify the registry to disable the services, and set itself up to run again after reboot, to complete the removal. I’ll break it down below.

First, I make sure to elevate to Administrator (mandatory, and actually used when the scripted is run after rebooting), and SYSTEM if psexec is available. SYSTEM is optional, but we need it to write in the registry to modify the parameters in case Defender would still re-enable itself one day (because it sure will …).

if(-Not $($(whoami) -eq "nt authority\system")) {
    $IsSystem = $false

    # Elevate to admin (needed when called after reboot)
    if (-Not ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole] 'Administrator')) {
        Write-Host "    [i] Elevate to Administrator"
        $CommandLine = "-ExecutionPolicy Bypass `"" + $MyInvocation.MyCommand.Path + "`" " + $MyInvocation.UnboundArguments
        Start-Process -FilePath PowerShell.exe -Verb Runas -ArgumentList $CommandLine
        Exit
    }

    # Elevate to SYSTEM if psexec is available
    $psexec_path = $(Get-Command PsExec -ErrorAction 'ignore').Source 
    if($psexec_path) {
        Write-Host "    [i] Elevate to SYSTEM"
        $CommandLine = " -i -s powershell.exe -ExecutionPolicy Bypass `"" + $MyInvocation.MyCommand.Path + "`" " + $MyInvocation.UnboundArguments 
        Start-Process -WindowStyle Hidden -FilePath $psexec_path -ArgumentList $CommandLine
        exit
    } else {
        Write-Host "    [i] PsExec not found, will continue as Administrator"
    }

} else {
    $IsSystem = $true
}

Then the script use the Set-MpPreference command to disable everything we can, adding exception for all drive leter, and disabling all available engines.

67..90|foreach-object{
    $drive = [char]$_
    Add-MpPreference -ExclusionPath "$($drive):\" -ErrorAction SilentlyContinue
    Add-MpPreference -ExclusionProcess "$($drive):\*" -ErrorAction SilentlyContinue
}

Write-Host "    [+] Disable scanning engines (Set-MpPreference)"

Set-MpPreference -DisableArchiveScanning 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableBehaviorMonitoring 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableIntrusionPreventionSystem 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableIOAVProtection 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableRemovableDriveScanning 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableBlockAtFirstSeen 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableScanningMappedNetworkDrivesForFullScan 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableScanningNetworkFiles 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableScriptScanning 1 -ErrorAction SilentlyContinue
Set-MpPreference -DisableRealtimeMonitoring 1 -ErrorAction SilentlyContinue

Write-Host "    [+] Set default actions to Allow (Set-MpPreference)"

Set-MpPreference -LowThreatDefaultAction Allow -ErrorAction SilentlyContinue
Set-MpPreference -ModerateThreatDefaultAction Allow -ErrorAction SilentlyContinue
Set-MpPreference -HighThreatDefaultAction Allow -ErrorAction SilentlyContinue

Then the services and drivers are disabled, and the script checks if it need to reboot :

$need_reboot = $false

# WdNisSvc Network Inspection Service 
# WinDefend Antivirus Service
# Sense : Advanced Protection Service

$svc_list = @("WdNisSvc", "WinDefend", "Sense")
foreach($svc in $svc_list) {
    if($(Test-Path "HKLM:\SYSTEM\CurrentControlSet\Services\$svc")) {
        if( $(Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\$svc").Start -eq 4) {
            Write-Host "        [i] Service $svc already disabled"
        } else {
            Write-Host "        [i] Disable service $svc (next reboot)"
            Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\$svc" -Name Start -Value 4
            $need_reboot = $true
        }
    } else {
        Write-Host "        [i] Service $svc already deleted"
    }
}

Write-Host "    [+] Disable drivers"

# WdnisDrv : Network Inspection System Driver
# wdfilter : Mini-Filter Driver
# wdboot : Boot Driver

$drv_list = @("WdnisDrv", "wdfilter", "wdboot")
foreach($drv in $drv_list) {
    if($(Test-Path "HKLM:\SYSTEM\CurrentControlSet\Services\$drv")) {
        if( $(Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\$drv").Start -eq 4) {
            Write-Host "        [i] Driver $drv already disabled"
        } else {
            Write-Host "        [i] Disable driver $drv (next reboot)"
            Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\$drv" -Name Start -Value 4
            $need_reboot = $true
        }
    } else {
        Write-Host "        [i] Driver $drv already deleted"
    }
}

# Check if service running or not
if($(GET-Service -Name WinDefend).Status -eq "Running") {   
    Write-Host "    [+] WinDefend Service still running (reboot required)"
    $need_reboot = $true
} else {
    Write-Host "    [+] WinDefend Service not running"
}

To execute after reboot, a shortcut is added in C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\, and deleted after use.

$link_reboot = "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\disable-defender.lnk"
Remove-Item -Force "$link_reboot" -ErrorAction 'ignore' # Remove the link (only execute once after reboot)

if($need_reboot) {
    Write-Host "    [+] This script will be started again after reboot." -BackgroundColor DarkRed -ForegroundColor White

    $powershell_path = '"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"'
    $cmdargs = "-ExecutionPolicy Bypass `"" + $MyInvocation.MyCommand.Path + "`" " + $MyInvocation.UnboundArguments

    $res = New-Item $(Split-Path -Path $link_reboot -Parent) -ItemType Directory -Force
    $WshShell = New-Object -comObject WScript.Shell
    $shortcut = $WshShell.CreateShortcut($link_reboot)
    $shortcut.TargetPath = $powershell_path
    $shortcut.Arguments = $cmdargs
    $shortcut.WorkingDirectory = "$(Split-Path -Path $PSScriptRoot -Parent)"
    $shortcut.Save()

Finally, if we don’t need to reboot, we can finish cleaning up : configure the registry, and delete the files if we wish to :

} else {
    if($IsSystem) {

        # Configure the Defender registry to disable it (and the TamperProtection)
        # editing HKLM:\SOFTWARE\Microsoft\Windows Defender\ requires to be SYSTEM

        Write-Host "    [+] Disable all functionnalities with registry keys (SYSTEM privilege)"

        # Cloud-delivered protection:
        Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Real-Time Protection" -Name SpyNetReporting -Value 0
        # Automatic Sample submission
        Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Real-Time Protection" -Name SubmitSamplesConsent -Value 0
        # Tamper protection
        Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender\Features" -Name TamperProtection -Value 4

        # Disable in registry
        Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name DisableAntiSpyware -Value 1
        Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Name DisableAntiSpyware -Value 1

    } else {
        Write-Host "    [W] (Optional) Cannot configure registry (not SYSTEM)"
    }


    if($MyInvocation.UnboundArguments -And $($MyInvocation.UnboundArguments.tolower().Contains("-delete"))) {

        # Delete Defender files

        function Delete-Show-Error {
            $path_exists = Test-Path $args[0]
            if($path_exists) {
                Remove-Item -Recurse -Force -Path $args[0]
            } else {
                Write-Host "    [i] $($args[0]) already deleted"
            }
        }

        Write-Host ""
        Write-Host "[+] Delete Windows Defender (files, services, drivers)"

        # Delete files
        Delete-Show-Error "C:\ProgramData\Windows\Windows Defender\"
        Delete-Show-Error "C:\ProgramData\Windows\Windows Defender Advanced Threat Protection\"

        # Delete drivers
        Delete-Show-Error "C:\Windows\System32\drivers\wd\"

        # Delete service registry entries
        foreach($svc in $svc_list) {
            Delete-Show-Error "HKLM:\SYSTEM\CurrentControlSet\Services\$svc"
        }

        # Delete drivers registry entries
        foreach($drv in $drv_list) {
            Delete-Show-Error "HKLM:\SYSTEM\CurrentControlSet\Services\$drv"
        }
    }
}

Write-Host ""
Read-Host -Prompt "Press any key to continue"

And we are done ! Final result can be downloaded here : https://github.com/jeremybeaume/tools/blob/master/disable-defender.ps1

It can be executed from anywhere in the file system. The parameter -Delete will delete the files linked to Defender after reboot. And it should work fine, until the Tamper Protection also protects the services ergistry key, which is bound to happen someday. I’m actually surprised it doesn’t already …

Что нам даст удаление Защитника Windows? Удалив защитник мы освобождаем системные ресурсы, решим вопрос с удалением фалов без спроса, а также избавимся от “дырявого” антивируса, главное не забыть заменить его на надежный.

И так удалив Windows Defender Мы:

• – Ускорим работу компьютера так как освободим ресурсы процессора и оперативную память, это особенно актуально для старых ПК да и новым не помешает.
• – Решим вопрос с активаторами системы и удалением файлами, которые перестанут бесследно пропадать без вашего ведома.
• – Освободим примерно 600 Мб., дискового пространства, немного, но возможно для кого-то и это хорошо.

Назвать защитника надежным нельзя, особенно вспоминая случай заражения хостинга сайта вредоносом который был замечен защитой самого хостинга. А чем был занят антивирус Windows в это время, наверное, отсылал отчеты в Microsoft.

Удалить защитник windows средствами самой системы не получиться, так как его удаление не предполагается. Для удаления защитника воспользуемся программой от стороннего разработчика.

Ссылка на официальный сайт утилиты вот тут.

Перед началом удаления нам нужно отключить функцию “Защита от подделки”.

Кликнув по защитнику, попадаем в главное окно “Кабинет”, жмем по иконке со щитом “Защита от вирусов и угроз”.

Картинка с сайта: leysan.by

Пункт “Параметры защиты от вирусов и угроз”, под ним – Управление настройками, кликаем по нему.

Картинка с сайта: leysan.by

Четвертый пункта “Защита от подделки”, перетягиваем ползунок в положение откл. 

Картинка с сайта: leysan.by

Соглашаемся с предупреждением системы безопасности.

Картинка с сайта: leysan.by

Все готово, теперь можно приступать к удалению защитника.

Картинка с сайта: leysan.by

Распаковываем наш архив прямо на рабочий стол.

Картинка с сайта: leysan.by

Нам нужно запустить файл DefenderKiller и нажать Да когда система безопасности попросит подтвердить действие.

Картинка с сайта: leysan.by

Программа запустилась, интерфейс у нее довольно простой, нам нужно первое действие, поэтому жмем на клавиатуре 1 и Enter.

Картинка с сайта: leysan.by

Программа проверила отключена ли защита от подделок, и предложила сделать резервную копию файлов антивируса на случай если мы передумаем. Нужна ли копия для восстановления решаем для себя сами.

Картинка с сайта: leysan.by

Процесс запущен, программа удаляет службы, драйвера и папки, ждем завершения процесса удаления windows defender и перезагружаем систему.

Картинка с сайта: leysan.by

Картинка с сайта: leysan.by

Защитник может не удалиться с первого раза, утилита нам об этом сообщит и предложит сделать перезагрузку системы и повторить, поэтому жмем Нет на окне предупреждения и перезагружаемся.

Картинка с сайта: leysan.by

После перезагрузки и повторного запуска утилиты мы видим что все прошло успешно, программа показывает список удаленных служб и папок защитника. Теперь можно установить свой любимый антивирус.

Картинка с сайта: leysan.by

Как видите процесс удаления защитника windows довольно прост и не занимает много времени к тому же все изменения при наличии бэкапа можно откатить обратно. На этом все. Всем успехов!

Защитник Windows — это антивирусное приложение, установленное по умолчанию в Windows 10. Защитник предназначен для защиты компьютера от вирусов и обеспечивает лучшую защиту от всех видов вредоносных программ. Однако, если вы предпочитаете использовать альтернативное решение для защиты вашего ПК, вы можете отключить Защитник Windows.

Во время установки, некоторые антивирусные программы просят пользователя вручную отключить Защитник Windows в Windows 10.

В предыдущей версии Windows отключить защитника Windows было легко. Параметры Защитника Windows позволяли включить или отключить защитник. В Windows 10 Fall Creators Update, Майкрософт перенесла параметры приложения в – Центр безопасности Защитника Windows.

Отключить Защитник Windows в Windows 10.

Ниже представлены 3 способа отключения Защитника Windows:

1. Временное – Возможность отключить защитник с помощью Центра безопасности Защитника Windows
2. Постоянное — Отключение Защитника Windows с помощью редактора реестра.
3. С помощью скрипта PowerShell

В первом случае, Windows 10 через непродолжительное время, обнаруживает, что Защитник отключен и включит его автоматически. Многим пользователям, вполне достаточно временного отключения.

Во 2 м и 3 случае — Защитник Windows в Windows будет полностью отключен.

Способ 1 — Отключить Защитник в Windows 10 с помощью Центра безопасности 

1. Откройте Центр безопасности Защитника Windows. Вы можете открыть Центр безопасности защитника Windows из меню «Пуск» или с помощью приложения «Параметры Windows», нажав сочетание клавиш Win + I и перейдя по следующему пути Обновление и безопасность → Защитник Windows → Открыть центр безопасности защитника Windows

Картинка с сайта: g-ek.com

1. В пользовательском интерфейсе приложения нажмите значок «Защита от вирусов и угроз».

Картинка с сайта: g-ek.com

1. На следующей странице нажмите ссылку «Параметры защиты от вирусов и угроз».

Картинка с сайта: g-ek.com

1. На следующей странице установите переключатель «Защита в реальном времени» в положение «Откл.». Это временно отключит Защитник Windows в Windows 10.

Картинка с сайта: g-ek.com

К сожалению, невозможно использовать описанный выше метод, если вам необходимо постоянно отключать Защитник Windows. Вместо этого вам нужно использовать Способ 2.

Примечание: Это не приведет к удалению значка Защитник Windows на панели задач, чтобы скрыть значок, обратитесь к следующей статье: Как отключить иконку Защитника Windows, в Windows 10 ?

Способ 2 — Отключить Защитник Windows в Windows 10.

Чтобы навсегда отключить Защитник Windows в Windows 10, выполните следующие действия.

1. Откройте «Блокнот» и вставьте следующий текст в новый текстовый документ:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]

"DisableAntiSpyware"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection]

"DisableBehaviorMonitoring"=dword:00000001

"DisableOnAccessProtection"=dword:00000001

"DisableScanOnRealtimeEnable"=dword:00000001

Картинка с сайта: g-ek.com

2. В «Блокноте» нажмите Ctrl + S или выберите пункт «Сохранить как» в меню Файл. Откроется диалоговое окно «Сохранить». Введите или скопируйте-вставьте следующее имя «Отключить Защитник.reg», включая кавычки. Двойные кавычки важны для обеспечения того, чтобы файл получил расширение * .reg, а не * .reg.txt. 
Вы можете сохранить файл в любом месте, например, «Рабочий стол».

Картинка с сайта: g-ek.com

3. Дважды кликните файл * .reg. которые вы создали. Подтвердите запрос UAC и нажмите «Да», чтобы внести изменения в реестр.

      4. Перезагрузите Windows 10.

Вы можете сэкономить время и загрузить готовые к использованию файлы реестра, с их помощью вы можете включить и отключить Защитник.

Загрузите файлы реестра «Отключить Защитник»

Примечание: Файл «Включить Защитник Windows 10.reg» позволяет снова включить защитника Windows. Поэтому нет необходимости создавать точку восстановления вручную перед отключением защитника, если вы планируете включить защитник Windows в будущем.

Способ 3 — Отключить Защитник Windows с помощью скрипта PowerShell

Ниже мы рассмотрим, как создать, простой скрипт PowerShell. При первом запуске, скрипт отключит «Защитник», запустив его второй раз, и он снова включит Защитник Windows. Вам нужно будет запустить сценарий от имени администратора, поскольку обычные пользователи не могут отключать Защитник Windows.

Шаг 1: Откройте «Блокнот» и вставьте в него следующее.

$preferences = Get-MpPreference

Set-MpPreference -DisableRealtimeMonitoring (!$preferences.DisableRealtimeMonitoring)

Сохраните его с расширением файла PS1.

Вы можете открыть PowerShell с правами администратора, указать его на этот скрипт и запустить его. Конечно, вам понадобится более простой способ сделать это, особенно если вы не можете запускать сценарии PowerShell .

Вы можете создать ярлык на рабочем столе, который будет запускать скрипт, вам нужно будет запустить ярлык с правами администратора.

Шаг 2: Кликните правой кнопкой мыши на пустой области рабочего стола и выберите «Создать» → «Ярлык». Вставьте следующее в поле «Укажите расположение объекта», но измените «Путь к скрипту» на фактический путь к скрипту который создали в Шаге 1.

%SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Bypass -File "Путь к скрипту"

После того, как вы создали ярлык, кликните на нем, правой кнопкой мыши и выберите «Запуск от имени администратора». Когда вы запускаете скрипт, Защитник Windows отключен, вы увидите всплывающее сообщение о отключении.

Внимание!

Защитник Windows не будет автоматически запущен. После того, как вы закончите выполнение нужных задач, вам нужно снова запустить этот скрипт и активировать Защитник Windows.

Все.

DefenderControlPlus — полное отключение или включение Windows Defender без детекта.

Страница 12 из 19