Почему KMS-активаторы Windows и Office опасны

KMS-активатор опасен по трём причинам. Под видом активаторов распространяют шпионские программы и майнеры: в 2023–2025 годах так действовали группа Sandworm и кампания SteelFox. Почти каждый активатор просит отключить антивирус. А активация от него действует 180 дней и продлевается, только пока доступен поддельный сервер. К этому добавляется нарушение лицензии Microsoft с ответственностью по КоАП, ГК и УК РФ.

Это касается и активаторов для Windows 10 и 11, и KMS-активаторов для Office: устроены они одинаково. Ниже разбор, что именно находят в таких программах, как проверить свой компьютер, если активатор уже запускался, и чем его заменить.

Как работает настоящий KMS и что делает активатор

KMS (Key Management Service) — легальная служба Microsoft для корпоративной активации. Организация поднимает в своей сети узел KMS, активированный корпоративным ключом CSVLK, а компьютеры с общедоступными клиентскими ключами GVLK обращаются к нему и получают активацию. По документации Microsoft активация KMS действует 180 дней, клиенты должны продлевать её не реже раза в 180 дней, а сама схема включается, только когда в сети набирается 25 компьютеров с Windows или 5 с Office и Windows Server.

Активатор имитирует такой узел прямо на вашем компьютере или подставляет адрес чужого сервера в интернете. Windows или Office обращаются к нему, получают правильный по форме ответ и считают себя активированными. Ключи GVLK Microsoft публикует открыто, поэтому вся «работа» активатора сводится к поддельному серверу и задаче в планировщике, которая продлевает активацию. Именно эту программу вы и запускаете с правами администратора.

Что находят внутри активаторов

Самый задокументированный пример — кампания группы Sandworm, которую компания EclecticIQ описала 11 февраля 2025 года. С конца 2023 года злоумышленники выкладывали на торренты и форумы заражённый KMSAuto (архив «KMSAuto++x64_v1.8.4.zip»), всего аналитики насчитали семь связанных кампаний против пользователей Windows на Украине, с приманками в виде KMS-активаторов и поддельных обновлений Windows. Программа показывала обычное окно активации, а в фоне загрузчик BACKORDER отключал Windows Defender, добавлял папки в исключения антивируса командой Add-MpPreference и ставил троян удалённого доступа DcRAT.

Вторая кампания, SteelFox, не выбирала жертв. По данным «Лаборатории Касперского» с февраля 2023 года её распространяли через форумы и торрент-трекеры, в том числе русскоязычные, под видом активаторов Foxit PDF Editor, JetBrains и AutoCAD. После запуска с правами администратора она ставила майнер на основе XMRig и программу для кражи данных, включая данные банковских карт; к осени 2024 года защитные решения компании зафиксировали её более 11 000 раз.

В обеих кампаниях «попутчики» похожи: программы, которые крадут сохранённые в браузере пароли, cookie и данные банковских карт, майнеры, которые грузят процессор, и трояны удалённого доступа. Сам эмулятор KMS, даже без «попутчиков», Windows Defender тоже определяет как угрозу под именем HackTool:Win32/AutoKMS.

Как проверить компьютер, если активатор уже запускался

После активатора первым делом проверьте, работает ли Windows Defender и не добавлены ли в него чужие исключения: именно это делал загрузчик Sandworm. Откройте «Пуск», введите PowerShell, щёлкните «Windows PowerShell» правой кнопкой, выберите «Запуск от имени администратора» и выполните:

В ответ должна появиться таблица, где под обоими столбцами стоит True. False означает, что Microsoft Defender или его защита в реальном времени выключены. Если у вас установлен другой антивирус, Defender отключается штатно и False здесь нормален: тогда проверьте, что защита включена в самом стороннем антивирусе. Затем посмотрите исключения:

Если команда ничего не вывела, исключений нет. Если вывела пути, которые вы сами не добавляли (например, папки внутри C:\ProgramData или %AppData%: в %AppData% складывал свои файлы загрузчик Sandworm), удалите каждый, подставив путь из вывода целиком:

Потом запустите полную проверку: «Безопасность Windows» → «Защита от вирусов и угроз» → «Параметры сканирования» → «Полное сканирование» → «Выполнить сканирование сейчас». Результат появится в том же окне, найденные угрозы также видны в «Журнале защиты». Если на компьютере были сохранены пароли в браузере, после заражения стилером их меняют с другого, чистого устройства.

Где открыть «Параметры сканирования»

Узнать, активирована ли система через KMS, можно командой в «Командной строке» от имени администратора:

Сведения о лицензии появятся прямо в окне командной строки. Если в строке «Описание» стоит «VOLUME_KMSCLIENT channel», в строке «Канал ключей продуктов» указано «Volume:GVLK», а в строках «Зарегистрированное имя компьютера KMS» или «IP-адрес компьютера KMS» записан локальный адрес вида 127.0.0.x или незнакомый сайт, и при этом у вас не компьютер организации с собственным KMS, систему активировал активатор. У ключа, купленного для одного компьютера, в строке «Описание» будет RETAIL или OEM. Как его убрать, показано на примере удаления AutoKMS.

Почему активация через активатор слетает

Активация через эмулятор живёт ровно столько, сколько живёт сам эмулятор. Как только Defender удаляет его файлы или задачу в планировщике, продления прекращаются, и через 180 дней после последнего продления Windows возвращается в неактивированное состояние: появляется надпись об активации и блокируются настройки персонализации. Office в той же ситуации переходит в режим ограниченной функциональности: документы открываются, но не редактируются.

Сама схема KMS тоже меняется. 22 июля 2026 года Microsoft объявила KMS Hardware-Secured: в будущих выпусках Windows Server узел KMS должен будет доказать через модуль TPM, что работает на настоящем оборудовании, прежде чем активировать клиентов. Эмулятор на домашнем компьютере такую проверку не пройдёт. Обязательной аттестация станет со следующим LTSC-выпуском Windows Server, а когда клиенты Windows перестанут принимать узлы без неё, Microsoft пока не сообщила. Что это значит для тех, кто активировался эмулятором, мы писали в августе: Microsoft ломает KMS-активацию.

Юридические риски

Кто активировал Windows или Office активатором, пользуется программой без лицензии, и в России за это отвечают по трём кодексам. Для компаний это реальный риск при проверке, для частного лица ответственность наступает реже, но формально тоже есть.

По ч. 1 ст. 7.12 КоАП РФ за нарушение авторских прав в целях извлечения дохода штраф для граждан составляет от 1 500 до 2 000 рублей, для должностных лиц от 10 000 до 20 000, для юридических лиц от 30 000 до 40 000 рублей с конфискацией. Правообладатель вправе вместо убытков потребовать компенсацию по ст. 1301 ГК РФ: от 10 000 до 10 000 000 рублей или двукратную цену, которую обычно берут за законное использование. Уголовная ответственность по ст. 146 УК РФ наступает при крупном размере, то есть когда стоимость прав превышает 500 000 рублей: штраф до 200 000 рублей или лишение свободы до двух лет, а при особо крупном размере (свыше 2 000 000 рублей) до шести лет.

Когда KMS легален

KMS легален только в организации, которая купила корпоративные лицензии Microsoft и получила ключ узла CSVLK. Тогда собственный сервер в сети активирует компьютеры с ключами GVLK, и при 25 и более компьютерах с Windows это обычная схема для крупных компаний. Домашнему пользователю она недоступна, а в небольшой фирме, где меньше 25 компьютеров с Windows, узел KMS клиентов не активирует. Типичная ошибка такой схемы, когда компьютер не находит сервер, это 0xC004F074; корпоративные выпуски можно активировать и ключом, без сервера, как в инструкции для Windows LTSC и Корпоративной.

Чем заменить KMS-активатор

Замена активатору — ключ к той редакции, которая у вас установлена: Windows 11 Pro, Office 2021 Professional Plus или Office 2024 для дома. Ключ Windows вводится в «Параметры → Система → Активация» (в свежих сборках Windows 11 приложение подписано «Настройки») кнопкой «Изменить» в строке «Изменить ключ продукта», ключ Office — в окне активации Office или через учётную запись Microsoft, если ключ к ней привязывается; активация проходит через серверы Microsoft, антивирус отключать не нужно, и через 180 дней ничего не слетает. Если раньше стоял активатор, сначала удалите его и проверьте компьютер по шагам выше, иначе он может перехватывать активацию. Разница между лицензионной и пиратской системой подробно сравнивается в отдельной статье.

Ввод ключа в «Активации»

Если после ввода ключа появилась ошибка, первым делом проверьте, совпадает ли редакция ключа с установленной: разбор в статье «Этот ключ не подошёл». Ошибка 0xC004C020 означает превышение лимита активаций, решение здесь. Тем, кто ещё выбирает Office, поможет сравнение редакций Microsoft Office.

4.971086 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.98806 отзывов

Microsoft Office 2021 Professional Plus для Windows — бессрочный ключ

3 270 ₽2 270 ₽

В корзину

4.8935 отзывов

Microsoft Office 2024 Home — бессрочный ключ с привязкой

13 970 ₽10 970 ₽

В корзину

4.971086 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.98806 отзывов

Microsoft Office 2021 Professional Plus для Windows — бессрочный ключ

3 270 ₽2 270 ₽

В корзину

4.8935 отзывов

Microsoft Office 2024 Home — бессрочный ключ с привязкой

13 970 ₽10 970 ₽

В корзину

Дистрибутивы: Microsoft Windows 11 Professional, Microsoft Office 2021 Professional Plus, Microsoft Office 2024 Home.

Часто задаваемые вопросы

Бывает ли KMS-активатор без вирусов?

Гарантии нет. В 2023–2025 годах заражённые сборки KMSAuto выкладывали на торренты и форумы под видом обычных, и отличить их по виду нельзя. Даже «чистый» активатор требует прав администратора и отключённого антивируса.

Сколько действует активация через KMS?

180 дней с последнего продления. Активатор продлевает её задачей в планировщике, и как только антивирус удаляет эмулятор или задачу, через 180 дней Windows и Office снова становятся неактивированными.

Законно ли активировать Windows KMS-активатором дома?

Нет. Программа при этом используется без лицензии Microsoft. Если её используют в целях извлечения дохода, гражданину грозит штраф по ч. 1 ст. 7.12 КоАП РФ от 1 500 до 2 000 рублей, а правообладатель в любом случае может потребовать компенсацию по ст. 1301 ГК РФ.

Как узнать, что Windows активирована активатором?

Выполните cscript //nologo %windir%\system32\slmgr.vbs /dlv в командной строке от имени администратора. Строка «Описание» с VOLUME_KMSCLIENT вместе с IP-адресом компьютера KMS вида 127.0.0.x или адресом чужого сайта на домашнем компьютере означает активацию через активатор.

Можно ли легально использовать KMS в компании?

Да, если организация купила корпоративные лицензии и получила ключ узла CSVLK. Тогда собственный KMS-сервер активирует компьютеры с ключами GVLK, а схема включается от 25 компьютеров с Windows.

Что делать после удаления активатора?

Проверить Windows Defender и его исключения командами Get-MpComputerStatus и Get-MpPreference, запустить полное сканирование, сменить пароли с чистого устройства и активировать систему лицензионным ключом той же редакции.