Пересилил природную лень и разобрал консолидатора procmon'om. После «название».dll идет описание этой длл.


%SystemRoot%\System32\wsqmcons.exe
SQM консолидатор Windows

Запуск руками. Далее происходящее:

Проверка на SafeBoot

Подгрузка библиотек
tdh.dll вспомогательная библиотека трассировки событий
wer.dll библиотека сообщений об ошибках
wevtapi.dll API настройки и использования событий
powrprof.dll DLL модуля поддержки управления питанием
xmllite.dll Microsft XMLLite Library
sppcext.dll Software Protection Platform Client Extension Dll
ktmw.dll Windows KTM Win32 Client DLL
reagent.dll Библиотека DLL агента восстановления MIcrosoft Windows
winhttp.dll Службы HTTP Windows
cabinet.dll Microsft Cabinet File API
rpcrt4.dll Библиотека удаленного вызова процедур
crypt32.dll API32 криптографии
sechost.dll Host for SCM/SDDL/LSA Lookup APIs
gdi32.dll GDI Client DLL
combase.dll Microsoft COM для Windows
WinSCard.dll API смарт-карт

— Девушка, позвольте с вами познакомиться — Чтение текущих языковых настроек
Чтение конфигурации оборудования из подразделов HKLM\System\ CurrentControlSet\ и HKLM\HARDWARE\DEVICEMAP\ VIDEO
Обращение к драйверам(файлам) видеокарты и к параметрам видео из реестра (Интелом побрезговало, Нвидию поизучало)
Считывание всех файлов из System32
Чтение из реестра:
HKLM\SOFTWARE\Microsoft\ Windows\CurrentVersion\Setup\SourcePath
HKLM\ SOFTWARE\Microsoft\ Windows\CurrentVersion\DevicePath
HKLM\System\ CurrentControlSet\ Control\Nls\CustomLocale
HKLM\System\ CurrentControlSet\ Control\Nls\ExtendedLocale
HKLM\SOFTWARE\ Microsoft\OLE\ PageAllocatorUseSystemHeap
HKLM\SOFTWARE\ Microsoft \OLE\ PageAllocatorSystemHeapIsPrivate
HKLM\SOFTWARE\ Microsoft \OLE\ AggressiveMTATesting
HKLM\System\ CurrentControlSet\Control\ SystemInformation\ SystemManufacturer
HKLM\System\ CurrentControlSet\Control\SystemInformation\ SystemProductName
HKLM\System\ CurrentControlSet\Control\SystemInformation\ BIOSVersion
HKLM\Software\Microsoft \windows\CurrentVersion\Internet Settings\Connections\*

— Третий лишний — Периодические проверки — выключены ли следующие товарищи (или включены?):
HKLM\SOFTWARE\Policies\ Microsoft \SQMClient\
HKLM\SOFTWARE\Microsoft\ Windows \Windows Error Reporting\
HKLM\SOFTWARE\Microsoft\ TelemetryClient\

— БД «Чтобы никто не догадался» (по моему) — Заполнение HKLM\SOFTWARE\ Microsoft\SQMClient\Windows\ CommonDatapoints\*

— Не понял — QueryDirectory C:\Windows\System32\drivers\*.mrk

— Ключ на старт. Зажигание. 3… 2… 1… — Чтение HKLM\System\ CurrentControlSet\ Services\ WinSock2\Parameters\*
Подгрузка сетевых библиотек (dhcpapi, dnsapi)
Чтение параметров TCPv4/TCPv6
Подгрузка mswsock.dll, wshqos.dll, schannel.dll

— Поехали — TCP Connect -> 65.55.252.93:https
TCP Send -> 65.55.252.93:https Lenght 192
TCP Receive -> 65.55.252.93:https Lenght 3800

— Юстас Алексу: Мама, роди меня обратно — Читается разная сертификатная криптография (напр. HKLM\Software\ Microsoft\ Cryptography\OID или HKLM\SOFTWARE\ Policies\ Microsoft\ SystemCertificates)
Между криптосертификатией проскакивают 2 одинаковых запроса к самому себе, с разным результатом:
QuerySecurityFile BUFFER OVERFLOW info: owner
QuerySecurityFile SUCCESS info: owner
далее опять запросы к сертификатам и так несколько раз по кругу. Проверка на вшивость?

— Радость сисадмина — Подгрузка gpapi.dll Клиентские функции API групповой политики
HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\Winlogon\ UserenvDebugLevel
HKLM\SOFTWARE \Policies\ Microsoft\ Windows\System\ GpSvcDebugLevel
Опять сертификаты/криптография из реестра и подгрузка fveui.dll
Подгрузка wuaueng.dll Агент центра обновления
Подгрузка powershell не понял?
Криптография из реестра (HKLM\ System\ CurrentControlSet\ Control\ Cryptography\*)
обращение к dll установленного EMET (CreateFileMapping)

— Центр-Юстасу: Держитесь — TCP Send -> 65.55.252.93:https Lenght 214
TCP Receive -> 65.55.252.93:https Lenght 107
Криптография из реестра (HKLM\ System\CurrentControlSet\ Control\ Cryptography\*)
Подгрузка dpapi.dll Data Protection API

— Юстас Алексу: Служу Советскому Союзу — TCP Send -> 65.55.252.93:https Lenght 213
TCP Send -> 65.55.252.93:https Lenght 2613
TCP Receive -> 65.55.252.93:https Lenght 389

— Торможение о плотные слои — QueryStandardInformationFile и CreateFileMapping к «C:\ProgramData\Microsoft\ windowssampling\Sqm\Manifest\Sqm3.bin», перемежаемые крипто из реестра

— Раскрытие парашюта — RegSetInfoKey:
HKLM\SOFTWARE\ Microsoft\ SQMClient\ Windows\ CommonDatapoints\*
HKLM\SOFTWARE\ Microsoft\Internet Explorer\ svcUpdateVersion
HKLM\SOFTWARE\ Microsoft\SQMClient\*
HKLM\SOFTWARE\ Microsoft\Reliability Analysis\RAC\ RacSampleNumber

— Приземление — Различные телодвижения с:
HKLM\SOFTWARE\ Microsoft\TelemetryClient\*
HKLM\SOFTWARE\ Microsoft\SQMClient\*
Закрытие TCP, выгрузка библиотек. Game Over.

Т.е. лицензия на Windows 10 (полученная обновлением коробочной Windows 7/8.1) обладает правом переноса (без ограничений по времени), а по факту выполнить чистую установку и активацию 10 на другом устройстве невозможно без (собственного) ключа, а установка коробочной 7/8.1 на новое устройство с последующим обновлением до 10 (именно так предлагает пользоваться правом переноса поддержка Microsoft) перестанет быть бесплатной после 28 июля 2016 г. Но это уже другой разговор…

...Во-первых, операционная система зачем-то автоматически удаляет на отдельных компьютерах некоторые установленные программы. Судя по сообщениям на форумах, среди «пострадавших» — CPU-Z, speccy, 8gadgetpack, клиент Cisco VPN, драйверы SATA, SpyBot, RSAT, F5 VPN, HWMonitor и другие. После обновления Windows программы можно без проблем установить обратно.

Во-вторых, после обновления Windows 10 изменяет некоторые настройки по умолчанию обратно на сервисы Microsoft. Опять же, потом дают возможность вернуть всё обратно.
...
С выходом Threshold 2 многие прониклись уважением к Microsoft. Компания действительно прислушалась к критике. После обновления следящий процесс DiagTrack исчез из списка сервисов. Эксперты отметили это, что стало ещё одним поводом похвалить Microsoft за хорошую работу над обновлением Threshold 2.

Только спустя две недели один из экспертов обратил внимание на «подлый трюк», как он его назвал. Оказывается, бывший сервис Diagnostics Tracking Service (DiagTrack) никуда не делся. Microsoft просто переименовала его в сервис Connected User Experiences and Telemetry.
...
Конечно, после переименования сервиса стали неактивными настройки пользователя. Если вы раньше остановили работу шпионского сервиса Diagnostics Tracking Service (DiagTrack), то сервис Connected User Experiences and Telemetry с той же функциональностью работает как ни в чём не бывало!

Метод отключения остаётся прежним: зайти в services.msc, найти Connected User Experiences and Telemetry и поменять запуск на Отключено.
...

Microsoft довольно своеобразно отреагировал на свалившуюся на него со всех сторон критику по поводу слежки за пользователями: как пишет сайт Techrepublic, новый апдейт популярной ОС позволит пользователям блокировать мониторинг, но только в Enterprise (корпоративной) версии. Об этом радостном событии было объявлено 12 ноября этого года.
...

Хотите обновиться на Windows 10 сейчас или вечером? То есть сейчас или сейчас? Это видимость выбора, которая не предусматривает отрицательного ответа.

В октябре прошлого года обновление до Windows 10 попало в список рекомендуемых. У многих пользователей рекомендуемые обновления скачиваются и устанавливаются автоматически. Как заявила Microsoft, тогда это произошло по ошибке. Уже в ноябре стало известно о планах вернуть это обновление в список рекомендуемых, но на этот раз уже официально.

За бесплатный апгрейд до Windows 10 отвечает обновление KB3035583. Оно в том числе устанавливает программу GWX (Get Windows 10). Последняя проверяет компьютер на совместимость с Windows 10. Если компьютер может запускать «десятку», то программа предлагает её установить. Настойчивость этого предложения постепенно переходит границы: в прошлом месяце кнопка «отказаться» исчезла, теперь можно лишь закрыть окно.
...
Для более простого укрощения GWX и обновления KB3035583 была написана утилита GWX Control Panel (в прошлом GWX Stopper). Она устанавливает нужные значения в реестре, удаляет иконки из области уведомлений и файлы, которые сложно удалить вручную, освобождает гигабайты, занятые файлами обновления.

Вуди Леонхард замечает, что новая версия обновления KB3035583 вводит фоновые процессы, которые дважды в сутки проверяют некоторые значения реестра. Затем она устанавливает их в изначальное состояние, если они были изменены.
...

...
Пока вы не избавитесь от ВСЕХ системных обновлений "Get Windows 10", всплывающее окно GWX продолжит появляться. Следует удалить:

KB2952664
KB3035583
C:\Windows\System32\GWX
C:\Windows\SoftwareDistribution\Download\ *KB2952664*
C:\Windows\SoftwareDistribution\Download\ *KB3035583*
ВСЕ записи реестра с KB2952664
(желательно) KB3035583

Так называемый «патч» для удаления GWX на самом деле только прячет значок с напоминанием "Get Windows 10" из трея, но не отменяет реальную инсталляцию назначенных обновлений Windows 10.

Microsoft крайне затруднила удаление GWX понятным способом. Его нельзя автоматизировать, и если вы пропустите одну из 80 записей в реестре, процесс возобновляется.

Количество записей в реестре зависит от того, какие предыдущие версии KB2952664 устанавливались и в каком количестве. Для изменения некоторых записей в реестре нужно переустановить разрешения, что затрудняет задачу.

Наш местный сисадмин и блогер Тревор Потт (Trevor Pott) советует системным администраторам предпринять три шага. Во-первых, запушить изменения в реестре через Group Policy Object (GPO). Во-вторых, убедиться в отсутствии установленных патчей GWX. В-третьих, заблокировать их в службе Windows Server Update Services (WSUS).

«Отсутствие прозрачности, особенно недостаток документации, создаёт огромные проблемы для корпоративных пользователей. Вероятнее всего, это «ложь через умолчание», сказал Потт, потому что документация многих патчей не описывает их поведение в полной мере.

«Microsoft уменьшает количество версий Windows и устраняет пользовательские функции для удаления, задержки, сокращения, фильтрации или блокирования патчей, — говорит Потт. — Сисадмины хотят получить ясное представление, что содержится в патчах, и контролировать все аспекты своих систем — а получают пакет неопределённой лжи, откровенной лжи и дезинформации».
...

...
Microsoft начала «рекламировать» переход на Windows 10 уже и в Internet Explorer.
...
Это реализовано с помощью патча KB 3146449 из обновления безопасности MS16-023, причём удалить отдельно патч нельзя, придётся удалять всё обновление или терпеть. Однако удаление обновления может снизить общий уровень защищённости системы.
...

...
Забавный случай произошёл вчера на американском телеканале KCCI 8. Во время утреннего прямого эфира метеоролог Метинка Слейтер (Metinka Slater) сообщала телезрителям новую информацию о грозах, которые перемещаются по территории штата Айова, предупредила о ливне. Тут на экране внезапно возникло окно с предложением обновиться на Windows 10.
...

...
Те, кто не желал обновляться, могли скрыть или удалить KB3035583, чтобы не получить случайное обновление своей операционной системы до Windows 10 (такое случалось и неоднократно). Но теперь, похоже, KB3035583 вновь активирован у многих пользователей предыдущих версий ОС от Microsoft. Во всяком случае, на факт реактивации KB3035583 жалуются очень многие — как на reddit, так и на различных форумах.

KB3035583 сейчас вошел в список рекомендованных обновлений. «Похоже на то, что KB3035583 вновь стал активным этой ночью. Те, кто не желает обновлять свою Windows 7, постарайтесь проверить активирован пакет или нет. Я использовал GWX Control Panel — изменил настройки реестра, но пакет вновь вернулся. Проверьте состав обновлений Windows, чтобы скрыть его снова», — говорит один из пользователей.
...

...
Microsoft раньше критиковали за то, что она предлагает ложный выбор: «Да, установить сейчас» или «Да, установить позже». То есть выбор ДА/ДА. Единственным способом отказаться от установки было отказаться от ответа на вопрос и закрыть окно, нажав X в правом верхнем углу. Пользователи уже привыкли к такой процедуре. За последние месяцы они десятки раз монотонно нажимали на этот крестик. И вот Microsoft вдруг изменила логику системы: теперь нажатие на крестик не только закрывает окно, но и… запускает процесс установки Windows 10!

То есть закрытие окна теперь расценивается как согласие на установку. Ловко, нечего сказать, в лучших традициях тёмных паттернов веб-дизайна.
...

это криптографический модуль выковырять из которого ключи можно только физическим вскрытием с использованием оборудования за 70к баксов.
Смыл в том что приватный ключ из системы стырить не удастся если её похачить, копирование в обход даст кашу, а копирование через с участием модулья может не одобрить сам модуль, в общем мастхев для организаций, — сервер то под замком, а для ноутбука получается бредятина, ноутбук стырят вместе с модулем XD.
зато открываются офигенные возможности для DRM модуль отправляет на сервер открытый ключик, там шифруется ваш MP3 и отсылает обратно, как результат файл оказывается намертво привязан к модулю,
Но думаю нас спасут китайцы продавая TPM модули на которых ключи в извлекаемой флешке хранятся, был бы спрос, а китайцы подтянутся.
...
тут подумал и пришёл к выводу это требование для OEM связано прежде всего не с DRM, а с политикой микрософта, в отношении 10ки — лицензия привязывается к железу, а за железом следит TPM.