Microsoft: установочные образы Windows 11 и Windows 10 требуют обновления антивируса для защиты от угроз

В прошлом месяце Microsoft выпустила обновление для Microsoft Defender, предназначенное для установочных образов Windows 11, Windows 10 и Windows Server. Данное обновление необходимо, поскольку образы могут содержать устаревшие антивирусные определения и устаревшие компоненты ПО. Иногда обновление не только повышают безопасность, но и улучшают производительность системы.

Во время установки Windows существует временный риск безопасности, связанный с устаревшей защитой Microsoft Defender, встроенной в установочные образы. Встроенное антивирусное ПО может не содержать актуальных определений угроз. Microsoft подчеркивает, что обновленные определения позволяют закрыть этот пробел в защите.

Последние определения угроз поставляются через пакет обновления безопасности с версией 1.429.122.0, которая также соответствует версии пакета Defender. Эти определения включают защиту от опасного Lumma Infostealer — вредоносной программы, затронувшей около 394 тысяч компьютеров с Windows по всему миру. Уязвимыми оказались почти все популярные браузеры: Google Chrome, Mozilla Firefox, Microsoft Edge и другие.

Обновление распространяется на следующие системы:

• Windows 11
• Windows 10 (редакции Enterprise, Pro и Домашняя)
• Windows Server 2022
• Windows Server 2019
• Windows Server 2016

Если вы планируете обновиться до Windows 11 (особенно с учетом недавнего обновления требований к процессорам в версии 24H2), эти определения являются критически важными.

Согласно бюллетеню безопасности Microsoft, версия 1.429.122.0 вышла в прошлом месяце и, помимо защиты от Lumma, добавила обнаружение различных троянов, эксплойтов и вредоносных бэкдоров. Актуальная на текущий момент версия определений угроз — 1.429.293.0.

Как обновить определения Microsoft Defender в установочном образе Windows

Шаг 1. Загрузка актуальных определений Microsoft Defender

Сачайте последние обновления Microsoft Defender Antivirus на нашем сайте с официальных серверов или перейдите на официальный сайт Microsoft для загрузки «Microsoft Defender Antivirus Security Intelligence Update for Offline»:

• Найдите раздел «Security Intelligence Updates for Microsoft Defender Antivirus» и скачайте версию MPAM-FE для своей архитектуры (обычно файл называется mpam-fe.exe).
• Убедитесь, что скачиваете пакет, предназначенный именно для Windows 10/11 (64-bit), Windows 11 (ARM64) или Windows 10/11 (32-bit), в зависимости от того, какой образ будете модифицировать.

Сохраните файл mpam-fe.exe в удобное место, например:

C:\Downloads\mpam-fe.exe

Шаг 2. Подготовка рабочих папок

Решите, на каком диске будет располагаться монтаж и куда будут временно распакованы определения. В примерах ниже используется диск C:. При необходимости замените C: на другой диск (например, D:), если на системном диске мало места.

В «Командной строке» (cmd.exe) от имени администратора выполните:

mkdir C:\Mount\Win
mkdir C:\Mount\Defender

• C:\Mount\Win – папка, в которую мы смонтируем содержимое install.wim.
• C:\Mount\Defender – папка, куда распакуем полученный файл mpam-fe.exe.

Dism /Cleanup-Wim

Это освободит ресурсы, связанные с предыдущим монтажом.

Шаг 3. Определение нужного индекса в файле install.wim

Подключите исходный установочный носитель (USB, виртуальный ISO и т. д.) или убедитесь, что у вас есть путь к файлу install.wim. В большинстве случаев он лежит в папке sources установочного носителя, например:

D:\sources\install.wim

где D: – буква вашего носителя или смонтированного ISO.

Узнайте, какие редакции Windows содержатся в install.wim, и номера их индексов:

Dism /Get-WimInfo /WimFile:"D:\sources\install.wim"

Пример вывода:

Deployment Image Servicing and Management tool
Version: 10.0.xxxxxx.x

Details for image : D:\sources\install.wim

Index : 1
  Name : Windows 11 Home
  Description : Windows 11 Home

Index : 2
  Name : Windows 11 Home N
  Description : Windows 11 Home N

Index : 3
  Name : Windows 11 Pro
  Description : Windows 11 Pro

Index : 4
  Name : Windows 11 Pro N
  Description : Windows 11 Pro N

...

Запомните (или запишите) номер индекса (Index), соответствующий редакции, в которую вы хотите встроить определения (например, Index 3 – «Windows 11 Pro»).

Шаг 4. Монтирование образа Windows

Вариант A. Через DISM (cmd.exe)

Выполните команду (замените D: и Index 3 на свои значения):

Dism /Mount-Wim /WimFile:"D:\sources\install.wim" /Index:3 /MountDir:C:\Mount\Win

• /WimFile:"D:\sources\install.wim" – полный путь к файлу установочного образа.
• /Index:3 – номер нужной редакции (из Шага 3).
• /MountDir:C:\Mount\Win – папка, куда будет «распакован» слой образа.

Если всё прошло успешно, DISM смонтирует файловую систему образа в C:\Mount\Win.

Вариант B. Через PowerShell (Mount-WindowsImage)

Если вы предпочитаете PowerShell, можно использовать командлеты из модуля «DISM»:

Import-Module Dism
Mount-WindowsImage -ImagePath "D:\sources\install.wim" -Index 3 -Path "C:\Mount\Win"

Убедитесь, что вы запускаете PowerShell от имени администратора и у вас установлен модуль DISM (он включён по умолчанию в Windows 10/11).

Шаг 5. Распаковка определений Microsoft Defender

Перейдите в папку, где у вас лежит mpam-fe.exe. Например:

cd C:\Downloads

Запустите распаковку (в тихом режиме) в папку C:\Mount\Defender:

mpam-fe.exe /Q /D C:\Mount\Defender

• /Q – тихий режим (без графических окон).
• /D C:\Mount\Defender – папка, куда будут извлечены все файлы.

После завершения распаковки в папке C:\Mount\Defender должны появиться следующие элементы (примерно):

C:\Mount\Defender\
├─ MpSigStub.exe
├─ MpDeploymentPackage.dat
├─ MpEngine.dll
├─ mpam-database\
│   ├─ <файлы определений с расширениями .vdm, .vds, .cld и др.>
│   └─ …
└─ …

Шаг 6. Копирование файлов определений внутрь смонтированного образа

Внутри смонтированного образа путь к папке с определениями обычно следующий:

C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default

Создайте эту папку, если она отсутствует:

mkdir "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default"

Скопируйте всё содержимое из C:\Mount\Defender в папку Default смонтированного образа:

xcopy "C:\Mount\Defender\*" "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default\" /E /I /Y

• /E – копировать все папки (включая пустые).
• /I – если целевая папка не существует, считать, что это папка, а не файл.
• /Y – не спрашивать подтверждения перезаписи.

Дождитесь завершения операции и убедитесь, что в папке:

C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default

появились файлы и подпапки (например, mpam-database, MpEngine.dll, .vdm, .sig и т. д.).

Проверка: после копирования выполните:

dir "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default"

Вы должны увидеть папку mpam-database и файлы вроде MpEngine.dll, MpSigStub.exe и т. д.

Шаг 7. Извлечение образа с сохранением изменений

Вариант A. Через DISM (cmd.exe)

Dism /Unmount-Wim /MountDir:C:\Mount\Win /Commit

• /Unmount-Wim – команда для «отсоединения» (демонтажа) образа.
• /MountDir:C:\Mount\Win – папка, где был смонтирован образ.
• /Commit – сохранить все изменения (иначе они пропадут).

Вариант B. Через PowerShell

Dismount-WindowsImage -Path "C:\Mount\Win" -Save

После успешного выполнения DISM или PowerShell смонтированная папка C:\Mount\Win будет освобождена, а файл install.wim обновлён: новые определения встроены в выбранный индекс.

Dism /Get-WimInfo /WimFile:"D:\sources\install.wim"

Шаг 8. (Опционально) Повторение для других индексов

Если требуется встроить определения сразу во все редакции (например, Home, Pro, Education и т. д.), выполните следующие действия для каждого нужного индекса:

• Смонтируйте образ для другого индекса:

  Dism /Mount-Wim /WimFile:"D:\sources\install.wim" /Index:2 /MountDir:C:\Mount\Win

• Создайте папку Definition Updates\Default, если её нет:

  mkdir "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default"

• Скопируйте файлы:

  xcopy "C:\Mount\Defender\*" "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default\" /E /I /Y

• Отмонтируйте с сохранением:

  Dism /Unmount-Wim /MountDir:C:\Mount\Win /Commit

• Повторите для каждого индекса.

Шаг 9. Очистка временных папок

После интеграции определений во все нужные индексы удалите временные папки:

rd /s /q C:\Mount\Win
rd /s /q C:\Mount\Defender

Это удалит и освободит место, занятое монтированным слоем и распакованными определениями.

Шаг 10. Создание собственного установочного носителя (ISO или USB)

После того, как install.wim обновлён, можно встроить его обратно в установочный носитель и создать загрузочную флешку или ISO-образ.

10.1 Копирование файлов на загрузочную флешку

• Если у вас есть оригинальная загрузочная USB-флешка (или смонтированный ISO в качестве виртуального диска), просто скопируйте все файлы на внешний носитель командой (из локального проводника или через Robocopy):

robocopy D:\ E:\ /MIR

где D:\ – буква вашего оригинального установочного источника (ISO или существующей флешки), а E:\ – буква вашей целевой USB-флешки.

• Замените файл install.wim на обновлённый:

copy /Y "C:\UpdatedSources\install.wim" "E:\sources\install.wim"

где C:\UpdatedSources\install.wim – путь к вашему файлу после демонтажа.

• Убедитесь, что флешка отформатирована в NTFS, если размер install.wim превышает 4 ГБ (FAT32 не поддерживает файлы больше 4 ГБ).

oscdimg -b"C:\Program Files (x86)\Windows Kits\Assessment and Deployment Kit\Deployment Tools\amd64\Oscdimg\efisys.bin" ^
-u2 -h -m -o -udfver102 ^
-bootdata:2#p0,e,b"C:\source\boot\etfsboot.com"#pEF,e,b"C:\source\efi\microsoft\boot\efisys.bin" ^
"C:\UpdatedSources" "C:\Win11_Custom.iso"

Шаг 11. Проверка работоспособности в установленной системе

• После установки Windows (с USB или ISO со встроенными определениями) запустите систему до подключения к Интернету.
• Откройте PowerShell или «Командную строку» от имени администратора и выполните:

  Get-ChildItem "C:\ProgramData\Microsoft\Windows Defender\Definition Updates\Default"

  Вы должны увидеть файлы определений (.vdm, .cld, MpEngine.dll и т. д.).
• Запустите «Безопасность Windows » > «Защита от вирусов и угроз» > «Обновления системы защиты», чтобы убедиться, что антивирус активен и использует встроенные определения.

Полезные рекомендации и нюансы

• Проверка прав администратора. Всегда запускайте CMD или PowerShell с правами администратора. Без этого DISM и XCOPY не смогут работать с системными файлами.

• Достаточно ли свободного места. Если на выбранном диске (C:, D: и т. д.) мало места, перенесите рабочие папки C:\Mount\Win и C:\Mount\Defender на другой диск, где свободно не менее 10 ГБ:

  mkdir D:\Mount\Win
  mkdir D:\Mount\Defender

  Далее используйте D:\Mount\Win в командах DISM и XCOPY.

• Выбор правильного пакета mpam-fe.exe.

  • URL: https://www.microsoft.com/en-us/wdsi/definitions
  • Выбирайте «Security Intelligence Update for Microsoft Defender Antivirus» &񗣂 «For Windows 10/11 (x64)» или «For Windows 10/11 (x86)».
  • Размер файла обычно ~200–250 МБ.

• Универсальность пакета. Как правило, mpam-fe.exe подходит и для Windows 10, и для Windows 11. Но если вы интегрируете в образ Windows Server (2016/2019/2022), лучше загрузить отдельный пакет «Security Intelligence Update for Microsoft Defender for Windows Server».

• PowerShell vs DISM. Команды PowerShell (Mount-WindowsImage и Dismount-WindowsImage) более «читабельны», но DISM в cmd.exe может быть привычнее для некоторых администраторов. Оба варианта работают одинаково.

• Интеграция в несколько индексов сразу. После монтирования каждого индекса и завершения копирования не забывайте выполнять демонтаж (/Commit), прежде чем приступить к другому индексу.

  • Структура процесса:
    • Смонтировать Index 1 > копировать определения > извлечение (Commit).
    • Смонтировать Index 2 > копировать определения > извлечение.
    • И т. д.

• Автоматизация через скрипт. Если требуется регулярно обновлять образы, можно написать PowerShell-скрипт, который:

  • Скачивает последний mpam-fe.exe (при наличии прямого URL).
  • Распаковывает его.
  • Монтирует все нужные индексы, копирует данные и демонтирует.

  Даже вручную описанные шаги занимают 5–10 минут.

• Обновление образа через Windows ADK. Если вы часто работаете с кастомизацией образов, установите Windows Assessment and Deployment Kit (ADK). Там есть утилиты Deployment and Imaging Tools и примеры использования DISM и oscdimg для создания ISO.

• Проверка целостности образа. После интеграции определений запустите проверку WIM на наличие ошибок:

  Dism /Cleanup-Image /WimFile:"D:\sources\install.wim" /CheckIntegrity

  или

  Dism /CheckHealth /WimFile:"D:\sources\install.wim"

  Это позволит убедиться, что образ не повреждён при копировании.

• Частота обновления образов. Поскольку база определений устаревает быстро (несколько дней), планируйте обновлять образ раз в 1–2 недели (или чаще, если нужно). Для этого можно автоматизировать процесс через PowerShell, а при выходе новой версии Windows собрать образ заново.

Краткий пример последовательности команд (для одного индекса)

REM ----- 1. Создаём папки -----
mkdir C:\Mount\Win
mkdir C:\Mount\Defender

REM ----- 2. Получаем информацию об индексах -----
Dism /Get-WimInfo /WimFile:"D:\sources\install.wim"

REM ----- 3. Смонтировать нужный индекс (например, Index: 3) -----
Dism /Mount-Wim /WimFile:"D:\sources\install.wim" /Index:3 /MountDir:C:\Mount\Win

REM ----- 4. Распаковка определений -----
C:\Downloads\mpam-fe.exe /Q /D C:\Mount\Defender

REM ----- 5. Создать папку Default, если её нет -----
mkdir "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default"

REM ----- 6. Скопировать определения внутрь образа -----
xcopy "C:\Mount\Defender\*" "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default\" /E /I /Y

REM ----- 7. Демонтировать образ с сохранением -----
Dism /Unmount-Wim /MountDir:C:\Mount\Win /Commit

REM ----- 8. Очистить временные папки -----
rd /s /q C:\Mount\Win
rd /s /q C:\Mount\Defender

Аналогичные команды для PowerShell

# ----- 1. Создаем папки -----
New-Item -ItemType Directory -Force -Path C:\Mount\Win
New-Item -ItemType Directory -Force -Path C:\Mount\Defender

# ----- 2. Получаем информацию об индексах (можно просто запомнить) -----
dism /Get-WimInfo /WimFile:"D:\sources\install.wim"

# ----- 3. Смонтировать индекс 3 -----
Mount-WindowsImage -ImagePath "D:\sources\install.wim" -Index 3 -Path "C:\Mount\Win"

# ----- 4. Распаковка определений -----
C:\Downloads\mpam-fe.exe /Q /D C:\Mount\Defender

# ----- 5. Если нужно – создаем папку Default -----
New-Item -ItemType Directory -Path "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default" -Force

# ----- 6. Копируем определения -----
Copy-Item -Path "C:\Mount\Defender\*" -Destination "C:\Mount\Win\ProgramData\Microsoft\Windows Defender\Definition Updates\Default" -Recurse -Force

# ----- 7. Демонтировать с сохранением -----
Dismount-WindowsImage -Path "C:\Mount\Win" -Save

# ----- 8. Удалить временные папки -----
Remove-Item C:\Mount\Win -Recurse -Force
Remove-Item C:\Mount\Defender -Recurse -Force