How can I remove Paint 3D on all systems in our enterprise?

Question

How can I remove Paint 3D on all systems in our enterprise?

Wenda, Leon 0

We currently have numerous clients with Paint 3D. The SIEM of our customer flags these as vulnerable since Paint 3D is deprecated. Trying to remove Paint 3D via Powershell and scheduled task doesnt seem to work properly. When the script is run on a client, Paint 3D is usually removed from the user account but its still detectable by the SIEM.

This is the powershell used so far:

Get-AppxPackage -AllUsers Microsoft.MSPaint | Remove-AppxPackage -ErrorAction SilentlyContinue

And ideas how to realiably get rid of Paint 3D?

0 Kommentare

3 Antworten

Ihre Antwort

Answer 1

VPHAN 44,940 Unabhängiger Berater

Hello Wenda, Leon,

I wanted to briefly follow up on the Paint 3D removal to ensure the SIEM alerts have ceased. As previously mentioned, the vulnerability scanner is flagging the application because the binaries still reside in the system image (C:\Program Files\WindowsApps) as a provisioned package, even after user-level removal. The critical resolution step is running Get-AppxProvisionedPackage -Online | Where-Object {$_.DisplayName -eq "Microsoft.MSPaint"} | Remove-AppxProvisionedPackage -Online in an elevated SYSTEM context; this physically deletes the application payload from the OS disk, which is the only method to permanently clear the detection.

If the issue has been successfully resolved, please consider accepting the answer as it helps other people sharing the same question benefit too. Thank you!

VP

Wenda, Leon 0 Zuverlässigkeitspunkte

2026-01-20T12:50:21.7133333+00:00

Hello VPHAN, first of all thank you for your input, I really appreciate it! Question: Do these steps with your corrected script need a connection to Windows Services or the Windows Store? (Im asking because of the -online flag). The customer in whose enterprise the error is happening, has the MS Store closed via GPO. Will it work regardless or will I run into problems with a closed MS store?

Thank you in advance!
VPHAN 44,940 Zuverlässigkeitspunkte Unabhängiger Berater

2026-01-20T16:41:59.7166667+00:00

Hallo Wenda, Leon, ihr könnt mit Zuversicht weitermachen; der -Online Parameter in diesem Zusammenhang ist streng genommen ein Zielschalter für das Deployment Image Servicing and Management (DISM)-Framework, keine Netzwerkanforderung. Er weist den Servicestack an, Änderungen am aktuell laufenden Betriebssystem-Image (dem Live-Betriebssystem) anzuwenden, anstatt eine offline WIM- oder VHD-Datei, die in einem Verzeichnis montiert wird. Der Entfernungsprozess beinhaltet das Löschen des Paketmanifests und der binären Nutzlast aus dem lokalen C:\Program Files\WindowsApps Verzeichnis und der internen Bereitstellungsdatenbank, was vollständig eine lokale Festplattenoperation ist. Folglich werden GPO-Beschränkungen, die die Microsoft Store-Anwendung blockieren oder Internetverkehr zu Store-Endpunkten verhindern, diese administrative Entfernungsaufgabe nicht beeinträchtigen, da keine Kommunikation mit Microsoft-Servern erforderlich ist, um ein Paket zu deprovisionieren.
VPHAN 44,940 Zuverlässigkeitspunkte Unabhängiger Berater

2026-01-24T09:48:16.24+00:00

Hallo, ich möchte fragen, ob das Problem erfolgreich gelöst wurde oder ob Sie die Erklärung hilfreich fanden. Wenn ja, erwägen Sie bitte, die Antwort zu akzeptieren oder dafür zu stimmen, da es auch anderen Menschen mit derselben Frage einen Vorteil bringt. Vielen Dank!

VP

Answer 2

Hallo Wenda, Leon,

Ich vergewissere mich, ob die vorgeschlagene Lösung bezüglich der Entfernung des bereitgestellten __ Pakets die Warnungen in Ihrem SIEM erfolgreich gelöscht hat. Wie bereits erwähnt, hat Ihr ursprüngliches Skript die Anwendung nur für Benutzer entregistriert, sodass die tatsächlichen ausführbaren Binärdateien im Systemstaging-Bereich bleiben, wo Schwachstellenscanner sie noch erkennen können. Sie müssen die Remove-AppxProvisionedPackage -Online Paint-3D-Dateien physisch aus dem Betriebssystemabbild löschen, was die einzige Methode ist, um sicherzustellen, dass die Software von Sicherheitstools nicht mehr auffindbar ist. Wenn die Erkennung auch nach der Deprovisionierung weiterhin besteht, lassen Sie es mich bitte wissen, damit wir untersuchen können, ob der Scanner verbleibende Registrierungsschlüssel oder bestimmte Dateipfade im WinSxS-Ordner markiert.

Wenn das Problem erfolgreich gelöst wurde, erwägen Sie bitte, die Antwort zu akzeptieren , da dies auch anderen mit derselben Frage zugutekommt. Vielen Dank! VP

Answer 3

Liebe Wenda, Leon,

Um Paint 3D und seinen Footprint zuverlässig zu eliminieren, muss man zuerst das bereitgestellte Paket entfernen, wodurch die eigentlichen Binärdateien aus dem Systemstaging-Bereich gelöscht werden, und dann bestehende Benutzerinstallationen bereinigen. Du solltest ein Skript ausführen, das über Remove-AppxProvisionedPackage das DISM-Modul oder PowerShell-Äquivalent zielt. Verwenden Sie folgende Logik: Get-AppxProvisionedPackage -Online | Where-Object {$_.DisplayName -eq "Microsoft.MSPaint"} | Remove-AppxProvisionedPackage -Online. Sobald das erledigt ist, folgen Sie Ihrem ursprünglichen Befehl Get-AppxPackage -AllUsers Microsoft.MSPaint | Remove-AppxPackage -AllUsers nach, um sicherzustellen, dass alle verbleibenden Benutzerregistrierungen gelöscht sind.

Dieser zweistufige Ansatz stellt sicher, dass die Anwendung vom Windows-Image selbst entfernt wird, wodurch Selbstreparaturmechanismen verhindert werden, dass es wiederhergestellt wird und die physischen Dateien, die Ihr SIEM erkennt, entfernt. Wenn Sie dies über SCCM oder Intune bereitstellen, stellen Sie sicher, dass das Skript im Kontext läuft SYSTEM , da die Deprovisionierung erhöhte Rechte erfordert, mit denen ein Standard-Administrator-Benutzertoken manchmal Schwierigkeiten haben könnte, wenn es nicht korrekt erhöht wird.

Ich hoffe, du hast hier etwas Nützliches gefunden. Wenn es dir hilft, mehr Einblicke in das Problem zu bekommen, ist es hilfreich, die Antwort zu akzeptieren. Sollten Sie weitere Fragen haben, können Sie gerne eine Nachricht hinterlassen. Schönen Tag!

VP