Как запустить сканирование реестра windows

The Windows registry is a database that contains important information about your computer — users, preferences, applications, attached devices and much more. The Windows operating system constantly refers to the registry; for example, to open a program, install new software or change your hardware, Windows must check the values of certain registry keys.

Once you’ve been running the Windows OS for some time — installing and uninstalling programs or swapping in different keyboards and mice — you end up with hundreds or thousands of registry entries that are completely useless. Each one uses very little hard drive space, but the operating system still has to run through all of them, which slows it down over time. By cleaning the registry, you can get rid of those unwanted entries and make your system run faster.

Sometimes, however, it is necessary to fix registry issues instead of just performing cleanup. For example, if you have ever encountered a piece of malware, you know that it can completely mess up your registry and disrupt your work.

You can change the values of registry keys manually using the built-in Windows Registry editor (regedit). But you need to know what you’re doing with this utility or you risk doing serious damage. This article explores how to fix registry issues in Windows 10/11.

Common Windows 10/11 Registry Errors Requiring Windows Registry Repair

First, let’s explore the most common issues with the Windows 10/11 registry and which ones are worth worrying about.

• Orphaned entries. Orphaned entries are small fragments of registry entries that can be left behind when you uninstall software. Registry cleaner software will often claim these are an immediate issue, but in reality, they just use up a few kilobytes of free space on your disk.
• Duplicate keys. Duplicate keys can be made when you reinstall, upgrade or update software on your machine, including the operating system. Registry cleaner software may state that your programs will be confused by the duplicate entries, slowing machine performance, but that is not true.
• Fragmented registry. The registry can become fragmented when software is uninstalled, upgraded or updated. Missing and orphaned files can cause errors.
• System shutdown errors. Each time your Windows 10/11 computer shuts down properly, a copy of the registry is saved to system memory. But if your computer is turned off or crashes without going through the normal shutdown routine, you could experience issues in the future. However, this is unlikely.
• Malware. Many types of malware modify the registry. In particular, by changing the values of startup keys, malware can ensure it is activated each time you restart the machine. Changes to the registry by malware require immediate attention.
• Accumulated junk, temporary files and system files. A registry disk cleanup removes these files to free up space and can potentially repair registry issues, so it’s worth doing on a regular basis.

Important: Back Up the Windows Registry!

Before beginning any registry errors fix, be sure you know what you are doing — and always start by making a registry backup. That way, you can revert to the old version if something goes wrong.

There are several methods for backing up your Windows registry:

• Using regedit
• Using the command prompt
• Using third-party software

How to Uncover and Repair Windows Registry Issues

To uncover issues with your registry that might be affecting your computer, perform a Windows registry scan using the Windows Registry Checker tool. The process will provide detailed data on all the registry errors discovered and how to fix registry errors.

There are several different ways to repair the Windows 10/11registry. Common ways for how to repair Windows 10 registry entries include the following: 

• Use automatic repair — Automatic repair will kick in when it experiences an unexpected error that results in your system shutting down. You don’t have to initiate this repair option.
• Restore the Windows registry from Safe Mode — Use this method if you can’t start Windows in normal mode.
• Restore the registry from the command prompt — Reboot in advanced startup mode to restore the registry from its “secret” backup through the command prompt. You can access the command prompt from Safe Mode as well.
• Fix Windows registry errors with System restore — You can use System restore to roll back your system to a time when you didn’t have registry errors. But remember you will lose any changes and new files made since the backup was created.
• Fix broken registry items with System File Checker (SFC) — If you run your antivirus software or other file checker tool and discover you have broken registry items, you can use this method to repair them and get them working correctly again.
• Restore your computer with Reset this PC — Reset this PC is used to repair damaged Windows installations. It can help remove bloatware, which is unneeded software that is pre-installed with Windows. Using it is also a way to permanently remove most types of malware. Using Reset this PC restores Windows to the factory-default settings. 
• Repair the registry with the DISM command — If you have problems with images on your computer, use the DISM command to service them.
• Reinstall Windows from scratch — If you can’t get Windows to load without errors or can’t open Safe Mode, reinstalling Windows from scratch may help correct registry issues.
• Use third-party backup and recovery tools — You have the option of using third-party tools to back up and restore your registry. The section below offers some options. It’s wise to choose only Microsoft-approved tools.

Third-Party Software Designed for Cleaning and Fixing Registries 

Common registry issues Windows 10 users deal with can be frustrating and lead to a slowcomputer. It’s possible to use apps to clean and repair your Windows registry following a Windows registry scan.

Here are a few registry cleaner and registry repair tools you may want to check out:

• CCleaner
• Auslogics Registry Cleaner
• Wise Registry Cleaner
• Argente Utilities
• Glarysoft Registry Repair
• RegSofts Free Window Registry Repair

Editing Your Windows Registry for a Quick Windows 10 Registry Fix

Another option for dealing with a corrupt registry is to edit it directly. Log in as an administrator and then follow these steps for a quick Windows registry fix:

1. Press the Ctrl and F keys simultaneously to open the Find dialog. Type the name of the key you want to edit.
2. Click Find Next until you locate the key you want. Double-click it.
3. Edit the key’s value.
4. Click OK to save your changes. Some edits require a Windows restart to take effect.

Alternatively, you can edit the registry with PowerShell.

Cleaning the Windows 10/11 Registry Using the Registry Editor

Most people find that they’re able to clean their registry with automatic functions or third-party programs. However, you can perform registry cleanup manually using the Windows Registry editor.

It’s worth repeating: Before you begin, make sure you create a registry backup. Making mistakes in the registry can lead to the system becoming corrupted. 

Then take the followingsteps:

1. Click the Start button and then select Run...
2. Type regedit in the text box and select Registry editor from the results.
3. Delete the keys from applications that have already been uninstalled:

3a. Expand the HKEY_CURRENT_USER section and then expand the Software section.

3b. Look for keys based on the name or vendor of the uninstalled applications and delete them.

4. Remove any duplicate keys that the uninstalled applications might have left behind:

4a. Press Ctrl+F to open the Find dialog box.

4b. Enter the name of the uninstalled application and click OK to search. Each matching key or value will be highlighted.

4c. Remove the highlighted key.

4d. Press F3 to find the next match and delete it. Repeat this step until you have reviewed all highlighted items.

5. Remove unwanted start-up items from the registry:

5a. Navigate to the following location:
My ComputerHKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrent Version

5b. Click Run to list shortcuts to all the executable files that run at startup.

5c. Delete any applications that you don’t want to run at Windows startup. Do an online search to investigate any that are unfamiliar.

5d. Repeat the same task for the following key paths as well:

• HKLMSOFTWAREWow6432NodeMicrosoftWindows CurrentVersionRun

• HKLMSOFTWAREMicrosoftActive SetupInstalled Components

• HKLMSOFTWAREWow6432NodeMicrosoftActive SetupInstalled Components

Conclusion: When and How to Fix Windows Registry Issues

Editing your registry is not likely to improve system speed or PC performance. However, you should make regular backups so you can restore if the installation of a program or device causes issues the computer can’t process.

It is also important to track changes to your registry. In particular, malware often changes registry startup keys so it will start automatically after each reboot. You can learn more in this guide about detecting modifications to startup items in the Windows registry.

How Netwrix Can Help

Netwrix Auditor for Windows Server empowers you with comprehensive visibility and tools you need to safeguard your crucial infrastructure. You can:

• Detect and respond to threats: You can monitor all security and configuration changes across your Windows Servers, including changes to the registry. The solution even provides video recording of user activity to help with investigations.
• Streamline compliance: Simplify audit preparation with built-in reports aligned with PCI DSS, HIPAA, SOX and many other mandates. Use the interactive search to swiftly answer questions from auditors, demonstrating your commitment to compliance.
• Enhance efficiency: Elevate your IT team’s productivity through automated change control and reporting on OS versions, antivirus status, file shares and more.

Картинка с сайта: blog.netwrix.com

Время на прочтение7 мин

Количество просмотров23K

Всем привет, Хабровчане!

Думаю ни у кого не возникает сомнений в важности грамотной работы специалистов ИБ и ИТ служб, учитывая события недавних дней с ТК СДЭК, а также другие крупные взломы/утечки, которых было немало за последние пару, тройку лет. Обеспечение грамотной работы включает в себя обычно комплекс мероприятий, да и в целом в работе служб ИБ есть множество направлений, где одним из интереснейших направлений, без которого, на мой взгляд, трудно обойтись, является компьютерная криминалистика (Forensic или форенсика).

Если говорить простым языком, то форенсика позволяет понять кто/что делал/делало в определённое время в компьютерной системе, а её методы можно применять как на этапе расследования уже случившегося инцидента, так и для целей мониторинга, предотвращения будущих инцидентов. Внутри направление форенсики тоже делится на отдельные поднаправления в зависимости от того, что мы исследуем. Можно выделить форенсику настольных ОС, мобильных ОС, форенсику компьютерных сетей и форенсику умных устройств IOT.

Мой интерес и выбор когда-то пал на семейство настольных ОС Windows поскольку в корпоративных инфраструктурах эта система очень распространена. Поэтому в данной статье хочу поделиться некоторыми наработками, связанными с форенсикой реестра ОС Windows 8-11 и показать какие сведения из него полезны для ИБ служб при мониторинге или расследовании, а также где в нём их искать.

Прежде чем перейти к рассмотрению полезных сведений из реестра давайте чуть-чуть поговорим о том, что представляет из себя сам реестр непосредственно.

Структурно реестр Windows это иерархическая организация (в документации MS применяется термин «system-defined database»), в которой размещены для хранения параметры системы/программ/железа, но здесь также можно найти много интересного и для ИБшника. В этой иерархии можно выделить следующие части:

• Разделы/они же Ветки реестра (Hives).

• Ключи реестра (Keys).

• Вложенные ключи реестра (Sub-Keys).

• Параметры ключей и их значения (Values).

Картинка с сайта: habr.com

Кроме того Hives (ветки) реестра делятся на несколько групп и хранятся в виде файлов на системном диске (в основном в директории %systemdrive%\Windows\System32\config) вместе с ними находятся файлы транзакций .log (.log1, .log2 и т.д.) и файлы .sav для сохранения копий веток (здесь я просто упоминаю эти файлы, но на самом деле они достойны отдельной статьи и их разбора):

Для работы с реестром можно использовать стандартные средства самой системы. Это графическое приложение — %systemdrive%\Windows\regedit.exe или консольная утилита %systemdrive%\Windows\System32\reg.exe. Однако, это может быть не так уж удобно если требуется быстро интерпретировать данные, поэтому для более удобной работы могу порекомендовать использовать программу Eric’a Zimmerman’a — «Registry Explorer».

Параметры в реестре могут принимать следующие типы значений:

Теперь имея общие представления о реестре перейдём к рассмотрению артефактов, т.е. интересных нам данных, их полезных значений, а также «пути» до них в реестре, где их можно достать «руками». Дополнительно следует учитывать, что у каждого ключа реестра есть штамп времени, когда крайний раз был изменен один из его параметров. Сами параметры, к сожалению, штампов времени не имеют (если они сами напрямую не содержат их в качестве значения), однако значения времени модификации ключей уже позволяют хотя бы на уровне гипотезы сузить временной разброс, когда происходило то или иное с набором параметров ключа. Штамп времени для ключа можно получить, например, после его экспорта в текстовый файл средствами regedit или через PowerShell.

Артефакт Last Visited MRU представляет из себя параметры вложенного ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVisitedPidlMRU и LastVisitedPidlMRULegacy. Эти значения описывают приложения, которые использовали стандартный диалог Windows для открытия, либо сохранения файлов. Если нажать правой кнопкой мыши по файлу в проводнике и выбрать «Открыть с помощью…», то предположительно для этой опции создаётся параметр со значением «OpenWith.exe». Если в приложении сохранение файла осуществляется в обход стандартного диалога Windows, то параметр в ключе реестра создан не будет. Этот артефакт позволяет узнать следующее:

• На хосте точно запускалась та или иная программа определённым пользователем.

• С помощью программы, возможно, по сети могли получить и сохранить файл, если у программы есть подобный функционал.

• По какому конкретно пути был открыт файл (возможно для модификации) или сохранён. Название файла, к сожалению, получить нельзя.

Картинка с сайта: habr.com

Артефакт User Assist располагается в параметрах вложенного ключа реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist. В нём нас будет интересовать ещё два вложенных ключа:

• {CEBFF5CD-ACE2-4F4F-9178-9926F41749EA}\Count

• {F4E57C4B-2036-45F0-A9AB-443BCFE33D9F}\Count

Они содержат информацию об открывавшихся пользователем программах и ярлыках. Параметры записаны с помощью сдвига ROT-13 (каждая буква алфавита сдвинута на 13 символов вправо от изначальной позиции в алфавите), которое не работает для кириллицы, она отображается как есть. Это позволяет узнать следующее:

• Конкретный пользователь на хосте запускал ту или иную программу.

• Путь до запускавшегося исполняемого файла, при чём часть этого пути может быть задана как GUID значение в фугируных скобках, это отображение «известных» директорий, список у Microsoft опубликован здесь.

Картинка с сайта: habr.com

В операционных системах Windows 10 (до версии 1803), есть аналогичный UserAssist ключ в реестре, показывающий, что пользователь открывал определённые программы. Этот ключ называется RecentApps, он расположен в: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Search\RecentApps. Различие с UserAssist в большей полноте предоставляемых данных, для RecentApps кроме имени самого приложения ещё можно получить время, когда последний раз выполнялось это приложение в формате UTC, и количество запусков этого приложения (соответственно это будут значения параметров AppID, LastAccessTime, LaunchCount).

Артефакты использования офисного пакета MS Office могут быть полезны чтобы понять какие документы офиса мог открывать пользователь. Это пригодится например, если произошёл иницидент с заражением ВПО, т.к. документы могли содержать вредоносное активное содержимое, которое и могло выполниться при открытии. Сведения о последних открывавшихся документах можно получить из вложенного ключа реестра, который зависит от версии Office, ниже таблица для некоторых версий.

Артефакты использования USB дают понять какое внешнее оборудование могло подключаться. Можно выяснить имя устройства в системе, серийный номер, vendor ID, для определения производителя устройства (есть бесплатные сервисы, например этот), время последнего и первого подключения.

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB (любые устройства кроме принтеров и накопителей).

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBPRINT (подключавшиеся принтера).

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR (подключавшиеся накопители информации).

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Portable Devices\Devices (любые устройства кроме принтеров и накопителей).

• HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices (подключавшиеся накопители информации).

• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 (подключавшиеся накопители информации).

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\KnownDevices (относится к опции AutoPlay, которая задаёт действия по умолчанию при подключении USB устройства. Параметр ContainerID относится скорее всего к вот этому, а параметр Label обычно даёт понять модель или производителя устройства).

Артефакты реестра называемые ShellBag дают понять какие папки открывались пользователем наиболее часто. Это полезно для анализа поведения пользователей при их работе в системе. ShellBag лежат во вложенном ключе реестра: HKEY_CURRENT_USER\Software\Classes\LocalSettings\Software\Microsoft\Windows\Shell\BagMRU или HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell\Bags.

Информацию связанная с историей выполнявшихся команд Win+R (Run) в ключе: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU может пригодится, например, при анализе нарушений политики ИБ пользователями, хотя простым пользователям лучше бы вообще обладать минимально необходимыми привилегиями и не иметь возможности выполнять лишних команд.

Сведения об открывавшихся определённым пользователем файлах по их расширениям можно найти во вложенном ключе реестра: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

Полезными для анализа могут также быть следы, которая система сохраняет о взаимодействии пользователя с Проводником Windows. Можно узнать вводимые вручную пути и историю пользовательского поиска. За это отвечают следующие ключи:

• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery (история поисковых запросов Проводника).

• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths (вводившиеся вручную пути).

Продолжение следует…

Так же, как двигателю автомобиля необходима замена масла, квартире уборка, а одежде стирка, операционной системе компьютера нужна регулярная чистка. Ее реестр постоянно засоряется, чему способствуют не только установленные, но и уже удаленные программы. Какое-то время это не доставляет неудобств, пока не начинает снижаться скорость работы Windows и не появляются ошибки в работе.

Способы очистки реестра

Чистка и исправление ошибок реестра – дело важное, но несложное. Существуют специальные программы, которые выполнят эту работу за пару минут и обязательно напомнят, когда подойдет время следующей проверки. А некоторые совершат дополнительные действия по оптимизации системы.

Способ 1: ССleaner

Список откроет мощный и простой инструмент СиКлинер, разработанный британской компанией Piriform Limited. И это не просто слова, в свое время его оценили такие популярные электронные издания, как CNET, Lifehacker.com, The Independent и др. Главная особенность программы заключается в глубоком и комплексном обслуживании системы.

Картинка с сайта: lumpics.ru

Помимо чистки и исправления ошибок в реестре, приложение занимается полным удалением стандартного и стороннего программного обеспечения. В его обязанности входит удаление временных файлов, работа с автозагрузкой и осуществление функции восстановления системы.

Подробнее: Чистка реестра с помощью CCleaner

Способ 2: Wise Registry Cleaner

Вайз Регистри Клинер позиционирует себя одним из тех продуктов, которые повышают производительность компьютера. Согласно информации, он сканирует реестр на наличие ошибок и остаточных файлов, а затем производит его чистку и дефрагментацию, что способствует более быстрой работе системы. Для этого предусмотрены три режима сканирования: нормальный, безопасный и глубокий.

Картинка с сайта: lumpics.ru

Перед очисткой создается резервная копия, чтобы при обнаружении проблем можно было восстановить реестр. Еще он оптимизирует некоторые настройки системы, улучшая ее скорость и скорость интернета. Составьте расписание и Wise Registry Cleaner запустится в назначенное время в фоновом режиме.

Способ 3: Vit Registry Fix

Компания VitSoft прекрасно понимает, как быстро засоряется операционная система компьютера, поэтому разработала свой комплекс мероприятий по ее очистке. Их программа помимо поиска ошибок и оптимизации реестра удаляет ненужные файлы, подчищает историю и способна работать по расписанию. Имеется даже портативная версия. В общем, возможностей много, но в полную мощь Vit Registry Fix обещает работать только после приобретения лицензии.

Картинка с сайта: lumpics.ru

Способ 4: Registry Life

А вот сотрудники ChemTable SoftWare поняли, что куда приятнее пользоваться совершенно бесплатной утилитой, поэтому сотворили Registry Life, которая в своем арсенале имеет не менее интересные функции. В ее обязанности входит поиск и удаление ненужных записей, а также сокращение размера файлов реестра и устранение их фрагментации. Для начала работы необходимо:

1. Запустить программу и начать проверку реестра.
   

   Картинка с сайта: lumpics.ru

2. Как только проблемы будут исправлены нажать «Исправить все».
   

   Картинка с сайта: lumpics.ru

3. Выбрать пункт «Оптимизация реестра».
   

   Картинка с сайта: lumpics.ru

4. Выполнить оптимизацию реестра (перед этим придется завершить работу всех активных приложений).
   

   Картинка с сайта: lumpics.ru

Способ 5: Auslogics Registry Cleaner

Auslogics Registry Cleaner – еще одна полностью бесплатная утилита для очистки реестра от нежелательных записей и ускорения работы Windows. Закончив сканирование, она автоматически определяет, какие из найденных файлов можно удалить безвозвратно, а какие требуют исправления, создавая при этом точку восстановления. Чтобы начать проверку необходимо скачать программу, установить, следуя указаниям, а затем запустить. Дальнейшие действия совершаются в следующем порядке:

1. Переходим во вкладку «Очистка реестра» (в левом нижнем углу).
   

   Картинка с сайта: lumpics.ru

2. Выбираем категории, в которых будет производиться поиск, и нажимаем «Сканировать».
   

   Картинка с сайта: lumpics.ru

3. В конце можно будет исправить найденные ошибки, предварительно заархивировав изменения.
   

   Картинка с сайта: lumpics.ru

Способ 6: Glary Utilities

Продукт компании Glarysoft, занимающейся разработкой мультимедийного, сетевого и системного программного обеспечения, представляет собой набор решений по оптимизации работы компьютера. Он удаляет лишний мусор, временные файлы Интернета, ищет дубликаты файлов, оптимизирует оперативную память и проводит анализ дискового пространства. Glary Utilities способна на многое (платная версия сможет больше), а, чтобы сразу перейти к очистке реестра необходимо проделать следующее:

1. Запустить утилиту и выбрать пункт «Исправление реестра», расположенный на панели в нижней части рабочей области (проверка начнется автоматически).
   

   Картинка с сайта: lumpics.ru

2. Когда Glary Utilities завершит работу нужно будет нажать «Исправить реестр».
   

   Картинка с сайта: lumpics.ru

3. Есть и другой вариант запуска проверки. Для этого нужно выбрать вкладку «1-Кликом», выбрать интересующие пункты и нажать «Найти проблемы».
   

   Картинка с сайта: lumpics.ru

Способ 7: TweakNow RegCleaner

В случае с этой утилитой не нужно говорить лишних слов, на сайте разработчиков уже давно все сказано. Программа быстро сканирует реестр, с идеальной точностью находит устаревшие записи, гарантирует создание резервной копии и все это совершенно бесплатно. Чтобы воспользоваться TweakNow RegCleaner необходимо:

1. Запустить программу, перейти во вкладку «Windows Cleaner», а затем в «Registry Cleaner».
   

   Картинка с сайта: lumpics.ru

2. Выбрать один из вариантов сканирования (быстрое, полное или выборочное) и нажать «Scan Now».
   

   Картинка с сайта: lumpics.ru

3. После проверки будет предложен список проблем, которые решатся после нажатия на «Clean Registry».
   

   Картинка с сайта: lumpics.ru

Способ 8: Advanced System Care Free

Завершит список флагманский продукт компании IObit, который всего в один клик проделывает огромную работу по оптимизации, починке и очистке компьютера. Для этого в Advanced System Care Free предусмотрен целый набор полезных и мощных инструментов, которые мониторят состояние системы в фоновом режиме. Конкретно чистка реестра не займет много времени, для этого необходимо сделать два простых шага:

1. В окне программы перейти во вкладку «Очистка и оптимизация», выбрать пункт «Очистка реестра» и нажать «Пуск».
   

   Картинка с сайта: lumpics.ru

2. Программа выполнит проверку и, если найдет ошибки, предложит исправить их.
   

   Картинка с сайта: lumpics.ru

Кстати, ASCF обещает сканировать глубже, если пользователь разорится на Pro-версию.

Естественно, выбор неочевиден, хотя некоторые предположения сделать можно. Например, если учесть тот факт, что все перечисленные программы добросовестно чистят реестр, то какой смысл покупать лицензию? Другой вопрос, если нужно что-то большее, чем обычная чистка, некоторые претенденты готовы предложить солидный набор функций. А можно опробовать все варианты и остановиться на том, который действительно облегчит и ускорит работу системы.

Наша группа в TelegramПолезные советы и помощь