Утилита autoruns в windows 10 — Windowsa.top — ваш верный помощник с OS Windows

Время на прочтение7 мин

Количество просмотров40K

Если вы будете четко понимать, как использовать AutoRuns, вы всегда сможете определить, заражен ли ваш компьютер нежелательным ПО.

Примечание: в этой статье рассказано, как можно обнаружить вредоносные программы на домашнем ноутбуке или ПК. Для выявления и удаления вредоносных программ в организации необходимо следовать корпоративному плану реагирования на инциденты.

Что такое AutoRuns?

AutoRuns — это инструмент Microsoft, который выявляет ПО, настроенное на запуск при загрузке устройства или входе пользователя в свою учетную запись. При включении компьютера часто запускается надежное программное обеспечение. Ярким примером является Outlook, поскольку проверка электронной почты нередко являются первым действием после входа в аккаунт.

Если устройство было взломано, то приникшее на него вредоносное ПО должно «выдержать» перезагрузку. После выключения компьютера вредоносной программе требуется определенный механизм для продолжения работы на устройстве. Для этого могут использоваться встроенные функции Windows, позволяющие запускать программы при загрузке.

AutoRuns: основы

На изображении ниже мы видим, что AutoRuns имеет ряд вкладок, в каждой из которых содержатся данные о механизме автозапуска.

Во вкладке Logon (вход в систему) представлена информация о стандартных местах загрузки для всех пользователей устройства. В частности, здесь указаны места запуска программ, а также соответствующие ключи запуска. Ключ запуска является частью реестра устройства: вредоносное ПО часто создает такой ключ, чтобы при загрузке устройства вредоносная программа запускалась автоматически.

Во вкладке Explorer (проводник) отображается информация о следующих элементах:

Shell extensions (расширения оболочки) — это отдельные плагины для Проводника Windows (например, для предварительного просмотра файлов PDF).
Browser Helper Objects (объекты помощника браузера) — модули DLL, выполняющие роль плагинов для Internet Explorer.
Explorer Toolbars (панели инструментов проводника) — это сторонние плагины для Internet Explorer; через панель инструментов осуществляется доступ к сторонней платформе.
Active Setup Executions (выполнение задач через Active Setup) — механизм для однократного выполнения команд для каждого пользователя во время входа в систему.

Во вкладке Internet Explorer отображаются вспомогательные объекты браузера, панели инструментов Internet Explorer и расширения.

Во вкладке Scheduled Tasks (запланированные задачи) показываются задачи, которые настроены на запуск при загрузке или входе в систему (это часто используется различными семействами вредоносных программ).

Во вкладке Services (службы) отображаются все службы Windows, автоматический запуск которых запланирован при загрузке устройства.

Драйверы позволяют оборудованию взаимодействовать с операционной системой устройства. Во вкладке Drivers в AutoRuns отображаются все зарегистрированные на устройстве драйверы, кроме отключенных.

Image Hijacks (подмена образов) представляет собой довольно коварный метод, заключающийся в том, что ключ для запуска определенного процесса в реестре Windows на самом деле запускает другой, вредоносный, процесс.

В AppInit DLL показаны библиотеки DLL, зарегистрированные как DLL инициализации приложений.

Во вкладке Boot Execute (выполнение при загрузке) отображаются места запуска, связанные с подсистемой диспетчера сеансов (smss.exe).

Известные библиотеки DLL (Known DLL) в Windows — kernel32.dll, ntdll.dll — позволяют программному обеспечению импортировать определенные функции. Некоторые вирусы устанавливают созданные разработчиком вируса вредоносные библиотеки DLL, причем в места, где вы вряд ли будете искать легитимные библиотеки DLL Windows, например во временных папках.

Winlogon используется, когда пользователь входит в систему Windows. В этой вкладке отображаются библиотеки DLL, регистрирующие уведомления о событиях Winlogon.

Во вкладке Winsock Providers (провайдеры Winsock) показываются зарегистрированные протоколы Winsock. Winsock, или Windows Sockets, позволяет программам подключаться к Интернету. Вредоносное ПО может установить себя как провайдера Winsock, чтобы его было сложно удалить. AutoRuns может отключить провайдера, но не удалить его.

Во вкладке Print Monitors показываются библиотеки DLL, загружающиеся в службу буферизации печати. Вредоносное ПО может установить сюда вредоносную DLL.

Провайдеры Windows Local Security (LSA Providers) поддерживают процессы, связанные с безопасностью и аутентификацией.

Как использовать AutoRuns для выявления подозрительного программного обеспечения

Теперь мы хорошо представляем, что может обнаружить AutoRuns, однако на всех скриншотах выше показаны исключительно записи исключительно легитимного программного обеспечения. Как мы узнаем, является ли программа, указанная в AutoRuns, надежной или требующей дополнительной проверки (в частности, вредоносным ПО)?

На изображении выше мы видим, что во вкладке Logon показан созданный ключ запуска для файла ARP Service (выделено красным), который можно найти в следующем месте в реестре:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Это распространенный механизм персистентности, используемый вредоносными программами для «выживания» после перезагрузки. Также мы видим пустые ячейки в столбцах Description (описание) и Publisher (издатель). Само по себе отсутствие описания не означает, что файл является вредоносным, а вот отсутствие подписи и издателя являются поводом для расследования.

В столбце Image Path (путь к образу) можно увидеть место установки программы. В данном случае путь таков: program files\arp service\arpsv.exe.

Поиск этого пути в Google выдает всего два результата, что вызывает сомнения в легитимности программного обеспечения.

Во вкладке запланированных задач также можно увидеть увидеть две строки, относящиеся к программному обеспечению ARP Service, на которое мы обратили внимание.

Нажав правой кнопкой мыши на интересующий файл, мы можем отправить его на сайт virustotal.com. Virustotal — это база данных вредоносных программ, в которой можно узнать о том, признан ли конкретный файл вредоносным разными поставщиками антивирусов.

После отправки файла в столбце Virus Total (общее количество вирусов) будет показано, сколько поставщиков антивирусов классифицировали данный файл как вредоносный. На изображении ниже видно, что 55 из 76 поставщиков определили этот файл как вредоносный.

Вот несколько основных советов по выявлению вредоносного ПО с помощью AutoRuns:

Google — ваш друг! В случае малейших сомнений выполните в Google поиск имени файла и его местоположения. Задайте себе вопрос: легитимное ли это ПО и в правильном ли месте оно находится?
Проверьте описание на наличие контрольных признаков (например, грамматические ошибки или предположительно случайно сгенерированный текст — это может указывать на то, что AutoRuns обнаружил программное обеспечение, требующее детального изучения.
Ищите временные папки. Вредоносные программы часто устанавливаются во временные папки файловой системы. Если у вас есть программа, которая запускается при загрузке устройства, почему она находится во временной папке?
Определите хеш файла и перейдите на сайт virustotal.com. Если вредоносное ПО было установлено от имени администратора, оно может храниться где угодно на диске. Убедитесь, что файл является вредоносным, на virustotal.

Как использовать AutoRuns для удаления вредоносных программ

Во-первых, убедитесь, что вирус запущен на вашем устройстве. Для этого можно открыть диспетчер задач, однако мы рекомендуем использовать Process Hacker — один из инструментов для анализа вредоносных программ. После загрузки нажмите правой кнопкой мыши на значок на рабочем столе и выберите «Запуск от имени администратора».

После запуска Process Hacker можно найти вредоносное ПО, запущенное на устройстве.

Нажав на название вредоносной программы правой кнопкой мыши, мы можем найти файл на диске, выбрав Open file location (открыть расположение файла).

После этого в проводнике Windows будет открыта папка с данным файлом.

Перетащив файл в такой инструмент, как PeStudio, мы можем получить хеш файла.

Bf48a5558c8d2b44a37e66390494d08e

Переход на virustotal и определение хеша покажет, что это RAT (троян удаленного доступа), известный под именем Nanocore.

Чтобы остановить выполнение вредоносной программы, нажмите правой кнопкой мыши на соответствующее имя процесса и выберите «Завершить».

После этого AutoRuns позволяет удалить механизмы персистенции, используемые для запуска вредоносного ПО.

Теперь вирус можно удалить из проводника Windows.

Советы по использованию AutoRuns от Sysinternals

Мы не рекомендуем использовать AutoRuns в качестве единственной формы обнаружения и удаления вредоносного программного обеспечения. Если вы выявили и удалили вредоносную программу с помощью описанных методов, стоит принять во внимание следующее:

Имеются ли у вас резервные копии файлов и данных? Если ваше устройство взломали, высока вероятность того, что на нем могут находиться другие вредоносные программы. Наличие резервных копий гарантирует возможность восстановления данных устройства, что дает уверенность в полном устранении последствий вторжения.

Какое антивирусное ПО у вас установлено? Если у вас установлен антивирус, но ваше устройство по-прежнему инфицировано, значит, ваши механизмы безопасности не сработали и, возможно, пришло время инвестировать в более надежную систему защиты данных.

Используйте функцию сравнения AutoRuns, чтобы упростить проверку на наличие нежелательного программного обеспечения, которое продолжает действовать на вашем устройстве. Для этого нужно запустить AutoRuns на неинфицированном устройстве, выбрать File (файл) и Save (сохранить).

Результаты будут сохранены в виде файла файл AutoRuns Data с расширением .arn’AutoRuns. В примере ниже я сохранил результаты как файл с именем clean.

Теперь вы можете сравнить эти результатами с результатами будущих проверок с помощью AutoRuns. Для этого выберите File (файл), а затем Compare (сравнить).

В примере ниже мы выбираем результаты, сохраненные в файле clean.

После этого AutoRuns будет показывать только новое ПО с механизмом персистенции. Это позволяет исключить легитимные программы, установленные на неинфицированном устройстве.

Чаще всего AutoRuns используется для выявления вредоносных программ, однако в этой статье мы продемонстрировали, как этот инструмент может обнаруживать разные способы, с помощью которых вредоносное ПО пытается продолжить работу на вашем устройстве.

Еще одной привлекательной характеристикой AutoRuns является цена! Есть множество бесплатных инструментов, которые могут помочь вам выполнить не только проверку на наличие вредоносных программ, но и ряд задач системного администрирования, поэтому обязательно прочитайте эту статью, где рассказывается о 21 бесплатном инструменте, которые должен знать каждый системный администратор.

Если угроза того, что вредоносное ПО остается незамеченным в вашей организации, является для вас актуальной, посмотрите, как мы останавливаем кибератаки, а также демонстрацию наших методов реагирования на угрозы.

Источник

Autoruns
для Windows

Autoruns — программа для контроля автоматической загрузки различных приложений, сервисов и компонентов, стартующих при загрузке ОС.

Программа проверяет Автозагрузку, Run, RunOnce и другие секции и ключи реестра. При желании Autoruns можно настроить на мониторинг и других расположений, в том числе модулей Explorer, панелей управления, BHO (Browser Helper Objects), извещений Winlogon, автоматически запускаемых служб, сервисов и многие другие.

При помощи Autoruns можно не только контролировать автозапуск приложений, но и отключать автозагрузку любого из них. Для этого достаточно убрать соответствующую галочку.

Кроме настройки системы, с помощью Autoruns можно отслеживать вредоносные программы, которые как правило, прописывают свои ключи в раздел Автозагрузки реестра операционной системы.

Что нового в Autoruns 14.11?

Различные исправления и улучшения

ТОП-сегодня раздела «Реестр, Автозагрузка»

Autoruns 14.11

Autoruns — программа для контроля автоматической загрузки различных приложений, сервисов и компонентов, стартующих при загрузке операционной системы…

Reg Organizer 9.50

Reg Organizer — мощная программа, позволяющая следить за состоянием системного реестра и…

RegScanner 2.75

RegScanner — небольшая бесплатная утилита, которая в соответствии с заданными критериями…

RecentFilesView 1.32

RecentFilesView — небольшая системная утилита для просмотра всех файлов, которые в последнее время открывались на компьютере…

Отзывы о программе Autoruns

Татьяна про Autoruns 14.0.9 [12-12-2022]

Интересная прога. С оф сайта не скачивается. Скачивается тут с англ. локализацией. В целом наглядная. Со Всех желтых строчек с ошибками нужно снять галки. (Кто то даже их удаляет).
6 | 8 | Ответить

Виктор про Autoruns 14.0.9 [10-12-2022]

Реально помогла удалить defender w11
8 | 12 | Ответить

Тимур про Autoruns 14.0.7 [05-01-2022]

говно пишет что вы что-то там не можете использовать и она самоудаляется
6 | 8 | Ответить

Андрей ° про Autoruns 13.95 [09-11-2019]

А рускаяя локализация есть,у софтины?
14 | 25 | Ответить

самир про Autoruns 13.94 [29-03-2019]

у меня не палучается открыт математику 3 класс диск
8 | 24 | Ответить

Источник

Любое приложение, служба или задача, которая выполняется на персональном компьютере, имеет свою собственную точку запуска — момент, когда начинается работа приложения. Все задачи, которые стартуют автоматически вместе с запуском операционной системой, имеют свою собственную запись в автозагрузке. Каждый продвинутый пользователь знает, что при автозапуске ПО оно начинает потреблять определенное количество оперативной памяти и нагружать процессор, что неминуемо приводит к замедлению запуска компьютера. Поэтому контроль за записями в автозагрузке является очень актуальной темой, но далеко не каждой программе под силу проконтролировать действительно все пункты загрузки.

Авторунс — утилита, которая должна быть в арсенале человека, который имеет практический подход к управлению своим компьютером. Данный продукт, что называется, «зрит в корень» операционной системы — ни одно приложение, служба или драйвер не смогут скрыться от всемогущего глубокого сканирования Autoruns. В данной статье будут подробно рассмотрены возможности данной утилиты.

Возможности

— Отображение полного списка автозапускаемых программ, задач, служб и драйверов, компоненты приложений и пункты контекстного меню, а также гаджеты и кодеки.
— Указание точного местонахождения запускаемых файлов, каким образом и в какой последовательности они запускаются.
— Обнаружение и отображение скрытых точек входа.
— Отключение запуска любой обнаруженной записи.
— Не требует установки, в архиве находятся два исполняемых файла, предназначенных для обоих разрядностей операционной системы.
— Анализ другой ОС, установленной на том же компьютере или на подключаемом съемном носителе.

Для наибольшей эффективности программа обязательно должна выполняться от имени администратора — таким образом он будет иметь достаточно привилегий для управления пользовательскими и системными ресурсами. Также повышенные права необходимы для анализа на предмет точек автозапуска другой ОС.

Общий список найденных записей

Это стандартное окно приложения, которое будет открываться сразу при запуске. В нем будут отображены абсолютно все записи, которые были найдены. Список достаточно внушительный, для его организации программа при открытии задумывается на минуту-две, тщательно сканируя систему.

Однако это окно скорее подходит для тех, кто точно знает, что ищет. В такой массе очень сложно выделить конкретную запись, поэтому разработчики распределили все записи по отдельным вкладкам, описание которых вы увидите ниже:

— Logon — здесь будет отображаться тот софт, который пользователи сами добавили в автозагрузку при установке. Снимая галочки, можно ускорить время загрузки, исключая программы, которые сразу же после запуска пользователю не нужны.

— Explorer — можно просмотреть, какие пункты в контекстном меню отображаются при нажатии на файл или папку правой кнопки мыши. При установке большого количества приложений контекстное меню оказывается перегружено, что затрудняет поиск нужного пункта. С помощью Autoruns можно легко почистить меню правой кнопки мыши.

— Internet Explorer несет информацию об установленных и запускаемых модулях в стандартном интернет-обозревателе. Он является постоянной целью вредоносных программ, которые через него пытаются внедриться в работу системы. Отследить вредоносные записи в автозапуске можно через неизвестного разработчика, отключить или вовсе удалить.

— Services — просмотр и управление автоматически загружаемыми сервисами, которые были созданы ОС или сторонним ПО.

— Drivers — системные и сторонние драйвера, любимое место серьезных вирусов и руткитов. Не дайте им ни единого шанса — просто выключите их и удалите.

— Scheduled Tasks — тут можно найти список запланированных задач. Многие программы обеспечивают себе автозапуск именно таким образом, через запланированное действие.

— Image Hijacks — информация о символических отладчиках отдельных процессов. Часто там можно найти записи о запуске файлов с .exe расширением.

— Appinit DLLs — автозапуск зарегистрированных dll-файлов, чаще всего системных.

— Known DLLs — здесь можно найти dll-файлы, на которые ссылаются установленные программы.

— Boot Execute — приложения, которые будут запущены на раннем этапе загрузки ОС. Обычно сюда попадает запланированная дефрагментация системных файлов до загрузки Windows.

— Winlogon Notifications список dll, которые срабатывают как события при перезагрузке, выключении компьютера, а также выходе или входе пользователя в систему.

— Winsock Providers — взаимодействие ОС с сетевыми службами. Иногда сбда попадают библиотеки брендмауэра или антивируса.

— LSA Providers — проверка полномочий пользователей и управление параметрами их безопасности.

— Print Monitors — присутствующие в системе принтеры.

— Sidebar Gadgets — список гаджетов, установленных системой или пользователем.

— Office — дополнительные модули и плагины офисных программ.

С каждой найденной записью Autoruns может совершить следующие действия:
— Проверка издателя, наличия и подлинности цифровой подписи.
— Двойным щелчком можно проверить точку автостарта в реестре или файловой системе.
— Проверить файл на Virustotal и легко определить, вредоносный ли он.

На сегодняшний день Авторунс является одним из самых продвинутых инструментов контроля автозагрузки. Запущенная под учетной записью администратора, эта программа может отследить и отключить абсолютно любую запись, ускорив время загрузки системы, сняв нагрузку при текущей работе и обезопасив пользователя от включения вредоносного ПО и драйверов.

Скачать Autoruns бесплатно

Загрузить последнюю версию программы с официального сайта

Наша группа в TelegramПолезные советы и помощь

Источник

This tool, which checks more autorun locations than any other autorun monitor, shows which programs are configured to run during the boot or logon process, and these programs are displayed in the order in which Windows handles them. Such programs can be located in the autoload folder or be registered in the registry sections of Run, RunOnce and others. Autoruns can also be configured to display other locations, such as shell extensions, toolbars, browser support objects, Winlogon notifications, automated services, and many more. Autoruns has a wider range of features than the MSConfig utility, which is included with Windows Me and XP.

The Autoruns feature in Hide Signed Microsoft Entries lets you focus on automatically running third-party items if they have been added to your system. You can also view the objects that you have configured to automatically run for other accounts in the system. The download archive also includes a command line program, Autorunsc. The output data of this tool can be obtained in CSV format.

AutoRuns precisely identifies and controls which programs run during your computer’s startup, enhancing system performance and security.

You’ll probably be surprised how many executable files run automatically! Autoruns runs on all versions of Windows, including Windows XP 64-bit Edition (for x64) and Windows Server 2003 64-bit Edition (for x64). The Brand article in the November 2004 issue of Windows IT Pro Magazine describes additional methods of working with Autoruns. If you have any questions or problems, please visit the Sysinternals Autoruns forum. Simply launch Autoruns and it will show you which applications are configured to run automatically and provide a complete list of registry partitions and file system directories that can be used to set up automatic startup. The items shown in Autoruns belong to several categories: objects that start automatically when you log on, additional Explorer components, additional Internet Explorer components (including browser support module (BHO) objects), application initialization DLLs, item spoofing, objects that are executed in the early stages of loading, Winlogon’s DLL notification libraries, Windows services, and multi-level Winsock service providers. To view the automatically launched objects of the required category, just select the necessary tab.

To view the properties of the executable object configured for automatic launch, you should select this object and use the menu item or the button of the Properties toolbar. If the Process Explorer program is running in the system and the selected executable file is used by some active process, then if the Process Explorer item is selected in the Entry menu, a dialog box of properties of the process using the selected object will appear.

To go to the registry section or the file system directory displayed in the program window or to set up the object to be launched automatically, just select the necessary item and use the menu command or the Jump toolbar button.

To disable an object that is launched automatically, clear the check box corresponding to it. You can delete such an object using the menu command or the Delete toolbar button. To view the automatically launched items for other user accounts, simply select the desired User menu item. For more information on display options and other useful information, see the Quick Start Help.

— Download manager. Recently, this utility has been indispensable, as many programs add their applications to the list of automatically downloaded programs during installation without the user’s knowledge. And sometimes the user simply does not know what is happening on the computer, and, as experts assert, such applications are not always harmless and they need to be ruthlessly fought. That’s exactly what Autoruns is for. Its developer is the famous SysInternals.

— The Auto Download Manager has a lot of information about what you have running automatically on your computer: services, applications, drivers, network providers and more. In the hands of an inexperienced user, this utility can leave only memories of the computer, but if it is taken in the hands of a professional, it will serve him well.

— The utility allows you to save the current results of everything that happens to a text file. First of all, it is done to be able to compare the results of the system at different times. Developers have tried to make the utility so that with an incredible amount of information, thanks to the reasonable placement of interface elements, to work with Autoruns is a pleasure.

Provides detailed information on all startup programs.

Allows disabling of unnecessary apps for faster booting.

Free, lightweight and user-friendly interface.

Can accidentally disable essential system processes if not used cautiously.

The user interface may seem complex to non-technical users.

No guidance on which programs should or shouldn’t be disabled.

👨‍💻️ USER REVIEWS AND COMMENTS 💬