как работать с autoruns для windows 10
Как использовать AutoRuns для обнаружения и удаления вредоносных программ в Windows
Если вы будете четко понимать, как использовать AutoRuns, вы всегда сможете определить, заражен ли ваш компьютер нежелательным ПО.
Примечание: в этой статье рассказано, как можно обнаружить вредоносные программы на домашнем ноутбуке или ПК. Для выявления и удаления вредоносных программ в организации необходимо следовать корпоративному плану реагирования на инциденты.
Что такое AutoRuns?
AutoRuns — это инструмент Microsoft, который выявляет ПО, настроенное на запуск при загрузке устройства или входе пользователя в свою учетную запись. При включении компьютера часто запускается надежное программное обеспечение. Ярким примером является Outlook, поскольку проверка электронной почты нередко являются первым действием после входа в аккаунт.
Если устройство было взломано, то приникшее на него вредоносное ПО должно «выдержать» перезагрузку. После выключения компьютера вредоносной программе требуется определенный механизм для продолжения работы на устройстве. Для этого могут использоваться встроенные функции Windows, позволяющие запускать программы при загрузке.
AutoRuns: основы
На изображении ниже мы видим, что AutoRuns имеет ряд вкладок, в каждой из которых содержатся данные о механизме автозапуска.
Во вкладке Logon (вход в систему) представлена информация о стандартных местах загрузки для всех пользователей устройства. В частности, здесь указаны места запуска программ, а также соответствующие ключи запуска. Ключ запуска является частью реестра устройства: вредоносное ПО часто создает такой ключ, чтобы при загрузке устройства вредоносная программа запускалась автоматически.
Во вкладке Explorer (проводник) отображается информация о следующих элементах:
Shell extensions (расширения оболочки) — это отдельные плагины для Проводника Windows (например, для предварительного просмотра файлов PDF).
Browser Helper Objects (объекты помощника браузера) — модули DLL, выполняющие роль плагинов для Internet Explorer.
Explorer Toolbars (панели инструментов проводника) — это сторонние плагины для Internet Explorer; через панель инструментов осуществляется доступ к сторонней платформе.
Active Setup Executions (выполнение задач через Active Setup) — механизм для однократного выполнения команд для каждого пользователя во время входа в систему.
Во вкладке Internet Explorer отображаются вспомогательные объекты браузера, панели инструментов Internet Explorer и расширения.
Во вкладке Scheduled Tasks (запланированные задачи) показываются задачи, которые настроены на запуск при загрузке или входе в систему (это часто используется различными семействами вредоносных программ).
Во вкладке Services (службы) отображаются все службы Windows, автоматический запуск которых запланирован при загрузке устройства.
Драйверы позволяют оборудованию взаимодействовать с операционной системой устройства. Во вкладке Drivers в AutoRuns отображаются все зарегистрированные на устройстве драйверы, кроме отключенных.
Image Hijacks (подмена образов) представляет собой довольно коварный метод, заключающийся в том, что ключ для запуска определенного процесса в реестре Windows на самом деле запускает другой, вредоносный, процесс.
В AppInit DLL показаны библиотеки DLL, зарегистрированные как DLL инициализации приложений.
Во вкладке Boot Execute (выполнение при загрузке) отображаются места запуска, связанные с подсистемой диспетчера сеансов (smss.exe).
Известные библиотеки DLL (Known DLL) в Windows — kernel32.dll, ntdll.dll — позволяют программному обеспечению импортировать определенные функции. Некоторые вирусы устанавливают созданные разработчиком вируса вредоносные библиотеки DLL, причем в места, где вы вряд ли будете искать легитимные библиотеки DLL Windows, например во временных папках.
Winlogon используется, когда пользователь входит в систему Windows. В этой вкладке отображаются библиотеки DLL, регистрирующие уведомления о событиях Winlogon.
Во вкладке Winsock Providers (провайдеры Winsock) показываются зарегистрированные протоколы Winsock. Winsock, или Windows Sockets, позволяет программам подключаться к Интернету. Вредоносное ПО может установить себя как провайдера Winsock, чтобы его было сложно удалить. AutoRuns может отключить провайдера, но не удалить его.
Во вкладке Print Monitors показываются библиотеки DLL, загружающиеся в службу буферизации печати. Вредоносное ПО может установить сюда вредоносную DLL.
Провайдеры Windows Local Security (LSA Providers) поддерживают процессы, связанные с безопасностью и аутентификацией.
Как использовать AutoRuns для выявления подозрительного программного обеспечения
Теперь мы хорошо представляем, что может обнаружить AutoRuns, однако на всех скриншотах выше показаны исключительно записи исключительно легитимного программного обеспечения. Как мы узнаем, является ли программа, указанная в AutoRuns, надежной или требующей дополнительной проверки (в частности, вредоносным ПО)?
На изображении выше мы видим, что во вкладке Logon показан созданный ключ запуска для файла ARP Service (выделено красным), который можно найти в следующем месте в реестре:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Это распространенный механизм персистентности, используемый вредоносными программами для «выживания» после перезагрузки. Также мы видим пустые ячейки в столбцах Description (описание) и Publisher (издатель). Само по себе отсутствие описания не означает, что файл является вредоносным, а вот отсутствие подписи и издателя являются поводом для расследования.
В столбце Image Path (путь к образу) можно увидеть место установки программы. В данном случае путь таков: program files\arp service\arpsv.exe.
Поиск этого пути в Google выдает всего два результата, что вызывает сомнения в легитимности программного обеспечения.
Во вкладке запланированных задач также можно увидеть увидеть две строки, относящиеся к программному обеспечению ARP Service, на которое мы обратили внимание.
Нажав правой кнопкой мыши на интересующий файл, мы можем отправить его на сайт virustotal.com. Virustotal — это база данных вредоносных программ, в которой можно узнать о том, признан ли конкретный файл вредоносным разными поставщиками антивирусов.
После отправки файла в столбце Virus Total (общее количество вирусов) будет показано, сколько поставщиков антивирусов классифицировали данный файл как вредоносный. На изображении ниже видно, что 55 из 76 поставщиков определили этот файл как вредоносный.
Вот несколько основных советов по выявлению вредоносного ПО с помощью AutoRuns:
Google — ваш друг! В случае малейших сомнений выполните в Google поиск имени файла и его местоположения. Задайте себе вопрос: легитимное ли это ПО и в правильном ли месте оно находится?
Проверьте описание на наличие контрольных признаков (например, грамматические ошибки или предположительно случайно сгенерированный текст — это может указывать на то, что AutoRuns обнаружил программное обеспечение, требующее детального изучения.
Ищите временные папки. Вредоносные программы часто устанавливаются во временные папки файловой системы. Если у вас есть программа, которая запускается при загрузке устройства, почему она находится во временной папке?
Определите хеш файла и перейдите на сайт virustotal.com. Если вредоносное ПО было установлено от имени администратора, оно может храниться где угодно на диске. Убедитесь, что файл является вредоносным, на virustotal.
Как использовать AutoRuns для удаления вредоносных программ
Во-первых, убедитесь, что вирус запущен на вашем устройстве. Для этого можно открыть диспетчер задач, однако мы рекомендуем использовать Process Hacker — один из инструментов для анализа вредоносных программ. После загрузки нажмите правой кнопкой мыши на значок на рабочем столе и выберите «Запуск от имени администратора».
После запуска Process Hacker можно найти вредоносное ПО, запущенное на устройстве.
Нажав на название вредоносной программы правой кнопкой мыши, мы можем найти файл на диске, выбрав Open file location (открыть расположение файла).
После этого в проводнике Windows будет открыта папка с данным файлом.
Перетащив файл в такой инструмент, как PeStudio, мы можем получить хеш файла.
Bf48a5558c8d2b44a37e66390494d08e
Переход на virustotal и определение хеша покажет, что это RAT (троян удаленного доступа), известный под именем Nanocore.
Чтобы остановить выполнение вредоносной программы, нажмите правой кнопкой мыши на соответствующее имя процесса и выберите «Завершить».
После этого AutoRuns позволяет удалить механизмы персистенции, используемые для запуска вредоносного ПО.
Теперь вирус можно удалить из проводника Windows.
Советы по использованию AutoRuns от Sysinternals
Мы не рекомендуем использовать AutoRuns в качестве единственной формы обнаружения и удаления вредоносного программного обеспечения. Если вы выявили и удалили вредоносную программу с помощью описанных методов, стоит принять во внимание следующее:
Имеются ли у вас резервные копии файлов и данных? Если ваше устройство взломали, высока вероятность того, что на нем могут находиться другие вредоносные программы. Наличие резервных копий гарантирует возможность восстановления данных устройства, что дает уверенность в полном устранении последствий вторжения.
Какое антивирусное ПО у вас установлено? Если у вас установлен антивирус, но ваше устройство по-прежнему инфицировано, значит, ваши механизмы безопасности не сработали и, возможно, пришло время инвестировать в более надежную систему защиты данных.
Используйте функцию сравнения AutoRuns, чтобы упростить проверку на наличие нежелательного программного обеспечения, которое продолжает действовать на вашем устройстве. Для этого нужно запустить AutoRuns на неинфицированном устройстве, выбрать File (файл) и Save (сохранить).
Теперь вы можете сравнить эти результатами с результатами будущих проверок с помощью AutoRuns. Для этого выберите File (файл), а затем Compare (сравнить).
В примере ниже мы выбираем результаты, сохраненные в файле clean.
После этого AutoRuns будет показывать только новое ПО с механизмом персистенции. Это позволяет исключить легитимные программы, установленные на неинфицированном устройстве.
Чаще всего AutoRuns используется для выявления вредоносных программ, однако в этой статье мы продемонстрировали, как этот инструмент может обнаруживать разные способы, с помощью которых вредоносное ПО пытается продолжить работу на вашем устройстве.
Еще одной привлекательной характеристикой AutoRuns является цена! Есть множество бесплатных инструментов, которые могут помочь вам выполнить не только проверку на наличие вредоносных программ, но и ряд задач системного администрирования, поэтому обязательно прочитайте эту статью, где рассказывается о 21 бесплатном инструменте, которые должен знать каждый системный администратор.
Если угроза того, что вредоносное ПО остается незамеченным в вашей организации, является для вас актуальной, посмотрите, как мы останавливаем кибератаки, а также демонстрацию наших методов реагирования на угрозы.
Автозагрузка Windows и Autoruns – инструкция для начинающих
Зачем нужна автозагрузка
Автозагрузка (не путать с автозапуском – функцией автоматического открытия программ с подключенного диска или флешки) нужна для того, чтобы после включения компьютера запускались как программы, необходимые для работы Windows, так и посторонние программы. Например, антивирус обязан запускаться одним из первых, чтобы опередить возможные угрозы. Рабочий стол (explorer.exe) – тоже программа, часть операционной системы, запускается чуть ли не самым первым, даже раньше антивирусов.
Способов автоматического запуска программ много, их можно отследить специальными программами. О самой лучшей далее, но сначала о том, какие программы чаще всего прописываются в автозагрузку Windows.
Что бывает в автозагрузке
Антивирусы. Это наиболее частые программы, которые сидят в автозагрузке большинства компьютеров. Конечно, при условии, что вы заботитесь о безопасности компьютера.
Компоненты драйверов. Например, драйвер видеокарт Intel прописывают программы с малопонятными названиями hkcmd и igfxtray, предназначенные для работы горячих клавиш и отображения значка настроек в трее (возле часов). От AMD и nVidia тоже есть схожие программы.
Драйвера для цифровых камер любят прописывать в автозагрузке программы, отслеживающие факт подключения камеры и предлагающие что-нибудь сделать с фотографиями.
Драйвер звуковых карт Realtek дает прописку программе RAVCpl64.exe – это Диспетчер Realtek HD, без которого звук в некоторых случаях не будет направлен на подключенные наушники.
Полезность многого софта, идущего с драйверами, сомнительна, но нужно быть осторожным. К счастью, все можно включить обратно.
Программы для корректной работы ноутбука от производителя. Если Windows установлена на ноутбуке, то в автозагрузке будет n-ое количество программ для управления Wi-Fi, горячими клавишами, энергосбережением и так далее. От чего-то можно отказаться, что-то необходимо.
Программы для корректной работы настольного ПК. Обладатели сборок ПК от именитых производителей Acer, Dell и других могут обнаружить софт, подобный вспомогательному для ноутбука. Чаще всего это программы для шифрования и резервного копирования информации, удаление которых работе компьютера не помешает.
Тулбары, рекламный софт, вирусы. Частые гости на компьютерах даже продвинутых пользователей. Выскакивает реклама при запуске браузера? Компьютер слащавым голосом обещает прибыль от вложений денег в очередную пирамиду? Ваш пароль от вконтакте постоянно крадут? Это все они – трояны и рекламная хр… фигня.
Особняком стоят службы. Программы, которые мы не видим, выполняющие важную (и не очень) работу. Стандартные службы Windows лучше не отключать, потому что это чревато, сторонние – можно. Например, популярный плеер PowerDVD устанавливает службу PowerDVD RC Service (PDVDServ.exe). Она нужна для управления воспроизведением видео с пульта управления. Вот только он есть далеко не всегда, службу можно отключить.
Системные программы. Без них ваш компьютер будет работать не так, как надо. Сюда относится программа Проводник (explorer.exe), по совместительству – Рабочий стол, службы и драйвера, являющиеся частью системы. Их легко отличить от посторонних, отключать не следует.
Зачем чистить автозагрузку?
Может, оставить все как есть?
Если вам лень, вы боитесь или все устраивает – закройте вкладку и живите спокойно дальше. Но если в вас живет мятежный дух, который хочет, чтобы ваш компьютер быстрее грузился, чтобы перестали появляться непонятные программы – очистка автозагрузки будет верным шагом. Просто будьте внимательны и делайте это на свежую голову.
Научившись чистить автозагрузку, вы сможете облегчить работу любому компьютеру (или ноутбуку), который попадет в ваши руки. Для этого нужно немного вашего времени, а также программа вроде Ускорителя компьютера или Autoruns.
Программа Autoruns
Бесплатная программа Autoruns позволит узнать о всех программах, запускаемых после включения компьютера.
Скачать Autoruns можно по прямой ссылке. Язык только английский. На просторах интернета есть русские версии Autoruns, но не факт, что они будут самыми новыми.
Устанавливать программу не надо (да и не получится), достаточно куда-нибудь распаковать файл Autoruns.exe.
В архиве две версии – Autoruns.exe (о ней далее) и консольная версия autorunsc.exe, которая большинству пользователей домашних компьютеров не нужна.
Советую запускать программу от имени администратора, чтобы она получится максимум прав в системе и могла отключать всё-всё-всё.
Совет: запускайте программу от имени администратора, чтобы были доступны все возможности
При первом запуске программы вам нужно согласиться с лицензионным соглашением, нажав “Agree”.
Окно программы
Autoruns проста в обращении. Главное окно программы – список с перечнем всех программ, запускающимся при загрузке Windows. Вкладка Everything нужна для показа всех запускаемых программ скопом, остальные вкладки – только отдельные способы запуска:
Главное окно программы Autoruns
Вас может запутать большое количество вкладок и строк. К счастью, можно и нужно фильтровать “ненужные” пункты. Не снятием галочки (это исключение программы из автозапуска), а с помощью настроек, о чем я расскажу далее. Когда исчезнет большая часть пунктов, разобраться проще.
Включение проверки на вирусы
Нам нужно убрать компоненты Windows и выделить вероятные вирусы. Для этого нажимаем меню Options – Scan Options – отмечаем галки, как на скриншоте ниже, нажимаем Rescan:
Чтобы вы лучше понимали, что делаете, расскажу о пунктах:
После нажатия Rescan программа будет долго обновлять список, проверяя каждую программу на ее “вредоносность”.
Если у вас нет интернета, советую скачать любой одноразовый антивирус и проверить компьютер им. К сожалению, из-за этого не получится узнать, были ли в автозагрузке вирусы: антивирус их удалит без оповещения о том, запускались ли они автоматически.
Удаляем вирусы из автозагрузки – что означают разные цвета
На этом этапе нам нужна вкладка Everything, чтобы видеть все способы запуска программ.
После обновления списка некоторые пункты окрасятся в желтый и розовый цвета, возле некоторых будут красные цифры.
Пункты, подсвеченные желтым, трогать нежелательно. Желтый цвет говорит о том, что программы нет, но пункт в автозагрузке есть. К сожалению, Autoruns не всегда корректно определяет, на месте ли файлы драйверов и выделяет их желтым, отключение ведет к глюкам вплоть до невозможности запустить операционную систему, поэтому лучше их не трогать, пока не разберетесь, что к чему.
Розовые пункты и с цифрами говорят о проблемах:
При желании можно погуглить по названию и узнать подробности, но важнее всего сделать следующее:
1. Снять галку с такого пункта. Это отключает автозапуск программы, что равнозначно удалению, только можно потом все вернуть обратно (при ложной тревоге).
2. Задуматься о смене вашего антивируса, потому что он молчал. О бесплатных антивирусах, способных конкурировать с “большими” собратьями, я рассказывал еще в 2012 году. Советы актуальны и сегодня.
3. Перезагрузить компьютер и снова запустить Autoruns. Если время дорого, просто нажмите F5 на клавиатуре – это обновит список. Поможет выявить вирусы, возвращающие себя в автозагрузку. Если такие есть, советую проверить компьютер с помощью бесплатной HerdProtect, которая агрессивнее удаляет угрозы. Еще есть бесплатная программа AVZ, которая используется множеством специалистов, но она сложна в освоении новичкам. Далее я расскажу о том, как удалить такие программы вручную.
Пункты, подсвеченные розовым, требуют внимания. Они означают, что у программы нет цифровой подписи. Цифровая подпись может быть даже у вирусов, если создатели раскошелились, поэтому на отсутствие следует обращать внимание только тогда, когда ее нет у программ от Майкрософта – авторов Windows.
Нет цифровой подписи.
Пример того, что с файлом все в порядке, ниже:
Итог: пробегаем по списку на вкладке “Everything” (“Все”), отключая обнаруженные вирусы, перезагружаем компьютер.
Чистим автозагрузку – вкладка Logon
После удаления нечисти наверняка останется множество пунктов. Руки так и чешутся отключить их, да? Чувствуете ведь, что компьютер станет включаться еще быстрее.
Открою секрет – отключить можно все на вкладке Logon и компьютер даже будет работать. Но лучше перестраховаться.
В меню Options программы Autoruns поставьте галки на первые три пункта:
Затем переходите на вкладку Logon (“Вход в систему”) и снимите галки в списке со всех пунктов, кроме тех, где в колонке Publisher есть (Verified) Microsoft Windows (обычно первый пункт), а также из списка в следующей главе.
Что отключать не следует
Не следует отключать программы, идущие с драйвера звуковой карты, видеокарт и так далее. Причина: возникающие при этом глюки. Не будет переключаться вывод звука на наушники при их подключении, дополнительные кнопки клавиатуры не сработают, могут быть проблемы с запуском игр и так далее.
Смотрите на колонку Publisher (“Издатель”). Если есть что-то из списка, не трогайте пункт:
Название может совпадать не полностью. Например, у Intel почему-то издатель разный:
Особняком стоит антивирус. В автозапуске он может быть представлен как одним пунктом, так и несколькими. Теоретически, отключить автозапуск современных антивирусов с помощью программы Autoruns нельзя, потому что антивирусы непрерывно отслеживают свои записи в автозагрузке, на практике – такое случается. В любом случае можно всегда вернуть галку.
После перезагрузки компьютер включится гораздо быстрее. Также будет чист трей (область со значками около часов):
Чистый трей. Остались только системные значки. На вашем компьютере там должен быть и значок антивируса, если все сделали правильно и не отключали его.
Это значит, что большинство программ больше не включаются при запуске Windows. Нет ни Скайпа, ни всяких всплывающих панелей, ничего постороннего. Ляпота!
Чистим дальше – Scheduled Tasks и Services
Не всегда простое снятие галки убирает программу из автозагрузки. Например, наглый рекламный модуль Ask Toolbar просто так не выключить. После перезагрузки компьютера пункт добавится снова:
Что делать в таком случае? Помимо вкладки Logon программы могут запускаться множеством способов. Снова отключаем появившийся пункт, смотрим внимательно на строчку и обходим по очереди вкладки Scheduled Tasks (“Запланированные задачи”) и Services (“Службы”). Где-то найдутся записи программ, похожие на отключенные ранее:
Снимаем с них галки тоже. Упомянутый выше Ask Toolbar, кстати, все равно появится снова, о таких цепких программах дальше.
Велик соблазн отключить все пункты в других вкладках, например, Drivers. Отключение драйверов может привести к тому, что ваша операционная система перестанет загружаться. Как восстанавливать работу компьютера, я написал в статье про AVZ, но занятие это для терпеливых и только если есть второй компьютер под рукой. Отключайте на этой вкладке только те пункты, издатель (колонка Publisher) которого совпадает с отключенным пунктом вкладки Logon. А еще лучше – не трогайте там ничего, пока не столкнетесь с неотключаемыми программами.
Итог: сначала отключаем все на Logon, затем похожее на вкладках Scheduled Tasks и Services.
Если программы добавляются снова
После перезагрузки в списке Autoruns все равно появляются включенные пункты? Причин две:
1. Программа (вирус?) была запущена в этот момент. Она постоянно проверяет себя в автозагрузке и, если запись удаляют, возвращает. Программа Autoruns удаляет запись из реестра Windows сразу же, как только вы снимаете галку в списке, но не проверяет, добавилась ли запись снова. Увидеть это можно, обновив список (нажав F5 на клавиатуре).
2. Когда программа закрывается, она опять-таки проверяет запись. При перезагрузке компьютера, при получении сигнала о завершении работы, вредоносные программы добавляют себя снова.
Нужно гада удалять.
На вкладке Logon нажмите правой кнопкой по пункту, который снова добавляется – Jump to Image. Откроется папка с искомой программой. Ее точное имя можно узнать в колонке “Image path“:
Нажимаем правой кнопкой по файлу (в нашем случае это tbnotifier) и переименовываем ее в, например, tbnotifierблаблабла:
Переименовываем вредоносную программу. Она не сможет запуститься из автозапуска снова, потому что файла со старым именем не будет.
Иногда переименовать не получается из-за ошибки “Файл блаблабла открыт в программе блаблабла2“. В таком случае нажимайте Ctrl+Shift+Esc, запустится Диспетчер задач. На вкладке Подробно ищите упомянутые программы. В моем случае это одна программа, у вас могут быть несколько:
Щелчок мышкой по строчке – Снять задачу – Завершить процесс.
Затем возвращайтесь в Autoruns и идите на вкладку Services. Снова Jump to image по пункту, галка на котором снова появилась и переименовывайте так же, как раньше. Если не получилось из-за той самой ошибки (“Файл открыт в…”), смотрите название службы (первый столбец), запускайте Диспетчер задач, идите на вкладку Службы, ищите такой пункт, правой кнопкой мыши по нему – Остановить:
Пробуйте переименовать файл снова. Наверняка все получится.
Не забудьте заглянуть в папку Scheduled Tasks и посмотреть – вдруг на чем-то появилась галка снова? Снимайте – сейчас программа-вредонос вам не помешает.
Закройте Autoruns, Диспетчер задач и перезагружайте компьютер. Если все-таки галки вернулись (вот засада!), сделайте все то же самое повторно, но вместо выключения компьютера через меню “Пуск” перезагрузите компьютер кнопкой на системном блоке или выдерните батарею, шнур питания из ноутбука. Такая жесткая перезагрузка не позволит вредоносу узнать, что компьютер выключается и надо снова добавлять записи. К сожалению, есть ма-а-аленькая вероятность повреждения файловой системы диска, так что… только на свой страх и риск! Мой опыт говорит о том, что это работает. Есть и другие способы, этот самый быстрый в ущерб надежности.
Что еще можно отключить?
Можно пойти дальше и отключить еще больше программ. Компьютер станет запускаться еще быстрее, исчезнут задержки при запуске программ и открытии папок. Для этого придется объяснить, для чего нужны остальные вкладки и как вообще работает автозапуск Windows. Эта обширная тема предназначена для отдельной статьи. Как только она появится, я добавлю ссылку.
Очистка автозагрузки полезна, но это не панацея от всех бед. Чтобы выжать максимум из компьютера, советую прочитать мои статьи на тему оптимизации Windows.