Как пользоваться autoruns for windows

Время на прочтение
7 мин

Количество просмотров 22K

Если вы будете четко понимать, как использовать AutoRuns, вы всегда сможете определить, заражен ли ваш компьютер нежелательным ПО.

Примечание: в этой статье рассказано, как можно обнаружить вредоносные программы на домашнем ноутбуке или ПК. Для выявления и удаления вредоносных программ в организации необходимо следовать корпоративному плану реагирования на инциденты.

Что такое AutoRuns?

AutoRuns — это инструмент Microsoft, который выявляет ПО, настроенное на запуск при загрузке устройства или входе пользователя в свою учетную запись. При включении компьютера часто запускается надежное программное обеспечение. Ярким примером является Outlook, поскольку проверка электронной почты нередко являются первым действием после входа в аккаунт.

Если устройство было взломано, то приникшее на него вредоносное ПО должно «выдержать» перезагрузку. После выключения компьютера вредоносной программе требуется определенный механизм для продолжения работы на устройстве. Для этого могут использоваться встроенные функции Windows, позволяющие запускать программы при загрузке.

AutoRuns: основы

На изображении ниже мы видим, что AutoRuns имеет ряд вкладок, в каждой из которых содержатся данные о механизме автозапуска.

Во вкладке Logon (вход в систему) представлена информация о стандартных местах загрузки для всех пользователей устройства. В частности, здесь указаны места запуска программ, а также соответствующие ключи запуска. Ключ запуска является частью реестра устройства: вредоносное ПО часто создает такой ключ, чтобы при загрузке устройства вредоносная программа запускалась автоматически.

Во вкладке Explorer (проводник) отображается информация о следующих элементах:

• Shell extensions (расширения оболочки) — это отдельные плагины для Проводника Windows (например, для предварительного просмотра файлов PDF).

• Browser Helper Objects (объекты помощника браузера) — модули DLL, выполняющие роль плагинов для Internet Explorer.

• Explorer Toolbars (панели инструментов проводника) — это сторонние плагины для Internet Explorer; через панель инструментов осуществляется доступ к сторонней платформе.

• Active Setup Executions (выполнение задач через Active Setup) — механизм для однократного выполнения команд для каждого пользователя во время входа в систему.

Во вкладке Internet Explorer отображаются вспомогательные объекты браузера, панели инструментов Internet Explorer и расширения.

Во вкладке Scheduled Tasks (запланированные задачи) показываются задачи, которые настроены на запуск при загрузке или входе в систему (это часто используется различными семействами вредоносных программ).

Во вкладке Services (службы) отображаются все службы Windows, автоматический запуск которых запланирован при загрузке устройства.

Драйверы позволяют оборудованию взаимодействовать с операционной системой устройства. Во вкладке Drivers в AutoRuns отображаются все зарегистрированные на устройстве драйверы, кроме отключенных.

Image Hijacks (подмена образов) представляет собой довольно коварный метод, заключающийся в том, что ключ для запуска определенного процесса в реестре Windows на самом деле запускает другой, вредоносный, процесс.

В AppInit DLL показаны библиотеки DLL, зарегистрированные как DLL инициализации приложений.

Во вкладке Boot Execute (выполнение при загрузке) отображаются места запуска, связанные с подсистемой диспетчера сеансов (smss.exe).

Известные библиотеки DLL (Known DLL) в Windows — kernel32.dll, ntdll.dll — позволяют программному обеспечению импортировать определенные функции. Некоторые вирусы устанавливают созданные разработчиком вируса вредоносные библиотеки DLL, причем в места, где вы вряд ли будете искать легитимные библиотеки DLL Windows, например во временных папках.

Winlogon используется, когда пользователь входит в систему Windows. В этой вкладке отображаются библиотеки DLL, регистрирующие уведомления о событиях Winlogon.

Во вкладке Winsock Providers (провайдеры Winsock) показываются зарегистрированные протоколы Winsock. Winsock, или Windows Sockets, позволяет программам подключаться к Интернету. Вредоносное ПО может установить себя как провайдера Winsock, чтобы его было сложно удалить. AutoRuns может отключить провайдера, но не удалить его.

Во вкладке Print Monitors показываются библиотеки DLL, загружающиеся в службу буферизации печати. Вредоносное ПО может установить сюда вредоносную DLL.

Провайдеры Windows Local Security (LSA Providers) поддерживают процессы, связанные с безопасностью и аутентификацией.

Как использовать AutoRuns для выявления подозрительного программного обеспечения

Теперь мы хорошо представляем, что может обнаружить AutoRuns, однако на всех скриншотах выше показаны исключительно записи исключительно легитимного программного обеспечения. Как мы узнаем, является ли программа, указанная в AutoRuns, надежной или требующей дополнительной проверки (в частности, вредоносным ПО)?

На изображении выше мы видим, что во вкладке Logon показан созданный ключ запуска для файла ARP Service (выделено красным), который можно найти в следующем месте в реестре:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Это распространенный механизм персистентности, используемый вредоносными программами для «выживания» после перезагрузки. Также мы видим пустые ячейки в столбцах Description (описание) и Publisher (издатель). Само по себе отсутствие описания не означает, что файл является вредоносным, а вот отсутствие подписи и издателя являются поводом для расследования.

В столбце Image Path (путь к образу) можно увидеть место установки программы. В данном случае путь таков: program files\arp service\arpsv.exe.

Поиск этого пути в Google выдает всего два результата, что вызывает сомнения в легитимности программного обеспечения.

Во вкладке запланированных задач также можно увидеть увидеть две строки, относящиеся к программному обеспечению ARP Service, на которое мы обратили внимание.

Нажав правой кнопкой мыши на интересующий файл, мы можем отправить его на сайт virustotal.com. Virustotal — это база данных вредоносных программ, в которой можно узнать о том, признан ли конкретный файл вредоносным разными поставщиками антивирусов.

После отправки файла в столбце Virus Total (общее количество вирусов) будет показано, сколько поставщиков антивирусов классифицировали данный файл как вредоносный. На изображении ниже видно, что 55 из 76 поставщиков определили этот файл как вредоносный.

Вот несколько основных советов по выявлению вредоносного ПО с помощью AutoRuns:

• Google — ваш друг! В случае малейших сомнений выполните в Google поиск имени файла и его местоположения. Задайте себе вопрос: легитимное ли это ПО и в правильном ли месте оно находится?

• Проверьте описание на наличие контрольных признаков (например, грамматические ошибки или предположительно случайно сгенерированный текст — это может указывать на то, что AutoRuns обнаружил программное обеспечение, требующее детального изучения.

• Ищите временные папки. Вредоносные программы часто устанавливаются во временные папки файловой системы. Если у вас есть программа, которая запускается при загрузке устройства, почему она находится во временной папке?

• Определите хеш файла и перейдите на сайт virustotal.com. Если вредоносное ПО было установлено от имени администратора, оно может храниться где угодно на диске. Убедитесь, что файл является вредоносным, на virustotal.

Как использовать AutoRuns для удаления вредоносных программ

Во-первых, убедитесь, что вирус запущен на вашем устройстве. Для этого можно открыть диспетчер задач, однако мы рекомендуем использовать Process Hacker — один из инструментов для анализа вредоносных программ. После загрузки нажмите правой кнопкой мыши на значок на рабочем столе и выберите «Запуск от имени администратора».

После запуска Process Hacker можно найти вредоносное ПО, запущенное на устройстве.

Нажав на название вредоносной программы правой кнопкой мыши, мы можем найти файл на диске, выбрав Open file location (открыть расположение файла).

После этого в проводнике Windows будет открыта папка с данным файлом.

Перетащив файл в такой инструмент, как PeStudio, мы можем получить хеш файла.

Bf48a5558c8d2b44a37e66390494d08e

Переход на virustotal и определение хеша покажет, что это RAT (троян удаленного доступа), известный под именем Nanocore.

Чтобы остановить выполнение вредоносной программы, нажмите правой кнопкой мыши на соответствующее имя процесса и выберите «Завершить».

После этого AutoRuns позволяет удалить механизмы персистенции, используемые для запуска вредоносного ПО.

Теперь вирус можно удалить из проводника Windows.

Советы по использованию AutoRuns от Sysinternals

Мы не рекомендуем использовать AutoRuns в качестве единственной формы обнаружения и удаления вредоносного программного обеспечения. Если вы выявили и удалили вредоносную программу с помощью описанных методов, стоит принять во внимание следующее:

Имеются ли у вас резервные копии файлов и данных? Если ваше устройство взломали, высока вероятность того, что на нем могут находиться другие вредоносные программы. Наличие резервных копий гарантирует возможность восстановления данных устройства, что дает уверенность в полном устранении последствий вторжения.

Какое антивирусное ПО у вас установлено? Если у вас установлен антивирус, но ваше устройство по-прежнему инфицировано, значит, ваши механизмы безопасности не сработали и, возможно, пришло время инвестировать в более надежную систему защиты данных.

Используйте функцию сравнения AutoRuns, чтобы упростить проверку на наличие нежелательного программного обеспечения, которое продолжает действовать на вашем устройстве. Для этого нужно запустить AutoRuns на неинфицированном устройстве, выбрать File (файл) и Save (сохранить).

Результаты будут сохранены в виде файла файл AutoRuns Data с расширением .arn’AutoRuns. В примере ниже я сохранил результаты как файл с именем clean.

Теперь вы можете сравнить эти результатами с результатами будущих проверок с помощью AutoRuns. Для этого выберите File (файл), а затем Compare (сравнить).

В примере ниже мы выбираем результаты, сохраненные в файле clean.

После этого AutoRuns будет показывать только новое ПО с механизмом персистенции. Это позволяет исключить легитимные программы, установленные на неинфицированном устройстве.

Чаще всего AutoRuns используется для выявления вредоносных программ, однако в этой статье мы продемонстрировали, как этот инструмент может обнаруживать разные способы, с помощью которых вредоносное ПО пытается продолжить работу на вашем устройстве.

Еще одной привлекательной характеристикой AutoRuns является цена! Есть множество бесплатных инструментов, которые могут помочь вам выполнить не только проверку на наличие вредоносных программ, но и ряд задач системного администрирования, поэтому обязательно прочитайте эту статью, где рассказывается о 21 бесплатном инструменте, которые должен знать каждый системный администратор.

Если угроза того, что вредоносное ПО остается незамеченным в вашей организации, является для вас актуальной, посмотрите, как мы останавливаем кибератаки, а также демонстрацию наших методов реагирования на угрозы.

Ни для кого не является особым секретом, что большинство процессов в Windows, которая обладает большими возможностями в плане расширения функционала, работают независимо от пользователя. Это системные процессы и различные вспомогательные некритичные службы, например, Windows Audio, благодаря которой на компьютере может воспроизводиться звук. Существует также множество сторонних программ и расширений, которые могут запускаться автоматически вместе с операционной системой и которые с этой точки зрения могут быть как полезными, так и не очень.

Просмотреть их список можно на вкладке «Автозагрузка» Диспетчере задач, но то, что вы там найдёте — это всего лишь малая часть всех процессов, относящихся к категории автозапуска. Чтобы просмотреть их в максимальном объёме, вам понадобится Autoruns — узкоспециализированная утилита, созданная разработчиками Sysinternals и впоследствии приобретённая Microsoft. Предназначается Autoruns для просмотра и управления точками автозапуска, так называемыми ASEP, которых в современных версиях Windows может насчитываться несколько сотен. 

Говоря более простым языком, это места, из которых может запускаться тот или иной процесс и к которым относятся разные ключи реестра, папка автозапуска и встроенный планировщик заданий. Используя возможности Autoruns, вы можете включать и отключать ASEP, а также получать основной набор сведений о тех процессах, из которых они стартуют. А ещё с помощью Autoruns можно создать нечто вроде эталонной карты точек автозапуска, сравнивая которую с последующими «снимками», выявлять новые элементы автозагрузки после установки стороннего программного обеспечения или обновления системы.

Интерфейс утилиты представлен классическим и графическим меню, набором вкладок для сортировки ASEP и собственно самим списком ASEP. В нижней части рабочего окна программы расположена область сведений о «привязанных» к точкам автозапуска процессах. Каждая строка в списке содержит статус, значок и имя записи автозапуска, краткое описание, название издателя, полный путь к исполняемому файлу процесса. Для более удобной идентификации точек запуска используется цветовая гамма. Так, жёлтый цвет указывает на наличие самого элемента автозапуска, но отсутствие сопоставленной ему программы; розовым цветом помечаются записи, не имеющие описания и/или имени поставщика; голубым выделяются категории точек автозапуска, чисто для удобства.

По умолчанию все элементы автозагрузки выводятся на вкладке Everything, то есть все, однако в программе реализована возможность их сортировки по типу. Для этого в Autoruns и существуют вкладки. Вкратце рассмотрим их назначение.

• Logon. Содержит элементы автозагрузки текущего пользователя.

• Explorer. Включает элементы расширения оболочки, те же пункты контекстного меню Проводника.

• Internet Explorer. Элементы, стартующие вместе со старым браузером Internet Explorer — расширения и панели.

• Scheduled Tasks. Задачи встроенного планировщика заданий.

• Services. Эта вкладка содержит запускающиеся вместе с системой службы, в том числе службы Microsoft.  

• Drivers. Запускаемые при старте Windows драйвера.

• Codecs. Запускаемые при старте Windows кодеки.

• Boot Execute. Вкладка содержит приложения, которые запускаются при загрузке Windows и выполняют какое-то задание, например, сканирование антивирусом на раннем этапе загрузки или проверка системного раздела утилитой chkdsk.

• Image Hijacks. Так называемые краденные образа, точки автозапуска, из которых стартует не та программа, которую указал пользователь.

• AppInit. Вкладка показывает элементы, которые загружают указанные в разделе реестра Appinit_Dlls библиотеки в процессы, использующие системный файл user32.dll. В современных ОС Windows неактуальна.    

• Known DLLs. Известные библиотеки. После чистой установки Windows рекомендуется создать снимок содержимого этой вкладки, чтобы иметь возможность проверить, не удалили ли вредоносные программы существующие элементы и не заменили ли их поддельными DLL.

• Winlogon. Вкладка отображает библиотеки событий при загрузке Windows.

• Winsock Providers. Автозагружаемые элементы, необходимые для подключения к интернету. По умолчанию скрыты.

• Print Monitors. Элементы автозапуска, необходимые для работы принтера. Системные мониторы печати по умолчанию скрыты.

• LSA Providers. Элементы, связанные с безопасностью сети. Представлены DLL, используемыми процессом Lsass.exe или Winlogon.exe. Скрыты по умолчанию.

• Network Providers. Автозагружаемые элементы, работающие с настройками сети. Скрыты.

• WMI. Элементы из базы данных WMI — инструментария управления Windows.

• Office. Эта последняя вкладка содержит ASEP модулей офисного пакета Microsoft Office, если оный установлен на компьютере.

Теперь, когда вы приблизительно знаете назначение ASEP разных категорий, можно переходить к практике, но ещё нужно сказать пару слов о том, что можно и что нельзя трогать в Autoruns. Показ всех системных ASEP в программе отключён в меню Options → Hide Windows Entries, и мы бы не рекомендовали его включать без крайней нужды. Среди системных точек автозапуска имеется немало важных элементов, отключение или удаление которых способно привести к некорректной работе операционный системы или даже невозможности её загрузки. Для начала разумно было бы отключить и показ элементов Microsoft.

Безопасными в Autoruns с отключёнными элементами Hide Windows Entries и Hide Microsoft Entries являются вкладки Logon, Explorer, Internet Explorer Scheduled Tasks и Services, содержимое которых может быть отключено полностью и без опасений, что система завалится. Но и здесь нужно проявлять рассудительность, например, вкладка Services содержит точки автозапуска служб сторонних антивирусов, брандмауэров, эмуляторов, VPN-клиентов и других программ, работающих в фоне.

При работе с Autoruns лучше всего придерживаться следующего правила: отключать можно только те элементы автозагрузки, назначение которых вам хорошо известно. Не рекомендуется без предварительного анализа удалять или отключать элементы, помеченные жёлтым или розовым цветом. Отсутствие описания и имени поставщика само по себе ещё ни о чём не говорит, равно как и их наличие, ибо любой разработчик стороннего ПО может прописать в эти поля любые текстовые данные, подлинным элемент можно считать лишь тогда, когда рядом с названием поставщика будет указано (Verified).

Сама по себе процедура управления автозагрузкой в Autoruns очень проста. Чтобы отключить ASEP, нужно снять расположенный напротив неё флажок, если же вы хотите удалить точку автозагрузки, нужно ее выделить и нажать Ctrl + D либо выбрать в контекстном меню соответствующую опцию. 

В некоторых случаях изменения вступают в силу немедленно, в других потребуется перезагрузка компьютера. Например, мы хотим отключить расширение Проводника, добавляющее в окно просмотра свойств исполняемых файлов вкладку Icon для просмотра и извлечения иконок, не удаляя само расширение. Как нетрудно догадаться, эта ASEP находится на вкладке Explorer. Снимаем флажок, открываем свойства любого exe-файла и видим, что вкладка Icon исчезла.

Подобным образом мы могли бы подчистить контекстное меню Проводника, правда, для этого нам бы пришлось запустить Autoruns с правами администратора и включить показ точек автозапуска Windows. Допустим, мы не пользуемся опциями «Копировать в папку…» и «Переместить в папку…». За отображение этих опций в меню отвечают ASEP «Copy To» и «Move To» в ключе HKLM\Software\Classes\AllFileSystemObjects\ShellEx\ContextMenuHandlers. Снимаем с них галки и видим, что опции исчезли из меню.

Если вы уверены в бесполезности элемента, можете его удалить, но помните, что эта операция является необратимой, по крайней мере для самой Autoruns, поэтому создание системной точки восстановления перед внесением изменений в конфигурацию Windows всё же не помешает.

Из дополнительных функций Autoruns хотелось бы обратить внимание на опцию Check VirusTotal в контекстном меню, позволяющую с помощью сервиса проверять ASEP на предмет заражения. «Точечная» проверка требует подтверждения со стороны пользователя, также вы можете включить проверку по умолчанию в меню Options → Scan Options, выставив настройки как показано на скриншоте и нажав «Rescan». 

При этом в крайней правой колонке VirusTotal для всех ASEP появится мини-отчёт, представленный двумя цифрами в формате 0/1, где 0 — количество обнаружений, а 1 — количество проверок. Отчёты формируются на базе хэшей, если же контрольная сумма конкретного файла отсутствует в базе VirusTotal, при включенной опции Submit Unknown Images файл будет отправлен на сервер для анализа.

Ну что же, будем, наверное, заканчивать. Говорить о Autoruns можно ещё долго, но и сказанного нами должно быть достаточно для понимания принципов работы с этим мощным инструментом. А ещё главнее понимать, чему служит та или иная точка автозапуска, отключить же её дело одного клика.

Совершенно естественными выглядят действия пользователей, которые пытаются хоть как-то ускорить запуск и работу установленной на компьютере версии операционной системы Windows. Вследствие того, что собственные средства системы не позволяют произвести абсолютно полную и тонкую настройку параметров, для таких целей разрабатывается масса специальных приложений. И одно из самых интересных – Autoruns. Как пользоваться программой, задействовав абсолютно все ее возможности в среде Windows, далее и будет рассмотрено. Кроме того, особе внимание обратим на некоторые важные настройки, поскольку чрезмерное увлечение отключением ненужных, как кажется пользователю, компонентов системы может привести к самым непредвиденным последствиям.

Что за программа Autoruns: основное предназначение

Итак, что же это за приложение? Исходя из официального описания разработчика, а также учитывая множество отзывов пользователей и специалистов, в первую очередь приложение относится к инструментам тонкой настройки операционной системы в плане активации или отключения ее компонентов, которые стартуют непосредственно при загрузке, но совершенно не нужны рядовому пользователю. Кроме того, многими отмечается, что приложение способно выступать еще и в роли своего рода информативной утилиты, которая выдает максимально полные отчеты о запущенных службах и процессах. В этом плане она чем-то напоминает небезызвестное приложение Process Explorer. Однако мало кто знает, что данное приложение способно сканировать систему и на предмет наличия вирусных угроз, и на предмет целостности, присутствия или отсутствия некоторых важных файлов. Таким образом, программу Autoruns можно назвать одновременно и оптимизатором, и антивирусом. Насчет второго, конечно, можно поспорить, поскольку приложение выдает уведомления, ссылаясь исключительно на онлайн-ресурсы с антивирусными базами, а не на общепризнанные проверенные средства. Тем не менее приложение достаточно часто выявляет такие скрытые угрозы, которые не определяются ни штатными, ни портативными антивирусными апплетами.

Где скачать приложение?

Что касается загрузки установочного дистрибутива, самым естественным решением выглядит загрузка утилиты непосредственно с сайта разработчика. Не менее часто при задании поиска в интернете можно встретить и ссылки на техническую службу поддержки Microsoft, не говоря уже о бесчисленных ресурсах на просторах Рунета.

Приложение распространяется совершенно бесплатно и включает в себя два основных компонента – Autoruns и Autorunsc (в официальном релизе). Впрочем, рядовому пользователю будет достаточно только первой утилиты.

Примечание: к сожалению, на официальном ресурсе русскоязычная версия этой системной утилиты отсутствует, поэтому скачивать русифицированную модификацию придется из другого источника.

Как установить программу Autoruns для Windows на русском языке?

Теперь предполагаем, что инсталляционный пакет полностью загружен.

Установщик последней модификации 13.91 занимает на диске чуть более 3,6 Мб и включает в себя мануал Autoruns в виде скомпилированного HTML-файла справки (только в официальной версии). Русскоязычная модификация состоит всего из одного EXE-файла.

Для установки/старта программы используется этот исполняемый файл, который в системах Windows седьмой версии и выше (если встроенная регистрационная запись суперпользователя не отключена) следует запустить исключительно от имени администратора. Из полного релиза апплет Autorunsc устанавливать необязательно, поскольку он предназначен для работы с использованием командной строки, а рядовому пользователю достаточно обычного графического интерфейса. Далее следует согласиться с лицензионным соглашением, после чего программа стартует. Обратите внимание, что утилиту в обычном смысле устанавливать не нужно, поскольку она является портативной.

Первый запуск и знакомство с интерфейсом

Наконец, программа запущена. Теперь перейдем непосредственно к тому, как пользоваться Autoruns на русском языке для Windows 7 или любой другой версии системы.

Основное окно по умолчанию отображает все активные текущие процессы. Главная панель включает в себя несколько стандартных меню и специальных вкладок, отвечающих за определенные настройки. Если вы хоть раз использовали приложение Process Explorer, очевидное сходство Autoruns с этой утилитой бросается в глаза сразу же. Окно процессов открывается в развернутом виде и содержит информацию не только о названии самого процесса, но и о пути расположения файлов, сведения о цифровых подписях издателей, дате установки (метке времени) и подозрениях на возможное присутствие вирусов (Virus Total).

Предварительная настройка для зарегистрированных на компьютере пользователей

Поскольку инструкция к Autoruns в русскоязычной версии не представлена, можете загрузить англоязычный пакет и почитать ее на английском. Если такое желание отсутствует, перейдем к непосредственной настройке основных компонентов. В первую очередь нужно выбрать пользователя, если регистрационных записей в системе имеется несколько. Для этого служит соответствующее меню на верхней панели. Однако, если пользователь всего один и является, так сказать, сам себе администратором, этого пункта может и не быть.

Основные компоненты меню опций

Говоря о том, как пользоваться Autoruns.exe, нельзя упускать из виду некоторые важные параметры отображения системных компонентов, процессов и служб. Предварительно перейдите в меню выбора и обратите внимание на настройки, выставленные по умолчанию.

Из первых четырех пунктов активированным рекомендуется отставить только сокрытие записей Windows, что позволит не нанести ущерба жизненно важным компонентам самой операционной системы. Все остальное можно будет редактировать, а заодно получить сведения о возможных подозрениях на вирусы.

Примечание: далеко не все процессы системы могут запускать от имени администратора по умолчанию, поэтому в файловом меню программы Autoruns (File), любой отмеченный процесс или службу можно запустить с повышенными привилегиями.

Параметры сканирования

Теперь необходимо настроить опции сканирования, которое впоследствии будет применено для автоматического выявления проблем с возможностью исправления ошибок и сбоев, а также активации дополнительных элементов управления.

Для этого в том же меню выбора следует перейти к соответствующему пункту, а в окне установки опций отметить все строки, кроме первой, чтобы сканирование производилось не только в локации выбранного пользователя, но и во всех других местах (вирусы ведь могут скрываться где угодно). После этого нужно нажать кнопку повторного сканирования и дождаться появления результатов проверки.

Результаты проверки

При обнаружении отсутствующих объектов предупреждения программы будут выданы автоматически.

Так, например, при появлении сообщения, касающегося лаунчера удаленного браузера Opera, в примере выше это свидетельствует о том, что запись в реестре об этом объекте есть, но сам файл отсутствует.

Результаты могут помечены разными цветами, и для них в колонке обнаружения вирусных угроз присутствуют каких-то цифры и числа. Белое выделение соответствует тому, что с процессом, его файлами и дополнительными атрибутами все в порядке.

Розовым помечаются объекты, не имеющие цифровой подписи, а желтым – физически отсутствующие на жестком диске файлы, для которых в реестре остались записи.

В отчете вирусного сканирования первая цифра соответствует числу найденных подозрительных угроз, а вторая – общему числу проверок. Некоторые процессы вирусами могут и не быть. К тому же стоит учитывать и погрешности самого инструментария проверки. Уточнить информацию можно путем клика на выбранном результате, после чего будет произведена переадресация на интернет-ресурс, содержащий подробное описание подозрительного файла или процесса.

Примечание: нередко можно встретить включение в группу риска и некоторых программных продуктов iObit. А вот оптимизаторы, защитники и деинсталляторы этого разработчика лучше не трогать, поскольку вирусами они не являются. Тем не менее, если такие компоненты имеют в отчете цифры красного цвета, их рекомендуется отключить в разделе автозагрузки.

Как пользоваться Autoruns: что удалять или отключать в автозапуске?

Теперь переходим к одному из самых главных разделов – автостарту служб и приложений, которые запускаются вместе с Windows. Разницу в сравнении с системным конфигуратором (msconfig) можно почувствовать сразу. Autorun Manager или средство управления автозагрузкой в описываемой утилите предполагает изначальное отображение всех процессов в главном окне. Чтобы деактивировать какой-то элемент, достаточно просто снять галочку с содержащей его строки. Но как пользоваться Autorun Manager, чтобы случайно не отключить что-то важное? По большому счету, деактивировать можно почти все, оставив только командную строку, антивирус и компоненты, например, относящиеся к работе тачпадов на ноутбуках. Но если действовать грамотно, лучше произвести отключение только помеченных розовым цветом процессов.

Для верности можно посетить вкладку исполняемых апплетов при старте системы. Если там будут показаны пустые локации, их тоже можно удалить или при необходимости найти сведения в онлайн-поиске.

Компоненты входа в систему

На вкладке входа в систему, которая соответствует процессу Logon, отключаются ненужные пользователю элементы, но некоторые из них могут быть деактивированы и в главном окне процессов. Поскольку компоненты Windows не отображаются (эта опция была отключена еще на стадии предварительной настройки), вреда системе вы не нанесете.

Опции «Проводника»

Но, говоря о том, как пользоваться Autoruns, особое внимание стоит обратить на параметры встроенного файлового менеджера, известного под названием «Проводника». Деактивация выбранных компонентов на этой вкладке позволяет изъять их из контекстного меню, что в самой операционной системе можно сделать либо через реестр, либо при помощи сторонних программ. Тут – по желанию.

Параметры Internet Explorer

Теперь несколько слов о том, как пользоваться Autoruns в плане настроек браузера. В принципе, если исходить из статистики, сегодня мало кто из пользователей применяет встроенный в Windows браузер IE или его более продвинутый аналог Edge, поэтому представленные на этой вкладке настройки можно не трогать (или удалить вообще все).

Запланированные задачи, запускаемые службы, компоненты «Офиса», гаджеты и принтеры

Что касается запланированных задач, отключать рекомендуется только те, которые знаете. Если назначение процесса вам не известно, лучше такие компонент без особой надобности не трогать вообще. Со службами особо тоже экспериментировать не следует. Если уж назрела такая необходимость, отключайте, опять же, только те, что знаете или на которых стоят отметки об угрозах. Вкладки драйверов, кодеков, провайдеров или образом лучше не редактировать.

А вот компоненты запуска MS Office можно деактивировать все абсолютно, поскольку в большинстве своем они относятся исключительно к ненужным дополнениям. Наконец, если в не пользуетесь службами печати (нет подключенных принтеров) и боковыми панелями, все элементы соответствующих вкладок тоже можно отключить.

И только после применения всех вышеописанных настроек можно выполнить перезагрузку системы и убедиться, что стартует она намного шустрее, чем до этого.

Возможные ошибки и сбои

Как пользоваться Autoruns, разобрались. Остается сказать несколько слов о возможных ошибках и последствиях отключения некоторых процессов. Многие пользователи жалуются, что иногда невозможным становится откат Windows. По всей видимости, связано это как раз с отключением отвечающей за это службы. При настройке скрывайте системные компоненты, как это было описано выше. Также можно встретить жалобы и на то, что при деактивации служб вроде Mail.Ru Agent программа зависает. В этой ситуации можно посоветовать предварительно отключить автостарт в самом апплете. На крайний случай можете попытаться удалить, а затем переустановить программу, если она вам действительно нужна, а не была инсталлирована в качестве какого-то партнерского ПО. Впрочем, и другие ошибки исправляются подобными методами.

При этом, если хотите обезопасить себя от возможных последствий применения собственных настроек, перед использованием программы сделайте хотя бы резервную копию реестра, воспользовавшись функцией экспорта в самом редакторе (regedit). Восстановить все параметры Windows из созданного REG-файла без задействования автоматического или ручного отката с использованием средств системы из такой копии можно будет элементарно.

AutoRuns — бесплатная утилита для отображения всех процессов в автозапуске операционной системе Windows, монитор автозагрузки на компьютере. Это наиболее полный инструмент, с помощью которого можно управлять программами, процессами, драйверами, модулями, службами или заданиями, другими компонентами системы, связанными с автозапуском.

Программа Autoruns показывает всё, что запускается на ПК при старте Windows. В приложении можно увидеть свойства и параметры автозапуска, отменить автозагрузку ненужных приложений и компонентов.

Autoruns был создан в компании Sysinternals Марком Руссиновичем (Mark Russinovich). В последствии корпорация Microsoft приобрела Sysinternals, а Марк Руссинович стал сотрудником Майкрософт (в настоящий момент времени — технический директор Microsoft Azure). Марк Руссинович продолжает разработку программы Autoruns вместе с Брайсом Когсвеллом (Bryce Cogswell).

Во время старта системы, вместе с Windows, системными службами и приложениями, запускаются стороннее программное обеспечение. Автозапуск приложений не всегда оправдан, потому что нет никакой необходимости в постоянной работе многих программ в фоновом режиме.

Большое количество запускаемых приложений влияет на скорость загрузки системы, работая в фоне, программы бесполезно расходуют ресурсы компьютера, занимают место в памяти. Поэтому, некоторые программы следует отключить из автозагрузки, пользователь может самостоятельно запустить приложение на своем ПК, когда ему это потребуется.

Настройка автозагрузки Windows поможет повысить быстродействие компьютера. Один из способов: использование программы Autoruns для отключения автозапуска ненужных приложений.

Возможности программы Autoruns

С помощью утилиты Autoruns пользователь может воспользоваться следующими возможностями:

• Мониторинг всех мест, из которых происходит автозапуск программ.
• Отображение программ, драйверов, системных служб, заданий в Планировщике, уведомлений Winlogon.
• Монитор автозапуска встроенных приложений Windows (расширения Проводника, Internet Explorer, скрытые объекты браузера, хайджекеры).
• Поиск запускаемых приложений в операционной системе, и отдельно в папке «Автозагрузка», в службах Windows, в реестре (Run, RunOnce), в Проводнике.
• Временная приостановка автозапуска программ с сохранением параметров, а затем восстановление автозапуска приложений.
• Отключение автозапуска программ и компонентов.
• Возможность использования разных учетных записей на компьютере.
• Проверка файлов автозапуска на вирусы в VirusTotal.
• Имеется версия программы Autorunsc для работы в командной строке.

Системные требования программы Autoruns:

• Операционная система Windows XP и выше (Windows 11, Windows 10, Windows 8.1, Windows 8, Windows 7, Windows Vista).
• Поддерживаются 32 битные (х86) и 64 битные (х64) издания ОС.

Программу Autoruns можно скачать с официального сайта Sysinternals. Программа не требует установки на компьютер, запускается из папки. Приложение работает на английском языке.

Autoruns скачать

Довольно часто, Autoruns используют для поиска и обезвреживания вредоносного программного обеспечения. Проведение исследования объектов автозапуска в программе, поможет найти вирус и отключить его автозапуск.

Запуск Autoruns

После загрузки программы на компьютер, для запуска утилиты необходимо выполнить следующие действия:

1. Распакуйте ZIP архив.
2. Откройте папку «Autoruns».
3. Запустите от имени администратора файл «Autoruns» или «Autoruns64», в зависимости от разрядности вашей системы.
4. В окне «AutoRuns License Agreement» нажмите на кнопку «Agree».

Интерфейс Autoruns

Откроется окно «Autoruns», в котором отобразятся все запущенные процессы в операционной системе Windows. По умолчанию, главное окно открывается во вкладке «Everything».

В самом верху окна программы находится строка меню. Из меню происходит управление программой, выполняются различные действия в приложении с помощью команд: поиск файла, сохранение в файл, открытие созданного ранее снимка мест автозапуска и т. д.

Ниже расположена панель инструментов, с помощью которых можно получить доступ к некоторым востребованным функциям программы: сохранение, поиск, переход на другой уровень, свойства, обновление, удаление. Здесь находится поле «Filter:» (Фильтр) для быстрого поиска объектов автозапуска в окне приложения.

Затем идет панель вкладок. После сканирования системы, Autoruns распределяет полученную информацию по разным вкладкам (местам автозапуска). После перехода в нужную вкладку легче найти необходимую информацию, чем в общем списке.

Основное место занимает рабочая область, в которой отображаются сведения о запущенных программах, службах, драйверах и т. д.

Ниже находится панель подробностей, в которой отображены сведения о выделенном объекте.

В строке состояния показана информация о сборе или завершении сбора сведений о местах автозапуска.

Некоторые элементы автозапуска в Autoruns выделены разными цветами:

• Красный цвет — у этого элемента отсутствует цифровая подпись Microsoft.
• Желтый цвет — отсутствующие или перемещенные файлы, информация о которых осталась в реестре.

Если контейнер помечен красным цветом, это не значит, что данный файл является вредоносным программным обеспечением. По какой-то причине у объекта нет подтвержденной цифровой подписи Майкрософт. Обратите внимание на эти файлы, получите информацию о них в интернете.

Элементы, выделенные желтым цветом, отключите из автозагрузки, сняв галку, напротив данного объекта. Затем эти записи можно удалить с компьютера.

Обзор вкладок в окне программы Autoruns

Для удобства получения сведений о местах автозапуска, Autoruns распределяет запускаемые объекты по вкладкам, согласно их функционалу.

В окне программы отображаются контейнеры (папки, файлы, параметры и ключи реестра), используемые для автозапуска, и содержимое контейнера. В столбцах находится информация об объектах автозапуска:

• В столбце «Autorun Entry» (Запись автозапуска) показан способ автозапуска. Если, напротив элемента стоит флажок, это значит, что автозапуск выполняется.
• В столбце «Description» (Описание) находится описание файла.
• В столбце «Publisher» (Издатель) можно получить информацию о производителе объекта автозапуска.
• В столбце «Image Path» (Путь к образу) указан путь к файлу (образу, объекту).
• Столбец «Timestamp» (Отметка времени) отображает время появления файла на компьютере.
• В столбце «VirusTotal» находится информация о проверке файла на сервисе VirusTotal.

Назначение всех вкладок программы:

• Everything (Все) — все записи в одном месте.
• Logon (Вход в систему) — все элементы автозагрузки текущего пользователя, программы из папки «Автозагрузка».
• Explorer (Проводник) — список программ и расширений, прописанных в контекстном меню Проводника.
• Internet Explorer — показаны элементы браузера Internet Explorer, расширения, тулбары.
• Scheduled Tasks (Назначенные задания) — отображены все задания по обслуживанию операционной системы Windows, полученные из Планировщика заданий.
• Services (Сервисы) — службы и сервисы Microsoft, запускаемые при старте системы.
• Drivers (Драйвера) — список драйверов в параметрах которых стоит автозагрузка.
• Codecs (Кодеки) — сведения о аудио и видео кодеках, запускаемых в системе, необходимых для воспроизведения мультимедиа файлов.
• Boot Execute (Выполнение при загрузке) — запускаемые приложения при загрузке Windows, например, проверка диска на ошибки.
• Image Hijacks (Подмена образов) — здесь отображены так называемые хайджекеры (угонщики, перехватчики), подменяющие образы. Они выполняются вместе с оригинальными файлами, подменяя настоящие образы. Используются вирусами.
• AppInit (Инициализация приложений) — отображены приложения, используемые программами.
• Known DLLs (Известные DLL) — список зарегистрированных DLL-библиотек.
• Winlogon (Запуск Windows) — библиотеки событий при загрузке системы.
• Winsock Providers (Поставщики Winsock) — компоненты, необходимые для работы сети.
• Print Monitors (Мониторы печати) — компоненты драйверов принтера.
• LSA Providers (Поставщики LSA) — обработка событий, связанных с безопасностью сети.
• Network Providers (Поставщики сети) — провайдеры, работающие с настройками сети.
• WMI (Инструментарий управления Windows) — элементы из базы данных WMI.
• Office (Офис) — элементы автозапуска Microsoft Office, если офисный пакет программ установлен на данном компьютере.

Отключение автозапуска в Autoruns

Для отключения автозапуска программы, снимите флажок, напротив соответствующей записи. Программа Autoruns выполнит изменение и создаст резервную копию для восстановления параметра, в случае необходимости.

Это более безопасный способ отключения объектов автозагрузки, чем удаление элементов из системы.

Удаление записи из автозапуска в Autoruns

В Autoruns можно удалить запись об автозапуске программы, запускать которую не требуется вместе со стартом системы.

1. Снимите флажок напротив соответствующего элемента автозапуска.

1. Выделите элемент, щелкните по нему правой кнопкой мыши.
2. В контекстном меню нажмите на пункт «Delete» (Удалить).

1. В окне с предупреждением нажмите на кнопку «Да».
2. После этого, объект автозапуска будет удален из операционной системы.

Проверка элемента автозапуска на вирусы в VirusTotal

На онлайн сервисе VirusTotal проводится проверка файлов и ссылок на вирусы, с помощью более, чем 70 антивирусных сканеров. При проверке на сервисе используются базы всех ведущих производителей антивирусного программного обеспечения.

Пользователь имеет возможность проверить подозрительный файл со своего компьютера при помощи приложения Autoruns. Для этого, необходимо пройти следующие шаги:

1. Выделите элемент автозапуска в рабочей области программы.
2. Кликните по нему правой кнопкой мыши, в открывшемся контекстном меню нажмите на «Check VirusTotal».
3. При первом открытии сервиса VirusTotal в браузере по умолчанию, откроется окно с информацией о сервисе.
4. Закройте браузер.
5. Снова нажмите на пункт «Check VirusTotal».
6. В окне программы Autoruns, в столбце «VirusTotal» отобразится результат проверки объекта на вирусы.

Если нажать на ссылку с результатом проверки, откроется окно сервиса VirusTotal с подробной информацией. Здесь указаны антивирусы и результат проверки конкретного сканера.

Массовая проверка объектов автозапуска на вирусы в Autoruns

С помощью программы Autoruns можно запустить массовую проверку всех элементов автозапуска. Выполните следующие шаги:

1. Откройте меню «Options» (Настройки).
2. В контекстном меню выберите пункт «Scan Options…» (Настройки сканирования).
3. В окне «Autoruns Scan Options» поставьте флажок в пункте «Check VirusTotal.com».
4. Нажмите на кнопку «Rescan».

После завершения сканирования, в окне программы в столбце «VirusTotal» появятся результаты проверки элементов автозапуска.

Если в результате проверки обнаружится, что некоторые файлы не прошли проверку, не обязательно считать, что это вирус. Прежде, чем принять решение, поищите подробную информацию об объекте в интернете.

На изображении выше видно, что два антивирусных сканера, что-то нашли в программе Облако Mail.Ru. Понятно, что там вирусов нет, возможно, сканеры ругаются из-за каких-то рекламных предложений.

Выводы статьи

Бесплатная программа Autoruns служит для мониторинга мест автозапуска в операционной системе Windows. С помощью программы можно проанализировать все элементы автозапуска на компьютере, отключить или удалить ненужные объекты автозагрузки, проверить файлы на вирусы на сервисе VirusTotal.

1 Зачем нужна автозагрузка

Автозагрузка (не путать с автозапуском — функцией автоматического открытия программ с подключенного диска или флешки) нужна для того, чтобы после включения компьютера запускались как программы, необходимые для работы Windows, так и посторонние программы. Например, антивирус обязан запускаться одним из первых, чтобы опередить возможные угрозы. Рабочий стол (explorer.exe) — тоже программа, часть операционной системы, запускается чуть ли не самым первым, даже раньше антивирусов.

Способов автоматического запуска программ много, их можно отследить специальными программами. О самой лучшей далее, но сначала о том, какие программы чаще всего прописываются в автозагрузку Windows.

Что бывает в автозагрузке

Антивирусы. Это наиболее частые программы, которые сидят в автозагрузке большинства компьютеров. Конечно, при условии, что вы заботитесь о безопасности компьютера.

Компоненты драйверов. Например, драйвер видеокарт Intel прописывают программы с малопонятными названиями hkcmd и igfxtray, предназначенные для работы горячих клавиш и отображения значка настроек в трее (возле часов). От AMD и nVidia тоже есть схожие программы.

Драйвера для цифровых камер любят прописывать в автозагрузке программы, отслеживающие факт подключения камеры и предлагающие что-нибудь сделать с фотографиями.

Драйвер звуковых карт Realtek дает прописку программе RAVCpl64.exe — это Диспетчер Realtek HD, без которого звук в некоторых случаях не будет направлен на подключенные наушники.

Полезность многого софта, идущего с драйверами, сомнительна, но нужно быть осторожным. К счастью, все можно включить обратно.

Программы для корректной работы ноутбука от производителя. Если Windows установлена на ноутбуке, то в автозагрузке будет n-ое количество программ для управления Wi-Fi, горячими клавишами, энергосбережением и так далее. От чего-то можно отказаться, что-то необходимо.

Если после переустановки Windows на ноутбуке половина функций не заработала даже после инсталляции нужных драйверов — проблема именно в отсутствующем вспомогательном софте. Идите на сайт производителя и скачивайте требуемое со странички вашей модели ноутбука.

Программы для корректной работы настольного ПК. Обладатели сборок ПК от именитых производителей Acer, Dell и других могут обнаружить софт, подобный вспомогательному для ноутбука. Чаще всего это программы для шифрования и резервного копирования информации, удаление которых работе компьютера не помешает.

Тулбары, рекламный софт, вирусы. Частые гости на компьютерах даже продвинутых пользователей. Выскакивает реклама при запуске браузера? Компьютер слащавым голосом обещает прибыль от вложений денег в очередную пирамиду? Ваш пароль от вконтакте постоянно крадут? Это все они — трояны и рекламная хр… фигня.

Особняком стоят службы. Программы, которые мы не видим, выполняющие важную (и не очень) работу. Стандартные службы Windows лучше не отключать, потому что это чревато, сторонние — можно. Например, популярный плеер PowerDVD устанавливает службу PowerDVD RC Service (PDVDServ.exe). Она нужна для управления воспроизведением видео с пульта управления. Вот только он есть далеко не всегда, службу можно отключить.

Системные программы. Без них ваш компьютер будет работать не так, как надо. Сюда относится программа Проводник (explorer.exe), по совместительству — Рабочий стол, службы и драйвера, являющиеся частью системы. Их легко отличить от посторонних, отключать не следует.

Зачем чистить автозагрузку?

Может, оставить все как есть?

Если вам лень, вы боитесь или все устраивает — закройте вкладку и живите спокойно дальше. Но если в вас живет мятежный дух, который хочет, чтобы ваш компьютер быстрее грузился, чтобы перестали появляться непонятные программы — очистка автозагрузки будет верным шагом. Просто будьте внимательны и делайте это на свежую голову.

Научившись чистить автозагрузку, вы сможете облегчить работу любому компьютеру (или ноутбуку), который попадет в ваши руки. Для этого нужно немного вашего времени, а также программа вроде Ускорителя компьютера или Autoruns.

Бесплатная программа Autoruns позволит узнать о всех программах, запускаемых после включения компьютера.

Скачать Autoruns можно по прямой ссылке. Язык только английский. На просторах интернета есть русские версии Autoruns, но не факт, что они будут самыми новыми.

Устанавливать программу не надо (да и не получится), достаточно куда-нибудь распаковать файл Autoruns.exe.

В архиве две версии — Autoruns.exe (о ней далее) и консольная версия autorunsc.exe, которая большинству пользователей домашних компьютеров не нужна.

Советую запускать программу от имени администратора, чтобы она получится максимум прав в системе и могла отключать всё-всё-всё.

При первом запуске программы вам нужно согласиться с лицензионным соглашением, нажав «Agree».

Очень советую перед тем, как отключать что-то, создать точку восстановления. Если вы не знаете, что это такое, прочтите главу «Как создать точку восстановления» моей другой статьи про программу AVZ.

Окно программы

Autoruns проста в обращении. Главное окно программы — список с перечнем всех программ, запускающимся при загрузке Windows. Вкладка Everything нужна для показа всех запускаемых программ скопом, остальные вкладки — только отдельные способы запуска:

Вас может запутать большое количество вкладок и строк. К счастью, можно и нужно фильтровать «ненужные» пункты. Не снятием галочки (это исключение программы из автозапуска), а с помощью настроек, о чем я расскажу далее. Когда исчезнет большая часть пунктов, разобраться проще.

Включение проверки на вирусы

Нам нужно убрать компоненты Windows и выделить вероятные вирусы. Для этого нажимаем меню Options — Scan Options — отмечаем галки, как на скриншоте ниже, нажимаем Rescan:

Чтобы вы лучше понимали, что делаете, расскажу о пунктах:

• Scan only per-user locations — сканируются только программы, находящиеся в папке пользователя. Бесполезный пункт, потому что вирусы могут быть в любой папке диска.
• Verify code signatures — у каждой программы, в том числе у системной, есть цифровая подпись, доказывающая то, что эта программа от такого-то издателя и что файл не изменен (не внедрен программный код вируса). Галка на этом пункте нужна, чтобы определить подмену системных файлов, что делают многие вредоносные программы.
• Check VirusTotal.com — проверка на вирусы каждого элемента автозапуска с помощью онлайн-сервиса VirusTotal. Фактически, это проверка несколькими десятками антивирусов. Не дает стопроцентной гарантии обнаружения, потому что в автозапуске может быть безобидная программа, которая в свою очередь запустит вирус, такое опознать нельзя. Требует работающего интернета. Если у вас появляется окно «You must agree…» («Вы должны согласиться с лицензионным соглашением сайта VirusTotal.com»), нажимайте Yes/Да.
• Submit Unknown Images — отправляет на проверку те программы, которые не найди в базах антивирусов. Если у вас медленный интернет, может сильно замедлить проверку автозапуска (до 10-15 минут), зато можно быть уверенным — проверится все.

После нажатия Rescan программа будет долго обновлять список, проверяя каждую программу на ее «вредоносность».

Если у вас нет интернета, советую скачать любой одноразовый антивирус и проверить компьютер им. К сожалению, из-за этого не получится узнать, были ли в автозагрузке вирусы: антивирус их удалит без оповещения о том, запускались ли они автоматически.

Удаляем вирусы из автозагрузки — что означают разные цвета

На этом этапе нам нужна вкладка Everything, чтобы видеть все способы запуска программ.

После обновления списка некоторые пункты окрасятся в желтый и розовый цвета, возле некоторых будут красные цифры.

Пункты, подсвеченные желтым, трогать нежелательно. Желтый цвет говорит о том, что программы нет, но пункт в автозагрузке есть. К сожалению, Autoruns не всегда корректно определяет, на месте ли файлы драйверов и выделяет их желтым, отключение ведет к глюкам вплоть до невозможности запустить операционную систему, поэтому лучше их не трогать, пока не разберетесь, что к чему.

Розовые пункты и с цифрами говорят о проблемах:

Если вы видите надписи вроде 16/57, то скорее всего эта запись запускает вирус. Цифра слева (16) сообщает о том, сколько антивирусов обнаружило зловреда, справа (57) — сколько проверило всего. Щелчок по надписи открывает страничку с подробностями: какие антивирусы сработали, как называется проникшее зло, когда был впервые обнаружен. Если вы увидите срабатывание одного-двух антивирусов (1/57), то это в 99% случаев ложное срабатывание и такой пункт можно игнорировать.

При желании можно погуглить по названию и узнать подробности, но важнее всего сделать следующее:

1. Снять галку с такого пункта. Это отключает автозапуск программы, что равнозначно удалению, только можно потом все вернуть обратно (при ложной тревоге).

2. Задуматься о смене вашего антивируса, потому что он молчал. О бесплатных антивирусах, способных конкурировать с «большими» собратьями, я рассказывал еще в 2012 году. Советы актуальны и сегодня.

3. Перезагрузить компьютер и снова запустить Autoruns. Если время дорого, просто нажмите F5 на клавиатуре — это обновит список. Поможет выявить вирусы, возвращающие себя в автозагрузку. Если такие есть, советую проверить компьютер с помощью бесплатной HerdProtect, которая агрессивнее удаляет угрозы. Еще есть бесплатная программа AVZ, которая используется множеством специалистов, но она сложна в освоении новичкам. Далее я расскажу о том, как удалить такие программы вручную.

Пункты, подсвеченные розовым, требуют внимания. Они означают, что у программы нет цифровой подписи. Цифровая подпись может быть даже у вирусов, если создатели раскошелились, поэтому на отсутствие следует обращать внимание только тогда, когда ее нет у программ от Майкрософта — авторов Windows.

Пример того, что с файлом все в порядке, ниже:

Если бы было (Not verified) Microsoft Corporation, стоило бы разобраться, что это за программа или чей компонент. Но это для продвинутых, для начала галку стоит снимать только в случае красной надписи справа.

Итог: пробегаем по списку на вкладке «Everything» («Все»), отключая обнаруженные вирусы, перезагружаем компьютер.

Чистим автозагрузку — вкладка Logon

После удаления нечисти наверняка останется множество пунктов. Руки так и чешутся отключить их, да? Чувствуете ведь, что компьютер станет включаться еще быстрее.

Открою секрет — отключить можно все на вкладке Logon и компьютер даже будет работать. Но лучше перестраховаться.

В меню Options программы Autoruns поставьте галки на первые три пункта:

Затем переходите на вкладку Logon («Вход в систему») и снимите галки в списке со всех пунктов, кроме тех, где в колонке Publisher есть (Verified) Microsoft Windows (обычно первый пункт), а также из списка в следующей главе.

Что отключать не следует

Не следует отключать программы, идущие с драйвера звуковой карты, видеокарт и так далее. Причина: возникающие при этом глюки. Не будет переключаться вывод звука на наушники при их подключении, дополнительные кнопки клавиатуры не сработают, могут быть проблемы с запуском игр и так далее.

Смотрите на колонку Publisher («Издатель»). Если есть что-то из списка, не трогайте пункт:

• Microsoft Windows;
• Microsoft Corporation;
• Adobe Systems;
• Google Inc;
• Intel Corporation;
• Advanced Micro Devices;
• nVidia;
• ESET;
• Realtek;
• Kaspersky;
• Comodo;
• Broadcom;
• …а также пункты с названием бренда вашего ноутбука/ПК. Например, Acer.

Название может совпадать не полностью. Например, у Intel почему-то издатель разный:

Особняком стоит антивирус. В автозапуске он может быть представлен как одним пунктом, так и несколькими. Теоретически, отключить автозапуск современных антивирусов с помощью программы Autoruns нельзя, потому что антивирусы непрерывно отслеживают свои записи в автозагрузке, на практике — такое случается. В любом случае можно всегда вернуть галку.

После перезагрузки компьютер включится гораздо быстрее. Также будет чист трей (область со значками около часов):

Это значит, что большинство программ больше не включаются при запуске Windows. Нет ни Скайпа, ни всяких всплывающих панелей, ничего постороннего. Ляпота!

Чистим дальше — Scheduled Tasks и Services

Не всегда простое снятие галки убирает программу из автозагрузки. Например, наглый рекламный модуль Ask Toolbar просто так не выключить. После перезагрузки компьютера пункт добавится снова:

Что делать в таком случае? Помимо вкладки Logon программы могут запускаться множеством способов. Снова отключаем появившийся пункт, смотрим внимательно на строчку и обходим по очереди вкладки Scheduled Tasks («Запланированные задачи») и Services («Службы»). Где-то найдутся записи программ, похожие на отключенные ранее:

Снимаем с них галки тоже. Упомянутый выше Ask Toolbar, кстати, все равно появится снова, о таких цепких программах дальше.

Осторожней с вкладкой Drivers! Велик соблазн отключить все пункты в других вкладках, например, Drivers. Отключение драйверов может привести к тому, что ваша операционная система перестанет загружаться. Как восстанавливать работу компьютера, я написал в статье про AVZ, но занятие это для терпеливых и только если есть второй компьютер под рукой. Отключайте на этой вкладке только те пункты, издатель (колонка Publisher) которого совпадает с отключенным пунктом вкладки Logon. А еще лучше — не трогайте там ничего, пока не столкнетесь с неотключаемыми программами.

Итог: сначала отключаем все на Logon, затем похожее на вкладках Scheduled Tasks и Services.

Если программы добавляются снова

После перезагрузки в списке Autoruns все равно появляются включенные пункты? Причин две:

1. Программа (вирус?) была запущена в этот момент. Она постоянно проверяет себя в автозагрузке и, если запись удаляют, возвращает. Программа Autoruns удаляет запись из реестра Windows сразу же, как только вы снимаете галку в списке, но не проверяет, добавилась ли запись снова. Увидеть это можно, обновив список (нажав F5 на клавиатуре).

2. Когда программа закрывается, она опять-таки проверяет запись. При перезагрузке компьютера, при получении сигнала о завершении работы, вредоносные программы добавляют себя снова.

Нужно гада удалять.

На вкладке Logon нажмите правой кнопкой по пункту, который снова добавляется — Jump to Image. Откроется папка с искомой программой. Ее точное имя можно узнать в колонке «Image path«:

Нажимаем правой кнопкой по файлу (в нашем случае это tbnotifier) и переименовываем ее в, например, tbnotifierблаблабла:

Иногда переименовать не получается из-за ошибки «Файл блаблабла открыт в программе блаблабла2«. В таком случае нажимайте Ctrl+Shift+Esc, запустится Диспетчер задач. На вкладке Подробно ищите упомянутые программы. В моем случае это одна программа, у вас могут быть несколько:

Щелчок мышкой по строчке — Снять задачу — Завершить процесс.

Затем возвращайтесь в Autoruns и идите на вкладку Services. Снова Jump to image по пункту, галка на котором снова появилась и переименовывайте так же, как раньше. Если не получилось из-за той самой ошибки («Файл открыт в…»), смотрите название службы (первый столбец), запускайте Диспетчер задач, идите на вкладку Службы, ищите такой пункт, правой кнопкой мыши по нему — Остановить:

Пробуйте переименовать файл снова. Наверняка все получится.

Не забудьте заглянуть в папку Scheduled Tasks и посмотреть — вдруг на чем-то появилась галка снова? Снимайте — сейчас программа-вредонос вам не помешает.

Можно посмотреть вкладку Drivers, т.к. там может быть драйвер вредоноса. Если вы видите на этой вкладке что-то, очень похоже на снова и снова появляющийся пункт на вкладке Logon, значит, вы «напоролись» на серьезный вирус от знающих свое дело разработчиков. Схема «вирус-драйвер»+»вирус в автозапуске» встречается редко, советую погуглить названия запускаемых программ — вдруг будут советы по правильному удалению таких злодеев.

Закройте Autoruns, Диспетчер задач и перезагружайте компьютер. Если все-таки галки вернулись (вот засада!), сделайте все то же самое повторно, но вместо выключения компьютера через меню «Пуск» перезагрузите компьютер кнопкой на системном блоке или выдерните батарею, шнур питания из ноутбука. Такая жесткая перезагрузка не позволит вредоносу узнать, что компьютер выключается и надо снова добавлять записи. К сожалению, есть ма-а-аленькая вероятность повреждения файловой системы диска, так что… только на свой страх и риск! Мой опыт говорит о том, что это работает. Есть и другие способы, этот самый быстрый в ущерб надежности.

В Windows 8 и 10 в Диспетчере задач есть собственная вкладка «Автозагрузка». Можно попытаться отключить упорно запускающуюся программу там.

3 Что еще можно отключить?

Можно пойти дальше и отключить еще больше программ. Компьютер станет запускаться еще быстрее, исчезнут задержки при запуске программ и открытии папок. Для этого придется объяснить, для чего нужны остальные вкладки и как вообще работает автозапуск Windows. Эта обширная тема предназначена для отдельной статьи. Как только она появится, я добавлю ссылку.

Очистка автозагрузки полезна, но это не панацея от всех бед. Чтобы выжать максимум из компьютера, советую прочитать мои статьи на тему оптимизации Windows.