Использование утилиты Sysinternals Autoruns. Autoruns — расщепляем автозагрузку на атомы

Автозапуск (автозагрузка) программ – это средство, позволяющее без вмешательства человека быстро создать желаемую рабочую среду пользователя путем автоматического старта заранее подготовленного набора программ. В подавляющем большинстве современных домашних компьютеров постоянно выполняется множество автоматически запущенных программ, о существовании которых пользователи не имеют ни малейшего представления. Как и представления о том, откуда эти программы взялись, и зачем они вообще нужны и кому они нужны ли на самом деле? Хотя, для большинства это и не столь важно, до тех пор, пока не возникнут проблемы с повышенным потреблением ресурсов (компьютер стал ”тормозить”), возникновением непомерного интернет-трафика, рекламного спама, вирусного заражения, потерей документов, паролей, денег.

С развитием компьютерных технологий, возможности автоматического запуска постепенно расширялись и достигли такого уровня, что возникла серьезная необходимость контроля со стороны пользователя над процессами автозапуска. Ведь сегодня почти любая программа, начиная от программного обеспечения от производителей оборудования компьютера и завершая бесплатным прикладным ПО, старается осчастливить пользователя постоянными обновлениями, предложениями скидок при переходе на платные продукты, рекламой и т.п. Кроме того, нередко такое, не очень желательное ПО, может заниматься сбором сведений о самом пользователе с отправкой данных через Интернет непонятно кому и непонятно куда. Поэтому, мониторинг автозапуска становится все более востребованным среди пользователей компьютерных систем. Стандартные средства Windows, такие как утилита msconfig.exe или доработанный диспетчер задач Windows 10 c вкладкой ”Автозагрузка” лучше, чем ничего, но все же, более востребованными среди грамотных пользователей становятся программные продукты с возможностью мониторинга максимального числа элементов автозапуска, позволяющие просто, удобно и безопасно управлять автоматически запускающимися процессами начиная от от драйвера и заканчивая скриптами или прикладными программами.

Общие сведения о программе Autoruns.

Autoruns - бесплатная служебная программа из пакета Sysinternals Suite раздела Windows Sysinternals от Microsoft, предназначенная для контроля над автозапуском в среде Windows. Утилита обладает более широким спектром возможностей, чем служебная программа MSConfig , которая входит в состав стандартного программного обеспечения Windows.

Скачать программу можно как в составе пакета Sysinternals Suite, так и отдельным архивом по ссылкам на страницах раздела Windows Sysinternals ресурса Microsoft TechNet. Программа не требует инсталляции в системе, - просто скачайте и распакуйте архив Autoruns.zip в какую либо папку и запустите исполняемый файл autoruns.exe или autoruns64.exe (только для 64-разрядных ОС Windows). В архиве присутствует документация на английском языке autoruns.chm , текстовый файл с кратким описанием и лицензионным соглашением eula.txt и исполняемые файлы для 32-разрядных и 64-разрядных ОС утилиты с графическим интерфейсом Autoruns , и утилиты командной строки Autorunsc .

    Autoruns является одним из самых популярных программных продуктов пакета программ для администрирования и исследования системы Sysinternals Suite, и пожалуй, самым информативным и удобным инструментом для отслеживания точек автоматического запуска процессов в Windows, в том числе, скрытых или необычных, часто используемых вирусами и другим вредоносным программным обеспечением (malware). Autoruns показывает, какие программы настроены на запуск в процессе загрузки, при входе в систему пользователей и возникновении прочих системных событий, причем информация об автоматически стартующих программах отображаются в том порядке, в каком выполняется их запуск.

Поиск и устранение внедрившегося в среду Windows, вредоносного программного обеспечения - это одно из основных направлений использования Autoruns.

Программа позволяет получить полный список точек автозапуска (autostart locations), идентифицировать их местонахождение, исследовать способы и последовательность запуска, обнаружить скрытые точки входа, а также заблокировать, по выбору, автостарт ненужного процесса. Огромные возможности, и удобство использования данной утилиты, сделали просто обязательным включение Autoruns в инструментальный набор средств для практического исследования системы.

Для реализации всех потенциальных возможностей Autoruns, утилита должна выполняться под учетной записью с правами администратора. Кроме работы в среде активной операционной системы (ОС, в которой вы работаете), возможно использование утилиты для анализа точек автозапуска другой ОС, системный каталог которой и каталог с профилем пользователя можно выбрать с помощью главного меню (File - Analyze Offline System ).

После запуска исполняемого файла Autoruns.exe , на экране появится главное окно программы:

Интерфейс программы состоит из пяти частей - строка меню (menu bar), панель инструментов (toolbar), вкладки фильтров источников автозапуска, область вывода данных в виде списка с фиксированными элементами строк, описывающих автоматически запускающийся процесс, и область в нижней части экрана, с детализацией свойств выбранного процесса.

Список точек автозапуска выводится в том порядке, в каком их обрабатывает Windows в процессе загрузки и регистрации пользователя. По умолчанию, открывается вкладка Everything с отображением всех возможных точек автозапуска, отображаемых в главном окне в соответствии с опциями, задаваемыми пунктом Options главного меню. В качестве опций (параметров отображения информации) можно выбрать:

Include Empty Location - показ пустых разделов. Обычно, данная опция выключена.
Hide Microsoft and Windows Entries - скрыть точки автозапуска продуктов Microsoft и процессов самой Windows
Hide Windows Entries - скрыть точки автозапуска, используемые самой Windows
Verify Code Signature - Проверить цифровые подписи программных модулей. Статус проверки будет отображаться в колонке автора программы Publisher и может быть Verified - прошел проверку и Not Verified - не прошел. Для проверки цифровых подписей необходим доступ в Интернет.

При изменении параметров отображения, необходимо обновить экран (нажать F5 ).

Информация о точках автозапуска в окне данных разбита на несколько колонок

Autorun Entry - имя программы. Каждая программа сопровождается значением точки автозапуска (ключ реестра, папка автозапуска, папка задач планировщика). Записи об исполняемом файле соответствует признак включения/отключения автозапуска. Наличие галочки перед именем означает, что процесс будет запущен, отсутствие - процесс заблокирован. Если блокируемый процесс уже выполняется, то отключение автозапуска будет действовать для следующей перезагрузки системы. Процесс блокировки может представлять собой отключение драйвера или службы через реестр, удаление ярлыка из папки автозагрузки, отключение выполнения задачи планировщиком.
Description - краткое описание автоматически запускаемого процесса.
Publisher - Автор программы. Признак проверки цифровой подписи может выводиться как часть колонки Publisher (Veryfied, или Not Veryfied). Наличие и достоверность цифровой подписи является признаком того, что данный процесс не является вредоносным. Недостоверность или отсутствие цифровой подписи, как правило, должно привлечь внимание к данной записи. Однако, неподписанные файлы далеко не всегда могут быть вирусом или другим нежелательным ПО, поскольку наличие цифровой подписи не является обязательным стандартом для производителей программных продуктов.
Image Path - путь и имя исполняемого файла.

Все элементы автозапуска программа Autoruns разбивает на группы, соответствующие различным категориям автозапуска. Выбор категории осуществляется выбором нужной вкладки:

Everything - выводятся все известные утилите Autoruns точки автозапуска.

Logon - выводится информация элементов автозапуска, связанных с инициализацией настроек профилей пользователей системной службой Winlogon (Userinit), оболочки пользователя (Shell) а также различных программ, запускаемых в процессе регистрации, с использованием элементов папки "Автозапуск", разделов реестра Run, RunOnce, Load и т.п. В последних версиях Autoruns в главном меню добавлен пункт User , позволяющий переключаться на отображение точек автозапуска для отдельных пользователей, или системных учетных записей (Local System, Network и т.п.). При выборе иного типа учетной записи, список точек автозапуска для вкладки "Logon" будет изменяться.

Explorer - выводится информация о расширениях оболочки (Shell Extensions) проводника Windows, исполняемых модулях обработчиков событий (Shell Execute Hooks)
Нередко вредоносные программы используют внедрение в данную группу элементов автозапуска своих записей, обеспечивающих возможность контроля над зараженной системой. Наиболее распространенные случаи:

Добавление записи в раздел реестра для автозапуска программ текущего пользователя
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- Тот же прием для всех пользователей
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Добавление файла или ссылки на файл вируса в папке "Автозагрузка"
- Добавление записи в раздел параметров службы Winlogon
Для инициализации профиля пользователя используется ключ реестра
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit стандартно принимающий строковое значение
C:\WINDOWS\system32\userinit.exe,
Ключ содержит запятую в конце записи, и Windows будет автоматически запускать любые программы, которые будут перечислены после данной запятой. Так, например запись C:\WINDOWS\system32\userinit.exe,%TEMP%\svchost.exe обеспечит запуск кроме стандартной программы userinit.exe, еще и svchost.exe, которая никоим образом не может находиться в папке временных файлов \TEMP и вообще запускаться из данной группы точек автозапуска. Все, что записано после userinit.exe, нужно удалить - эти записи обеспечивают запуск вредоносных программ.
userinit.exe выполняет последовательность инициализации профиля пользователя и запускает оболочку (shell) в качестве которой в среде Windows используется Проводник (Explorer.exe) . Проводник реализует графический интерфейс пользователя (GUI) - рабочий стол, средства работы с ярлыками, папками, файлами и т.п. Если Explorer.exe не удалось запустить, то пользователь получает пустой рабочий стол без каких-либо элементов управления.

Для запуска оболочки пользователя используются данные из ключа реестра
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell Стандартное строковое значение данного ключа - Explorer.exe . Если же оно отличается, то вероятнее всего, имеет место вирусное заражение.

Вредоносные программы могут использовать также и точки однократного автозапуска (параметры RunOnce, RunOnceEx), переписывая содержимое данных ключей реестра после каждой перезагрузки или регистрации пользователя.

Дополнительную информацию о подозрительном файле можно получить при использовании механизма поиска сведений в Интернете (Меню Entry - Search Online ) или по контекстному меню правой кнопки мышки. А проще всего - отправить подозреваемый файл на проверку онлайн сканерами. Например, на сайт VirusTotal.com

Internet Explorer - выводится список вспомогательных объектов браузера (BHO - Browser Helper Objects), элементов панели управления Internet Explorer (IE), зарегистрированных элементов ActiveX, дополнительных модулей (plugins), встроенных в обозреватель Итернета (браузер).

Использование уязвимостей обозревателей Интернета - это один из самых распространенных способов вирусного заражения. Современный браузер - это фактически сложный программный комплекс, своеобразный интерпретатор содержимого, получаемого из страниц посещаемых сайтов и кроме того - это программный продукт, свойства которого могут быть расширены или изменены с помощью настроек и дополнительных программных модулей, в том числе и внедряемых сторонними разработчиками. Эти свойства обозревателей Интернета используются и создателями вредоносных программ. Кроме вирусов, к обозревателю могут достраиваться различные нежелательные программные модули, выполняющие подмену механизма поиска, закачку рекламы, слежения за действиями пользователя, подмену домашней страницы и т.п. В большинстве случаев признаком нежелательного ПО является неизвестный издатель, информация о котором отображается в поле Publisher .

Services - выводится список системных служб автоматически загружаемых Windows. Системные службы (сервисы) загружаются до регистрации пользователя в соответствии с настройками, определяемыми разделами реестра

HKLM\SYSTEM\CurrentControlSet\Control

HKLM\SYSTEM\CurrentControlSet\Services

Службы, не имеющие описания, цифровой подписи, или имеющие недействительную цифровую подпись, должны проверяться в первую очередь. Дополнительным признаком неблагонадежности может служить запуск службы из необычного места - каталога временных файлов \TEMP, каталогов профиля пользователя, каталога со странным именем. Исполняемые файлы подавляющего большинства системных служб располагаются в папке \WINDOWS\System32 .

Drivers - выводится список драйверов, запуск которых разрешен (параметр Start в разделе реестра, относящегося к драйверу не равен 4 что означает отключение драйвера.) Иногда встречаются серьезные вирусы, использующие руткит-технологии (rootkit) для маскировки своего присутствия в системе. В случае такого заражения вредоносное ПО устанавливает специальный драйвер, который перехватывает системные вызовы и исправляет результаты их выполнения таким образом, чтобы исключить обнаружение своих файлов, процессов, сетевых соединений. В серьезных случаях, Autoruns, не поможет, и нужно будет воспользоваться специальным ПО для обнаружения руткитов

Scheduled Tasks - выводится список задач, запланированных для выполнения планировщиком (Task Scheduler).
Иногда вредоносные программы обеспечивают свой запуск путем создания специального задания для планировщика задач Windows. Утилита Autoruns позволяет получить список задач и отключить любую из них.

Image Hijacks - выводится информация об использовании символического отладчика отдельных процессов, перечень и параметры которых задаются в разделе реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Также, отображаются точки автозапуска, где возможен старт исполняемых файлов дополнительно к интерпретатору команд (командному процессору), и при открытии любых файлов с расширением.exe

Appinit DLLs - выводится список всех зарегистрированных в системе DLL. Используется для подключения пользовательских библиотек, подгружаемых с помощью user32.dll
Ключ реестра HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls обычно не содержит никаких записей, но может используется легальными программами, а также, и вредоносным ПО, поскольку это обеспечивает внедрение своей DLL во все пользовательские процессы, использующие вызов user32.dll . Если ключ содержит имя какой-либо dll, нужно анализировать информацию об издателе, цифровую подпись, и при необходимости, выполнить онлайн проверку на VirusTotal.

Known DLLs - список библиотек DLL, которые загружаются в ссылающиеся на них прикладные программы.
Поиск вредоносных DLL можно выполнять по тому же алгоритму - анализ описания, сведения об издателе, наличие и достоверность цифровой подписи, при необходимости - проверка на VirusTotal.

Boot Execute - программы, которые должны быть выполнены на раннем этапе загрузки Windows (например, запланированная проверка диска при следующей перезагрузке системы)

Winlogon Notifications - список DLL, которые зарегистрированы для срабатывания при возникновении событий связанных с входом или выходом пользователя из системы (logon/logoff), запуском заставки, завершением работы или перезагрузкой.

Winsock Providers - список провайдеров служб Windows для доступа к сетевым функциям. Обычно - это библиотеки DLL, которые могут подгружаться для взаимодействия приложений с сетевыми службами. Иногда в списке могут присутствовать библиотеки антивирусного ПО или брандмауэра.

LSA Providers - список зарегистрированных провайдеров LSA (Local Security Authority). LSA является частью системы проверки полномочий пользователя и назначения контекста безопасность (Security Context) на основе его учетной записи.

Print Monitors - список драйверов принтеров, которые загружаются в соответствии с записями в разделе реестра

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors

Sidebar Gadgets - список гаджетов установленных пользователями Windows 7 и более поздними ОС

Office - информация о дополнительных модулях офисного программного обеспечения.

Основное меню (menu bar) программы Autoruns .

    Назначение некоторых пунктов меню утилиты Autoruns рассмотрено выше.

    Пункты основного меню File

Find - поиск текста в текущем окне выходных данных Autoruns.
Load - открыть из файла ранее сохраненный отчет Autoruns
Save - сохранить текущий журнал Autoruns.
Compare - сравнение текущего отчета Autoruns с сохраненным ранее. Позволяет быстро определить новые элементы автозапуска, появившиеся с момента сохранения сравниваемого отчета. Новые элементы выделяются зеленым цветом.

Пункты основного меню Entry

    Все пункты меню Entry относятся к выделенному элементу отчета на текущем экране Autoruns. Все опции также доступны из контекстного меню, вызываемого правой кнопкой мышки.

Delete - Удалить элемент автозапуска. Восстановить удаленный элемент средствами самой утилиты Autoruns невозможно. Бездумное удаление критически важных элементов автозапуска может привести к краху системы. Чтобы не удалять элемент, а только заблокировать его, нужно сбросить флажок (убрать галочку) в первой колонке строки данного элемента.
Copy - Копирование данных выделенной строки в буфер обмена.
Verify - Проверить цифровую подпись выделенного элемента.
Jump to - как и в большинстве продуктов Sysinternals, позволяет быстро перейти к тому разделу реестра или каталогу Windows, который связан с данной точкой автозапуска. Очень удобный режим, позволяющий экономить время и нервы при анализе информации. Переход также можно выполнить двойным щелчком на выбранном элементе.
Search Online - Autoruns выполнит запуск обозревателя Интернета и с его помощью выполнит поиск информации о точке автозапуска, связанной с текущим элементом отчета. Используется механизм поиска, на который настроем обозреватель, например, поиск Яндекса
Properties - Отобразить свойства исполняемого файла автоматически запускаемого процесса.
Process Explorer - Запустить утилиту Process Explorer от Sysinternals для отслеживания активности выбранного процесса. Программа Process Explorer должна присутствовать, и должна иметься возможность ее запуска с использованием пути в переменной окружения path

Autorunsc - вариант Autoruns для использования в командной строке.

Autorunsc - это вариант программы Autoruns для работы в командной строке. Удобно использовать для сбора и обработки данных об автоматически запускающихся процессах на удаленных компьютерах, для отслеживания изменений в автозапуске и т.п.

Формат командной строки:

autorunsc [-a[*][b] [c] [d] [e] [g] [h] [i] [k] [l] [-m] [-o] [-p] [-r] [-s] [-v] [-w] [[-z ] | [пользователь]]]

Параметры командной строки:

Примеры использования:

autorunsc /? - отобразить подсказку по использованию программы.

autorunsc –a * - отобразить все элементы автозапуска в данной системе.

autorunsc64.exe -a * |find /i "adobe" - отобразить все элементы автозапуска связанные с программными продуктами Adobe.

autorunsc –a b - отобразить элементы автозапуска связанные с загрузкой данной системы.

autorunsc –s * - отобразить сведения об автоматически запускающихся службах и драйверах.

autorunsc –s * > services.txt - то же, что и в предыдущем примере, но с записью результатов в текстовый файл.

autorunsc64.exe -a w –m - отобразить сведения об элементах автозапуска для Winlogon, исключив записи для программных продуктов Microsoft.

autorunsc64.exe -a w –x - то же, что и в предыдущем примере, но с представлением результатов в XML-формате.

    Одно из основных предназначений Autoruns - поиск и обезвреживание вредоносного программного обеспечения. Мощные возможности исследования и нейтрализации элементов автозапуска позволяют легко справиться с внедрившейся в систему заразой. Любой вирус, лишенный возможности автоматического запуска, становится совершенно безвредным, как например, обычный текстовый файл, хранящийся на компьютере.

При возникновении сомнений в отношении какого-либо элемента автозапуска, приведенного в списке выходных данных Autoruns попробуйте провести подробное его исследование, используя следующие приемы:

Проанализируйте описание, сведения об издателе, наличие и достоверность цифровой подписи.
- Выполните двойной щелчок по исследуемому элементу и проверьте точку его автостарта в реестре или каталоге файловой системы.
- Используйте контекстное меню Search Online или комбинацию клавиш CTRL+M для получения дополнительных сведений по результатам поиска в Интернете.
- Если у вас имеется сохраненный журнал предыдущих сессий - сравните текущие данные с сохраненными (меню File-Compare ).
- Отправьте файл на онлайн проверку VirusTotal.com. Если файл является вредоносным, с большой долей вероятности, служба VirusTotal этот факт подтвердит.
- Для подробного анализа активности подозрительного процесса используйте родственную утилиту от Sysinternals. Можно воспользоваться прямым вызовом утилиты через пункт контекстного меню для выбранного элемента автозапуска.

На сегодняшний день, Autoruns, поддерживаемая разработчиками много лет, является одной из самых эффективных программ для контроля автозапуска. Однако, все более популярными становятся программы мониторинга автозапуска в реальном масштабе времени. Такие программы запускаются автоматически и ведут постоянное наблюдение за состоянием элементов автозапуска, принимая меры при попытке какого-либо ПО ”прописаться” для автоматического старта. Понятное дело, что главными недостатками подобных программ является повышенное потребление ресурсов системы и невозможность полного контроля всех элементов автозапуска. Примером программ мониторинга могут быть бесплатные Anvir Task Manager , отличающийся повышенным потреблением ресурсов, и, менее прожорливый, но значительно уступающий по возможностям PT Startup Monitor .

AutoRun -это программа,используемая в некоторых версиях операционной системы Windows,и которая позволяет системе автоматически установить новую программу для пользователя.В отличие от ранних версий ОС и некоторых других ОС программ, которые требуют от пользователя компьютера, активно прилагать усилия,чтобы установить программу на компьютер.Процесс autorun обычно используется для компакт-дисков (CD) или другого оборудования,которое используется для установки программы на компьютер. AutoRun позволяет обнаружить наличие установки на таком оборудовании,а затем позволяет программе быть легко установленной на компьютере.

Иногда используется как синоним понятия AutoPlay, Автозагрузка - это не то же самое. AutoPlay был синонимично в ранних версиях OS программ,но с тех пор он был организован как отдельная функция автоматического воспроизведения медиа-файлов.AutoRun , с другой стороны,для автоматической установки программ и не влияет на диски или другие форматы,которые содержат мультимедийные данные, такие как видео и музыка.

Когда устройство подключено к компьютеру,который содержит программы,такие как компакт-диск вставленные в дисковод на компьютере или флэш-накопитель USB в порт USB на компьютере, затем операционная система компьютера,как правило, обнаруживает,что устройство.Это вызывает уведомление,которое будет отправлено OS, которая, в свою очередь, начинает процесс автозапуска.Процесс начинается с выявления ОС режима автозапуска если он отключен на компьютере;если это так, то процесс должен идти дальше.

Пока автозапуск включен на компьютере,операционная система ищет файл AutoRun в корневом каталоге программы на носителе. Этот файл позволяет OS легко запустить и установить программу. Как правило,на рабочем столе пользователя появляется всплывающее окно,указывающее,что программа будет устанавливаться автоматически,позволяя пользователю отменить установку или одобрить её.Помимо этого,пользователь не обязательно должен взаимодействовать с установкой программы, хотя большинство программ будет также предоставлять лицензионное соглашение с конечным пользователем (EULA), которое должно быть принято, и может позволить пользователю изменить некоторые аспекты установки.

Без этой возможности в ОС компьютера,программы должны быть установлены вручную.Некоторые пользователи предпочитают устанавливать программы вручную, что позволяет им более легко контролировать, куда и где будет установлена программа,и обычно это не требует больших усилий. В ранних версиях OS, тем не менее, преимущества автоматической установки было гораздо больше, и процесс был введён для уменьшения технической поддержки на вопросы клиентов,касающихся установки программ.

В продолжение цикла статей о свободно распространяемых на утилитах вашему вниманию предлагается обзор утилиты Autoruns, которая позволяет контролировать автозагрузку при старте системы компонентов, сервисов и приложений. Скачать утилиту можно на . Размер архива 139 килобайт.

Утилита не требует установки. Достаточно распаковать архив и запустить autoruns.exe. Пример главного окна утилиты показан на рисунке ниже.

После запуска утилиты в главном окне перечислены объекты, которые автоматически запускаются при старте системы. Чтобы отключить запуск определенного объекта достаточно снять отметку напротив его имени. Отключение не удаляет автозапуск, а лишь отключает его. В последствии можно будет включить автозапуск, вернув отметку около названия, отключенного ранее автозагружаемого компонента.

Чтобы удалить компонент из автозагрузки можно воспользоваться контекстным меню, которое вызывается щелчком правой кнопки мыши на названии объекта или выделить объект и нажать Ctrl+D .

Чтобы просмотреть ярлык для запуска приложения или ключ реестра, который его запускает, можно воспользоваться пунктом меню Entry – Jump to . Откроется Проводник или редактор реестра и будет выполнен переход в то место, откуда запускается приложение.

Autoruns позволяет легко получить дополнительную информацию о приложении или сервисе, которые показаны в главном окне программы. Для этого нужно выделить интересующее приложение и нажать Ctrl+G или выбрать в меню Entry – Google . Autorun сформирует запрос и отправит его на поисковую систему Google, результаты которого можно будет просмотреть браузером.

Для просмотра свойств файла, автоматический запуск которого выполняется при загрузке системы, достаточно выделить интересующий пункт в главном окне Autoruns и выбрать в меню Entry – Properties . Откроется окно свойств файла, такое же, как то, которое открывается щелчком правой кнопки по файлу в Проводнике и выбора Свойства .

При необходимости можно просмотреть информацию об автозагружаемых библиотеках, расширениях Проводника, службах, библиотеках, которые зарегистрированы для отображения событий, возникающих при входе в систему. Для получения всей этой информации нужно отметить один из пунктов Show AppInit DLLs , Show Explorer Addons , Show Services , Show Winlogon Notifications в меню View . Управлять автозапуском перечисленных объектов можно так же, как описывалось выше.

Autoruns позволяет просмотреть те папки и ключи реестра, которые могут использоваться для автозапуска приложений, но в данный момент не задействованы. Для отображения этих мест нужно выбрать в меню View – Include Empty Locations .

При большом количестве записей в главном окне программы может быть полезно скрыть те из них, которые имеют цифровую подпись Microsoft (View – Hide Signed Microsoft Entries ). Отключение показа таких записей позволит быстрее найти автозагружаемый объект.

Утилита Autoruns может работать и из командной строки. Для этого предназначен файл autorunsc.exe, который находится в том же архиве, что и autoruns.exe. Ключи для работы с Autoruns из командной строки приведены в документации к утилите.

Autoruns может быть очень полезна при «чистке» компьютера от самостоятельно установившихся модулей, которые могут открывать страницы, подменять стартовую страницу в браузере, при лечении от некоторых типов вирусов и при оптимизации скорости загрузки системы в целом. Утилита снимает с пользователя необходимость иметь перед глазами список мест, откуда приложение может запускаться при загрузке системы и избавляет его от необходимости вручную проверять все подобные места.

Если вы хотите полностью контролировать работу приложений, сервисов и служб на своем компьютере или ноутбуке, тогда вам обязательно необходимо настроить автозапуск. Autoruns — одно из лучших приложений, которое позволит вам это сделать без особого труда. Именно данной программе и будет посвящена наша сегодняшняя статья. Мы расскажем вам о всех тонкостях и нюансах использования Autoruns.

От того, насколько хорошо оптимизирована автозагрузка отдельных процессов вашей операционной системы, зависит скорость ее загрузки и быстродействия в целом. Кроме того, именно в автозагрузке могут скрываться вирусы при заражении компьютера. Если в стандартном редакторе автозагрузки Windows можно управлять в основном уже инсталлированными приложениями, то в Autoruns возможности намного шире. Давайте разберем более подробно тот функционал приложения, который может пригодиться рядовому пользователю.

Предварительная настройка

Перед тем, как приступить непосредственно к использованию функций Autoruns, давайте сперва настроим приложение соответствующим образом. Для этого делаем следующие действия:

1. Запускаем Autoruns от имени администратора. Для этого просто жмем на иконке приложения правой кнопкой мышки и в контекстном меню выбираем строку «Запустить от имени Администратора» .



2. После этого нужно нажать на строку «User» в верхней области программы. Откроется дополнительное окошко, в котором вам нужно будет выбрать тот тип пользователей, для которого будет настраиваться автозагрузка. Если вы являетесь единственным пользователем компьютера или ноутбука, тогда достаточно просто выбрать ту учетную запись, в которой содержится выбранное вами имя пользователя. По умолчанию данный параметр находится самым последним в списке.



3. Далее открываем раздел «Options» . Для этого просто жмем левой кнопкой мыши на строке с соответствующим названием. В появившемся меню вам нужно активировать параметры следующим образом:



Hide Empty Locations — ставим галочку напротив данной строки. Это позволит скрыть из списка пустые параметры.
Hide Microsoft Entries — по умолчанию напротив данной строки стоит галочка. Вам следует убрать ее. Отключение данной опции позволит отобразить дополнительные параметры Майкрософт.
Hide Windows Entries — в этой строке мы крайне рекомендуем установить флажок. Таким образом вы скроете жизненно важные параметры, изменив которые можно сильно навредить системе.
Hide VirusTotal Clean Entries — если вы поставите отметку напротив данной строки, то скроете из списка те файлы, которые ВирусТотал сочтет безопасными. Обратите внимание, что данный параметр будет работать только при условии, что соответствующая опция включена. Об этом мы расскажем ниже.

4. После того, как настройки отображения будут выставлены корректным образом, переходим к настройкам сканирования. Для этого жмем снова на строку «Options» , а после этого кликаем на пункт «Scan Options» .



5. Вам необходимо выставить местные параметры следующим образом:

Scan only per-user locations — советуем не устанавливать отметку напротив данной строки, так как в данном случае будут отображаться только те файлы и программы, которые относятся к конкретному пользователю системы. Остальные места не будут проверены. А так как вирусы могут скрываться абсолютно в любом месте, то не стоит ставить галочку напротив данной строки.
Verify code signatures — эту строку стоит отметить. В этом случае будет производиться проверка цифровых подписей. Это позволит сразу выявить потенциально опасные файлы.
Check VirusTotal.com — этот пункт мы также настоятельно рекомендуем отметить. Эти действия позволят сразу же выводить на экран отчет о проверке файлов на онлайн-сервисе VirusTotal.
Submit Unknown Images — этот подраздел относится к предыдущему пункту. В случае, если данные о файле в VirusTotal найти не получится, то они будут отправляться на проверку. Обратите внимание, что в данном случае сканирование элементов может занять несколько больше времени.

6. После того, как выставите галочки напротив указанных строк, необходимо нажать на кнопку «Rescan» в этом же окне.



7. Последней опцией во вкладке «Options» является строка «Font» .



8. Тут вы опционально сможете изменить шрифт, стиль и размер отображаемой информации. Выполнив все настройки, не забудьте сохранить результат. Для этого нажмите кнопку «OK» в этом же окне.

Вот собственно и все настройки, которые вам нужно выставить предварительно. Теперь можно перейти непосредственно к редактированию автозапуска.

Редактируем параметры автозапуска

Для редактирования элементов автозапуска в Autoruns присутствуют различные вкладки. Давайте рассмотрим детальнее их назначение и сам процесс изменения параметров.

1. По умолчанию вы увидите открытую вкладку «Everything» . В данной вкладке будут отображены абсолютно все элементы и программы, которые запускаются автоматически при загрузке системы.



2. Вы можете увидеть строки трех цветов:



Желтый . Данный цвет означает, что к конкретному файлу указан лишь путь в реестре, а сам файл отсутствует. Лучше всего такие файлы не отключать, так как это может привести к различного рода проблемам. Если вы не уверены в назначении таких файлов, тогда выделите строку с его названием, а после этого нажмите правой кнопкой мышки. В появившемся контекстном меню выберите пункт «Search Online» . Кроме того, вы можете выделить строку и просто нажать комбинацию клавиш «Ctrl+M» .


Розовый . Этот цвет сигнализирует о том, что у выбранного элемента отсутствует цифровая подпись. По сути, в этом нет ничего страшного, но большинство современных вирусов как раз распространяются без такой подписи.

Белый . Данный цвет — признак того, что с файлом все в порядке. У него присутствует цифровая подпись, прописан путь к самому файлу и к ветке реестра. Но несмотря на все эти факты, подобные файлы все равно могут быть заражены. Об этом мы расскажем далее.

3. Помимо цвета строки следует обращать внимание на цифры, которые находятся в самом конце. Имеется в виду отчет VirusTotal.
4. Обратите внимание, что в некоторых случаях данные значения могут быть красными. Первая цифра означает количество найденных подозрений на угрозу, а вторая — общее число проверок. Подобные записи не всегда означают, что выбранный файл является вирусом. Не стоит исключать погрешности и ошибки самого сканирования. Кликнув левой кнопкой мыши по цифрам, вы попадете на сайт с результатами проверки. Тут вы сможете увидеть на что есть подозрения, а также перечень антивирусов, которые проверку проводили.



5. Подобные файлы следует исключать из автозагрузки. Для этого достаточно убрать галочку напротив названия файла.
6. Удалять лишние параметры навсегда вообще не рекомендуется, так как вернуть их на место будет проблематично.
7. Нажав правой кнопкой мыши на любом файле, вы откроете дополнительное контекстное меню. В нем вам следует обратить внимание на следующие пункты:

Jump to Entry . Нажав на данную строчку, вы откроете окно с местоположением выбранного файла в папке автозагрузки или в реестре. Это полезно в ситуациях, когда выбранный файл нужно удалить полностью с компьютера или изменить его имя/значение.


Jump to Image . Данная опция открывает окно с папкой, в которую данный файл был инсталлирован по умолчанию.


Search Online . Про данную опцию мы уже упоминали выше. Она позволит отыскать информацию о выбранном элементе в интернете. Данный пункт очень полезен в том случае, когда вы не уверены в том, следует ли отключать выбранный файл для автозагрузки.


8. Теперь давайте пройдемся по основным вкладкам Autoruns. Мы уже упоминали о том, что во вкладке «Everything» располагаются все элементы автозагрузки. Другие же вкладки позволяют контролировать параметры автозапуска в различных сегментах. Давайте рассмотрим самые важные из них.

Logon . В данной вкладке располагаются все приложения, установленные самим пользователем. Поставив или убрав галочки из соответствующих чекбоксов, вы легко сможете включить или отключить автозагрузку выбранного софта.


Explorer . В данной ветке можно отключить лишние приложения из контекстного меню. Это то самое меню, которое возникает при нажатии на файле правой кнопкой мыши. Именно в данной вкладке вы сможете отключить надоедливые и ненужные элементы.


Internet Explorer . Данный пункт, скорее всего, не нуждается в представлении. Как следует из названия, в этой вкладке находятся все элементы автозагрузки, которые относятся к браузеру .



Scheduled Tasks . Тут вы увидите список всех задач, которые были запланированы системой. Сюда входят различные проверки обновлений, дефрагментация жестких дисков и прочие процессы. Вы можете отключить лишние запланированные задачи, однако не отключайте те, назначение которых вам не известно.



Services . Как следует из названия, в данной вкладке находится перечень сервисов, которые автоматически загружаются при запуске системы. Какие из них оставлять, а какие отключать — решать только вам, так как у всех пользователей разные конфигурации и потребности в ПО.


Office . Тут можно отключить элементы автозагрузки, которые относятся к софту . По сути можно отключить все элементы для ускорения загрузки вашей операционной системы.


Sidebar Gadgets . К данному разделу относятся все гаджеты дополнительных панелей Windows. В некоторых случаях гаджеты могут загружаться автоматически, но не выполнять никаких практических функций. Если вы устанавливали их, то скорее всего у вас список будет пуст. Но если же вам необходимо отключить установленные гаджеты, то сделать это можно именно в данной вкладке.


Print Monitors . Данный модуль позволяет включать и выключать для автозагрузки различные элементы, которые относятся к принтерам и их портам. Если у вас принтер отсутствует, то можете отключить местные параметры.

Вот собственно и все параметры, о которых мы хотели бы поведать вам в данной статье. На самом деле вкладок в Autoruns гораздо больше. Однако для их редактирования нужны более глубокие знания, так как необдуманные изменения в большинстве из них могут привести к непредсказуемым последствиям и проблемам с ОС. Поэтому если вы все же решитесь изменять остальные параметры, тогда делайте это осторожно.

Если вы обладатель операционной системы Windows 10, тогда вам может также пригодиться наша специальная статья, в которой затрагивается тема добавления элементов автозагрузки именно для указанной ОС.

Если во время использования Autoruns у вас возникнут дополнительные вопросы, тогда смело задавайте их в комментариях к данной статье. Мы с радостью поможем вам оптимизировать автозагрузку компьютера или ноутбука.

– небольшая, но очень полезная утилита, с помощью которой вы сможете полностью контролировать автозагрузку Windows. Autoruns позволяет значительно сократить время загрузки операционной системы, а также найти и обезвредить проникший в систему вирус.

Для того, чтобы ускорить процесс загрузки системы, необходимо отключить ненужные приложения. Для этого в программе надо найти соответствующую приложению запись автозапуска и снять галочку напротив нее.

Вы можете скачать русифицированную версию Autoruns. Программа не требует установки: просто распакуйте скаченный архив и запустите исполняемый файл AutoRuns.exe.

Откроется главное окно программы:
Поначалу оно просто поражает количеством представленной информации. Все элементы автозапуска Autoruns разбивает на разделы, соответствующие различным категориям автозапуска. Чтобы перейти к категории достаточно выбрать нужную вкладку (“Вход в систему”, “Проводник”, “Назначенные задания”, “Службы” и т.д.). По умолчанию при запуске открывается вкладка “Все ” с отображением всех существующих точек автозапуска.

Список элементов автозапуска выводится в том порядке, в каком их обрабатывает Windows в процессе загрузки и регистрации пользователя. Информация о точках автозапуска представлена в нескольких колонках:

• Запись автозапуска (имя программы)
• Описание (краткое описание запускаемого процесса)
• Издатель (автор программы. Если программа никем не подписана, то это должно вас насторожить – нередко неподписанные файлы оказываются вирусами)
• Путь к файлу (путь и имя исполняемого файла)

Некоторые строки в главном окне программы могут быть выделены цветом. Розовым выделяются записи, показавшиеся программе подозрительными. Желтым цветом выделяются те элементы автозапуска, которые не были обнаружены в системе по причине их удаления. Чтобы убрать из автозагрузки ненужное приложение – просто снимаем галочку напротив него.

Одной из основных задач использования Autoruns является поиск и обезвреживание вредоносных программ . Если в списке элементов автозапуска вы обнаружили какую-то подозрительную запись – попробуйте ее подробно проанализировать:

• Выделите запись и посмотрите описание и сведения об издателе в нижней части окна программы;

• Щелкните правой клавишей мыши по исследуемой записи и проверьте точку ее автостарта в реестре или каталоге системы (пункты контекстного меню “Перейти к записи”, “Перейти в папку”);

• Если вы все еще сомневаетесь: вирус перед вами или нет – поищите о нем информацию в интернете (щелкните правой клавишей по записи и выберите пункт “Поиск в Интернете”).

Убедившись, что автозапуск приложения не нужен – снимите с него галку. Если же вам необходимо полностью удалить запись о нем – щелкните по нему правой клавишей и выберите пункт “Удалить”.

Если запущена от имени Администратора, то сверху в строке меню доступен пункт “Пользователь”, с помощью которого можно просматривать параметры автозагрузки других пользователей Windows.

Как вы, наверное, уже поняли: Autoruns – очень полезная утилита. Основное ее предназначение – это увеличение скорости загрузки операционной системы и удаление вирусов, прописавшихся в автозагрузке. Считаю, что она обязательно должна присутствовать в арсенале средств каждого системного администратора.