Файл: Руссинович М., Маргозис А. Утилиты Sysinternals. Справочник администратора 2012.pdf

Глава 5

Autoruns

Я часто слышу такой вопрос: «Что это за штуки работают у меня на компью-
тере?» А за ним часто идет следующий: «Как убрать все это?» Windows — 
платформа с большими возможностями в плане расширения. Программисты 
могут писать не только приложения, которые пользователи запускают вруч-
ную, но и «более удобные» программы, которые запускаются автоматиче-
ски, не утруждая пользователя выбором, нужно ли запускать их или нет. 
Достигают этого, используя видимые и невидимые функции Проводника, 
Internet Explorer и драйверов, управляющих оборудованием. Впрочем, не-
редко целесообразность автозапуска с точки зрения пользователя в лучшем 
случае сомнительна. Иногда это делается для удобства кого-то совершенно 
постороннего, при этом автоматически запускаемая программа действует во 
вред пользователю (такую программу называют вредоносной; см. главу 18).

Программы, запускающиеся автоматически, т.е. без вмешательства поль-

зователя, ниже относятся к категории автозапуска. Сюда входят драйверы 
и службы, запускаемые при загрузке компьютера; приложения, утилиты и 
расширения оболочки, запускающиеся при входе пользователя в систему; 
расширения обозревателя, загружающиеся при запуске Internet Explorer, 
и не только. Вообще, в 32-разрядных версиях Windows более сотни мест в 
файловой системе и реестре, обеспечивающих автозапуск программ, а в x64-
версиях их еще больше. Эти места часто называют точками расширения для 
автозапуска (Autostart Extensibility Points, ASEP).

Точки ASEP создавались с разумными и полезными целями. Например, 

если вы хотите, чтобы люди, с которыми вы общаетесь с помощью мгно-
венных сообщений, знали, когда вы в сети, удобен автозапуск IM-клиента 
при входе в систему. Многим пользователям нравятся поисковые панели и 
средства для просмотра PDF, ставшие частью Internet Explorer. Да и немалая 
часть самой Windows реализована в виде драйверов, служб и расширений 
Проводника, загружаемых через ASEP.

С другой стороны, тем же способом запускаются многочисленные проб-

ные программы, которыми поставщики начиняют свои новые компьютеры, 
забивая область уведомлений панели задач. Так же создаются «полускры-
тые» процессы, которые помогают разработчикам программ быстрее запу-

SIN_ch_05.indd   142

27.12.2011   14:17:52

Autoruns 

Глава 5  143 

скать их приложения. Но нужны ли вам все эти процессы, отъедающие си-
стемные ресурсы? Кстати, почти любое вредоносное ПО использует точки 
ASEP, и почти все ASEP Windows используются той или иной вредоносной 
программой.

В Windows есть утилита Настройка системы  (System Configuration) 

(msconfig.exe, рис. 5-1), позволяющая отследить некоторые точки автозапу-
ска, но она показывает лишь небольшую их часть, а ее возможности огра-
ничены. Кроме того, msconfig требует прав администратора даже для про-
смотра параметров. Значит, с помощью этой утилиты нельзя ни увидеть, ни 
отключить автозапуск программ, настроенный под записями пользователей, 
не входящих в группу Администраторы.

Рис. 5-1.  Утилита MSConfig из Windows показывает очень ограниченный набор 
параметров автозапуска

Мы с Брюсом создали утилиту Autoruns, которая показывает столько то-

чек автозапуска, сколько мы нашли, и позволяет отключать или удалять их. 
Сведения, предоставляемые этой утилитой, можно собрать и вручную, если 
вы знаете, в каких местах реестра и файловой системы их искать. Наша ути-
лита автоматизирует эту задачу, проверяя большое число ASEP за считанные 
секунды и выявляя подозрительные точки, например, не имеющие цифро-
вой подписи. Также мы разработали версию Autoruns для командной строки, 
AutorunsC. Она позволяет делать то же самое с помощью сценариев.

С помощью Autoruns или AutorunsC легко получить эталонный набор 

ASEP в системе, чтобы потом сравнивать с ним результаты новых проходов 
для обнаружения изменений и решения проблем. Многие компании исполь-
зуют Autoruns в своих системах управления изменениями для регистрации 
новых эталонных параметров после каждого обновлении образа рабочей си-
стемы.

Введение в Autoruns

Autoruns сразу после запуска начинает заполнять экран записями извест-
ных ASEP. Как показано на рис. 5-2, каждая подсвеченная строка представ-

SIN_ch_05.indd   143

27.12.2011   14:17:55

144  Часть 

II   

Работа с утилитами

ляет ASEP со значком Regedit, если эта ASEP находится в реестре, или со 
значком папки, если ASEP ссылается на каталог файловой системы

1

. Ниже 

подсвеченной строки идут записи из данной точки ASEP. Каждая строка со-
держит имя записи автозапуска, описание, название издателя и путь к ис-
полняемому файлу, а также значок этого файла. В каждой строке имеется 
флажок, позволяющий временно отключить запись. Панель в нижней ча-
сти окна содержит сведения о выбранной записи, включая полную коман-
ду запуска. На вкладке Everything (Все), которая открывается при запуске 
Autoruns, отображаются все ASEP в системе; остальные 17 вкладок позво-
ляют просматривать отдельные категории точек автозапуска, подробнее о 
них — ниже в этой главе.

Рис. 5-2.   Главное окно Autoruns

В столбце Image Path (Путь к образу) указан полный путь к автома-

тически запускаемому файлу. В некоторых случаях имя этого файла идет 
первым в командной строке автозапуска. Если при автозапуске использует-
ся хост-процесс (такой как Cmd.exe, Wscript.exe, Rundll32.exe или Svchost.
exe), в пути к образу будет указан запускаемый сценарий или DLL, а не файл 
хост-программы. Если запускаемый файл в указанном месте не обнаружен, 
в столбце Image Path будет текст File not found (Файл не найден).

Для файлов, содержащих сведения о версиях, таких как EXE и DLL, столб-

цы Description (Описание) и Publisher (Издатель) заполняются данными 
из полей Description (Описание) и Company Name (Название компании). 
Если цифровая подпись файла проверена, столбец Publisher (Издатель) бу-
дет отображать имя владельца соответствующего сертификата (см. ниже).

1

Запланированные задачи (Scheduled Tasks) отображаются со значком папки, так как парамет-

ры конфигурации задач до Windows Vista хранились в папке %windir%\Tasks. В новой ОС Плани-
ровщик хранит эти сведения в разделе реестра HKLM\SOFTWARE\Microsoft\ Windows NT\
CurrentVersion\Schedule\TaskCache.

SIN_ch_05.indd   144

27.12.2011   14:17:56

Autoruns 

Глава 5  145 

Столбцы Description и Publisher остаются пустыми, если целевой файл 

не найден, если в сведениях о версиях нет полей Description  и  Company 
Name, и если сведений о версиях нет вообще (в случае сценариев так почти 
всегда и бывает).

Для того чтобы быстро найти точку, нажмите Ctrl+F и введите искомый 

текст — Autoruns выделит найденную строку, содержащую этот текст. Чтобы 
найти следующий подходящий элемент, нажмите F3. Чтобы скопировать 
выделенную строку в буфер обмена как текст, разделенный знаками табуля-
ции, нажмите Ctrl+C.

Пока Autoruns сканирует систему, меню Options (Параметры) недоступ-

но. Если требуется изменить параметры (см. ниже), отмените сканирова-
ние, нажав клавишу Esc. Изменение любых параметров в этом меню (кроме 
шрифта) вступит в силу при следующем сканировании. Изменив параме-
тры, нажмите F5 или щелкните кнопку Refresh (Обновить) на панели ин-
струментов, чтоб начать новое сканирование.

Отключение и удаление элементов автозапуска

Autoruns позволяет отключать и удалять элементы автозапуска. Элементы 
удаляются безвозвратно, так что удаляйте их, только если хотите навсегда 
отключить автозапуск приложения. Выберите элемент в списке и нажми-
те клавишу Del. Отменить удаление невозможно, поэтому перед удалением 
элемента появится запрос подтверждения.

Если отключить элемент, сняв флажок рядом с ним, Autoruns сохранит 

данные для восстановления этого элемента. Например, для ASEP из реестра 
Autoruns создает в исходном разделе подраздел AutorunsDisabled, в который 
копирует отключенный параметр, прежде чем удалить его. Windows не обра-
батывает параметры этого подраздела, так что элементы из него запускать-
ся не будут, но Autoruns будет отображать их как отключенные элементы 
автозапуска. Если снова установить флажок, элемент вернется на исходное 
место. Для точек ASEP, расположенных в файловой системе, таких как меню 
Пуск (Start), Autoruns создает скрытую папку AutorunsDisabled, в которую 
перемещает удаленные элементы.

Обратите внимание на то, что удаление или отключение элемента автоза-

пуска предотвращает автоматический запуск этого элемента в будущем, но 
не завершает уже запущенные процессы.

Также учтите, что отключение элементов автозапуска, важных для за-

грузки, инициализации и восстановления системы может так испортить си-
стему, что восстановить ее будет почти невозможно.

Autoruns и администраторские разрешения

Большинство точек ASEP находится в местах, к которым обычным пользо-
вателям разрешен доступ только для чтения. В некоторых версиях Windows 
разделы реестра, содержащие сведения о конфигурации некоторых служб, 

SIN_ch_05.indd   145

27.12.2011   14:17:56

146  Часть 

II   

Работа с утилитами

заблокированы, и многие из запланированных задач недоступны для чте-
ния пользователями. Однако Autoruns обычно прекрасно работает «на про-
смотр» и без администраторских прав. Права администратора требуются 
для просмотра полного списка элементов автозапуска и для изменения со-
стояния системных элементов, таких как куст HKLM и папка Автозагрузка 
(Startup) для всех пользователей. При попытке удалить, отключить или 
включить такой элемент без прав администратора вы получите сообщение 
об отказе в доступе.

В Windows Vista и выше окно с сообщением об ошибке содержит кнопку 

Run as Administrator (Запуск от имени администратора), позволяющую пе-
резапустить Autoruns с повышенными правами (рис. 5-3). С администратор-
скими правами изменение конфигурации должно пройти успешно. Можно 
также перезапустить Autoruns с повышенными правами при помощи меха-
низма UAC, выбрав в меню File (Файл) команду Run as Administrator.

Рис. 5-3.  Отказ в доступе и возможность запустить Autoruns с повышенными правами

Чтобы гарантированно запускать Autoruns с повышенными правами, за-

пускайте утилиту из командной строки с параметром 

–e

. В Windows Vista 

и последующих версиях этот параметр запрашивает повышение привиле-
гий UAC, если они еще не повышены. В Windows XP и Windows Server 2003 
появится диалоговое окно Запуск от имени (Run As). Установите переклю-
чатель в положение учетную запись другого пользователя (The following 
user) и введите учетные данные пользователя, имеющего права админи-
стратора. Подробнее о запуске от имени других пользователей и повышении 
прав через UAC см. в главе 2.

Проверка подписей кода

В принципе любой, написав программу, может вставить в нее название 
«Microsoft Corporation». И если в столбце Publisher (Издатель) указано 
именно это, вовсе не факт, что этот файл скомпилировали в Microsoft и с 
тех пор не изменяли. Определенную уверенность в подлинности источни-
ка и целостности файла дает проверка связанной с ним цифровой подпи-
си. Некоторые файловые форматы позволяют внедрять в файл цифровую 
подпись. Также подпись, необходимая для проверки содержимого одного 
файла, может находиться в другом файле — так можно подписывать даже 
простейшие текстовые файлы.

Чтобы проверить цифровую подпись элемента, выберите его и нажмите 

Ctrl+V. Если файл подписан с действительным сертификатом от корневого 

SIN_ch_05.indd   146

27.12.2011   14:17:56