ШКОЛЬНАЯ НАВИГАЦИЯ
- Каковы инструменты SysInternals и как их использовать?
- Понимание Process Explorer
- Использование Process Explorer для устранения неполадок и диагностики
- Понимание Process Monitor
- Использование Process Monitor для устранения неполадок и поиска файлов реестра
- Использование автозапуска для работы с процессами запуска и вредоносными программами
- Использование BgInfo для отображения информации о системе на рабочем столе
- Использование PsTools для управления другими ПК из командной строки
- Анализ и управление файлами, папками и дисками
- Объединение и использование инструментов вместе
В прежние времена программное обеспечение запускалось автоматически, добавляя запись в папку «Автозагрузка» в меню «Пуск» или добавляя значение в «Запуск» в реестре, но по мере того, как люди и программное обеспечение стали более подкованными при поиске нежелательных записей и удалении их, создатели сомнительного программного обеспечения начали искать способы стать все более и более скрытыми.
Эти теневые компании crapware начали выяснять, как автоматически загружать свое программное обеспечение через вспомогательные объекты браузера, службы, драйверы, запланированные задачи и даже с помощью некоторых чрезвычайно продвинутых методов, таких как захват изображений и AppInit_dlls.
Проверка для каждого из этих условий вручную потребовала бы не только трудоемкого времени, но и практически невозможного для среднего человека.
Вот где Autoruns приходит и экономит день. Конечно, вы можете использовать Process Explorer, чтобы просмотреть список процессов и углубиться в потоки и дескрипторы, а Process Monitor может определить, какие ключи реестра открываются в этом процессе и показать вам невероятное количество информации. Но ни один из них не перестает загружать crapware или malware при следующем загрузке вашего ПК.
Of course, a smart strategy would be to use all three together. Process Explorer sees what is currently running and using up your CPU and memory, Process Monitor sees what the application is doing under the hood, and then Autoruns comes in to clean things up so they don’t come back.
Autoruns позволяет вам видеть почти все, что загружается автоматически на вашем компьютере, и отключить его так же просто, как щелчок по флажку. Это невероятно простое в использовании и почти самоочевидное, за исключением некоторых действительно сложных вещей, которые вам нужно знать, чтобы понять, что на самом деле означают некоторые из вкладок. Вот этот урок будет учить.
Работа с интерфейсом Autoruns
Вы можете захватить инструмент Autoruns с веб-сайта SysInternals, как и все остальные, и запустить его без установки. Вы захотите сделать это, прежде чем продолжить.
Замечания: Автозапускам не требуется запуск как администратор, но в реальности это имеет смысл просто сделать это, поскольку есть несколько функций, которые не будут работать иначе, и есть хорошая вероятность, что ваша вредоносная программа работает как администратор.
При первом запуске интерфейса вы увидите тонну вкладок и список вещей, которые автоматически запускаются на вашем компьютере. На вкладке «Все по-умолчанию» все отображается с каждой вкладки, но она может быть немного запутанной и продолжительной, поэтому мы советуем просто просматривать каждую вкладку отдельно.
Отключение элементов
Чтобы отключить любой элемент в списке, вы можете просто снять этот флажок. Это все, что вам нужно сделать, просто просмотрите список и удалите все, что вам не нужно, перезагрузите компьютер и снова запустите его, чтобы убедиться, что все в порядке.
Замечания:некоторые вредоносные программы будут постоянно отслеживать местоположения, в которых они запускают автозапуск, и немедленно вернут это значение. Вы можете использовать клавишу F5 для повторного сканирования и посмотреть, не вернулась ли какая-либо из записей после их отключения. Если один из них появился снова, вы должны использовать Process Explorer, чтобы приостановить или убить эту вредоносную программу, прежде чем отключать ее здесь.
Цвета
Как и большинство инструментов SysInternals, элементы в списке могут быть разных цветов, и вот что они означают:
- розовый - это означает, что информация об издателе не была найдена или если проверка кода включена, означает, что цифровая подпись либо не существует, либо не соответствует, либо нет информации для издателя.
- зеленый - этот цвет используется при сравнении с предыдущим набором данных Autoruns, чтобы указать элемент, который не был в последний раз.
- желтый - есть запись запуска, но файл или задание, на которые он указывает, больше не существует.
Также как и большинство инструментов SysInternals, вы можете щелкнуть правой кнопкой мыши по любой записи и выполнить ряд действий, включая переход к записи или изображению (фактический файл в проводнике). Вы можете искать в Интернете имя процесса или данные в столбце, просмотреть подробные свойства или посмотреть, работает ли эта запись, выполнив быстрый поиск через Process Explorer, хотя многие процессы имеют загрузчик, который затем запускает что-то еще до выход, так что только потому, что эта функция не показывает никаких результатов, ничего не значит.
Проверка подписи кода
В пункте «Параметры фильтра» вы попадаете на панель параметров, где вы можете выбрать один очень полезный вариант: «Проверить подписи кода». Это проверит, чтобы убедиться, что каждая цифровая подпись проанализирована и проверена, и отобразите результаты прямо в окне. Вы заметите, что все элементы розового на скриншоте ниже не подтверждены или информация издателя не существует.
И для дополнительного кредита вы можете заметить, что этот снимок экрана ниже того же самого, что и в начале, за исключением того, что один из элементов в списке не отмечен как розовый. Разница заключается в том, что по умолчанию без включения параметра Подписи кодов подписи Autoruns будет уведомлять вас только о розовой строке, если информация о издателе отсутствует.
Анализ автономной системы (как при подключении жесткого диска к другому ПК)
Представьте, что компьютер вашего друга полностью перепутался и либо не загружается, либо просто загружается так медленно, что вы не можете его использовать. Вы пробовали безопасный режим и параметры восстановления, такие как System Restore, но это не имеет значения, потому что это непригодно.
Вместо того, чтобы вытащить карту «переустановить», которая часто является «картой« сдачи », вы можете вытащить жесткий диск и подключить его к компьютеру или ноутбуку с помощью удобной док-станции для жесткого диска USB. У вас есть один, не так ли? Затем вы просто загружаете автозапуск и переходите в меню Файл -> Анализ автономной системы.
Сравнение с другим ПК (или предыдущей чистой установкой)
Параметр File -> Compare кажется неописуемым, но он может быть одним из самых мощных способов анализа ПК и просмотра того, что было добавлено с момента последнего сканирования, или для сравнения с известным чистым ПК.
Чтобы использовать эту функцию, просто загрузите автозапуск на ПК, который вы пытаетесь проверить, или используя автономный режим, который мы описали ранее, затем перейдите в Файл -> Сравнить. Все, что было добавлено после сравнения версии файла, будет ярко-зеленым. Это так просто. Чтобы сохранить новую версию, вы должны использовать опцию File -> Save.
Глядя на вкладки
Как вы уже видели, Autoruns - это очень простая, но мощная утилита, которая, вероятно, может быть использована практически всеми. Я имею в виду, все, что вам нужно сделать, это снять флажок, не так ли? Однако полезно иметь дополнительную информацию о том, что означают все эти вкладки, поэтому мы попробуем вас обучить вас.
Следующая страница: вход в систему, запланированные задачи и захват изображений
