* Принцип работы утилиты основан на просмотре точек ASEP (Autostart Extensibility Points - точки расширения для автозапуска)Б которые используются DLL-библиотеками, драйверами, кодеками, системными службами (Services) и др. модулями/программами, в том числе и вредоносными, потенциально нежелательными и рекламными, запускаемыми при старте системы Windows (большинство вредоносных программ стремиться бесконечно оставаться на пораженной системе. Поэтому такое ПО всегда использовало точки ASEP. Однако не все вредоносные программы настолько сложны, чтобы не наследить и все равно остаются некоторые демаскирующие признаки, выдающие их присутствие:
- модули, для которых указан известный издатель, например Microsoft, но они не проходят проверку цифровых подписей (к сожалению, не все ПО от Microsoft подписано);
- модули, путь которых указывает на DLL- или EXE-файл без описания или информации об издателе (кроме случаев, когда целевой файл не найден);
- обычные компоненты Windows, которые запускаются из необычных мест; например, если svchost.exe запускается из C:\Windows или C:\System Volume Information, а не из System32;
- модули, для которых временная отметка файла запущенной программы совпадает с временем первого проявления проблем или обнаружения атаки;
- модули, которые после отключения или удаления восстанавливаются и включаются снова (вредоносное ПО часто отслеживает свои точки ASEP и восстанавливает их в случае удаления) и др.
Полагаю, что вышеизложенный материал поможет понять почему эффективность антивирусной программы редко достигает 70%, в то время как утилита Autoruns проверяет большее количество мест, из которых происходит автозапуск программ, чем любой другой монитор автозагрузки. Она показывает, какие программы настроены на запуск в процессе загрузки или входа в систему, причем эти программы отображаются в том порядке, в каком система Windows обрабатывает их. Такие программы могут находиться в папке автозагрузки или быть прописаны в разделах реестра Run, RunOnce и других. Утилиту можно настроить на отображение и других расположений, таких как расширения оболочки проводника, панели инструментов, объекты модулей поддержки обозревателя, уведомления Winlogon, автоматически запускаемые службы и многие другие. Утилита обладает более широким спектром возможностей, чем служебная программа MSConfig, которая входит в состав Windows.
Параметр Hide Signed Microsoft Entries (Не показывать элементы с цифровой подписью Microsoft) позволяет сосредоточить внимание на автоматически запускаемых элементах сторонних производителей, если такие элементы были добавлены в систему. Кроме того, можно просматривать объекты, настроенные на автоматический запуск для других учетных записей, имеющихся в системе. Выходные данные утилиты можно получить в формате CSV.
При просмотре вкладки: Все, Вы наверняка обнаружите пустые записи (в поле: Путь к файлу/Image Path - Файл не найден/File not found, запись выделена желтым цветом. Такие записи - источник потенциальной нестабильности системы и их следует отключить).
Информация, предоставляемая утилитой, имеет большое познавательное значение - в одном месте собрано столько полезных и необходимых данных для пытливого ума. Просто запустите утилиту, и она покажет, какие модули настроены на автоматический запуск, а также представит полный список разделов реестра и каталогов файловой системы, которые могут использоваться для задания автоматического запуска. Элементы, которые показывает утилита, принадлежат к определенным категориям (вкладкам в главном окне программы). Чтобы просмотреть автоматически запускаемые модули требуемой категории, достаточно выбрать нужную вкладку.