名称:AUTORUNS PS:“AUTO”=“自动”;“RUN”=“运行”;因此,“AUTORUNS”=自启动项目组,想必大家已经明白其用途了--用于管理开机自启动项目组的一款软件。 首先看看这个软件包是什么DD:
如图2,我这个AUTORUNS忘记从哪里下载的,貌似只要 AUTORUNS.EXE就可以了,其他DD估计你用不上!帮助文件完全英文,谁要是有兴趣自己去翻译;其它…………个人认为都是鸡肋!这里双击软件包中的AUTORUNS.EXE这个文件,就可以进入该软件主程序的窗口:
AUTORUNS程序主界面如图3: 欲善其事,必先利其器。由于软件首次使用时,默认字体是8号字,比较小,对于近视眼的同志来讲简直是折磨。按照下图步骤,在弹出的对话框中把字体调到10号字以上吧(可惜的是菜单和标签的中文字体大小不能更改,凑活用吧):
调整字体后,我们放眼睛望去,可以见到15个标签,列表下的内容全部是用类似注册表编辑器的方式显示的。
1、“删除”:如果选定了一个自启动值项,该菜单项即可用,可以用来删除所选择的启动项目(可惜不能一次删除多个项目,当然,也不能删除开机自启动项目注册表子项);
4、“跳转到”:选择这个菜单项后,将自动定位到所选自启动子项和自启动值项在注册表的相应位置,比较实用的功能,多用来对有问题但不能删除的自启动值项进行编辑,以修改被病毒强行修改的一些系统核心的自启动值项的注册表值项值。
7、“属性”:可以快速显示自启动值项对应文件的属性,十分方便的功能,一些时候可以通过查找文件属性相关数据判断该文件是否正常(如创建时间等数据)。 1、“包括空白启动位置”:如果AUTORUNS找不到自启动值项的启动位置,该值项将以空白显示。也就是说,如果AUTORUN找不到映像文件对应的自启动项目,选择这个菜单将显示这个AUTORUNS不能识别的自启动项(虽然自启动项目的名称和说明可能都是空的)。勾选或取消勾选后要用“刷新”才有效。 2、“验证代码签名”:一个很实用的功能,是用来指验证所有自启动值项的文件签名(Windows下的硬件有一个签名的功能,它是为了保证所有的驱动文件是经过MICROSOFT CORPORATION测试,符合HAL兼容性),如果核对通过,则可基本排除自启动值项是恶意软件的启动项目。勾选后要用“刷新”才有效。 3、“隐藏微软项目”:同样是一个很实用的功能,可以隐藏微软认证的项目,因为微软认证的项目不再显示,可供怀疑的自启动子项、自启动值项大幅度减少,使发现不正常的自启动值项的难度和工作量降低。勾选后要用“刷新”才有效。 4、“字体”:前面都用过了…………直接过。 5、“搜索引擎”:有GOOGLE和MSN两个子菜单项,选择其中一个后,被选择的就被作为AUTORUNS的默认搜索引擎,并直接在“项目”下拉菜单或在自启动子项、自启动值项点右键弹出菜单的第五项反映出来。 (四)“用户” 该菜单项目的下拉菜单项目(根据操作系统的不同、用户帐户的不同,显示的菜单项目的名称和个数也不同,我的是WINXPSP2操作系统,一个管理员帐户)包括: “操作系统版本-用户帐户名”和“操作系统版本-超级管理员用户帐户名”。有多少用户帐户就有多少个菜单项目(没有试验,不知道有兴趣的朋友不妨试下)。比如该菜单项的下拉菜单,在我机只有“WINXPSP2-***”和“WINXPSP2-ADMINISTRATOR”两个子项目。用鼠标左键勾选择不同项目可以实时切换不同帐户下自启动子项和自启动值项(哪个菜单项前打勾,就表示当前显示的是哪个帐户的自启动子项目和自启动值项)。 (五)“帮助”:直接略过。 二、常用工具栏的介绍 在菜单栏下面,有一排按钮组成的常用工具栏,根据下图的标记的顺序,简单介绍一下: 图11 1号按钮:“保存”按钮(等同于菜单栏的“文件”--“保存”功能) 2号按钮:“刷新”按钮(等同于菜单栏的“文件”--“刷新”功能) 3号按钮:“查找”按钮(等同于菜单栏的“文件”--“查找”功能) 4号按钮:“属性”按钮(等同于菜单栏的“项目”--“属性”功能) 5号按钮:“删除”按钮(等同于菜单栏的“项目”--“删除”功能) 6号按钮:“跳转”按钮(等同于菜单栏的“项目”--“跳转到”功能) 三、特色功能 (一)比起注册表编辑器庞大的数据库来说,AUTORUNS显得更加专业--只管理开机自启动项,别的不管,使用起来更简便和有针对性。这也是AUTORUNS软件的最大特色。 (二)利用“文件”--“比较”功能,可轻易找出当前系统自启动项比以前保存日志时系统增加的自启动子项和自启动值项,使检验添加自启动项的正常与否变得更加方便。 (三)“验证代码签名”、“隐藏微软项目”这两个功能,使得判断某个自启动子项和自启动值项是否是恶意软件更加简单,否则项目太多(一般有200多个),会看着发晕的。 (四)用“跳转到”菜单项目建立了与注册表之间的快速切换,特别适合用来调用注册表编辑器来编辑一些被恶意软件强行插入病毒模块字段的注册表值项值。 (五) “属性”菜单项目可以直接在自启动项目上用右键调出,也可以在选择该项目后用“项目”--“属性”调出,直接定位并显示自启动项指向映像文件的“属性”,由此可以方便地利用文件的创建时间、大小、版本号等要素判断映像文件(自启动项)是否正常,应该是很方便也很有特色的一个功能! 四、实战案例 案例一、删除有问题的驱动保护 如通过SRENG扫描日志发现有个不明驱动项目USBVM31B.SYS在机中活动!(这里仅仅是在举例,实际上这个服务项目是摄像头驱动,而且为了说明问题我对该映像文件的“属性”做了修改,实际该文件并非病毒驱动文件,不可照搬使用哦!) 怎么办?按照下列步骤,你会发现,原来查杀病毒驱动保护也不复杂: 1、双击autoruns.exe,进入AUTORUNS窗口, 2、选项--勾选“隐藏微软项目”--按菜单栏下常用工具栏的“刷新”按钮,排除不必要的正常自启动项目; 3、“文件”--“查找”--输入“USBVM31B.SYS”--回车,让AUTORUNS自动查找包括“USBVM31B.SYS”字段的自启动值项并定位;
如上图,发现USBVM31B.SYS这个DD有驱动保护,且驱动保护项目为ZSMC301B 4、右键找到的项目条,选择“验证”,按菜单栏下的“刷新”按钮刷新一下,发现AUTORUNS提示“未通过验证”,有点怀疑; 5、右键该项目条,选择“属性”,发现该映像文件创建时间是今天。因为最近没有安装新软件和硬件,感觉其有重大安全隐患。
6、右键该项目条,选择“GOOGLE/MSN”,在网上查找该映像文件的相关资料: 7、经过在网络上查找资料确认,认定该文件为病毒文件(为说明问题才这样说的,别当真!),这就证明ZSMC301B这个自启动项目就是病毒的驱动保护。在该项目条上右键,选择“删除”,删除了该自启动项之后, USBVM31B.SYS这个病毒文件失去了驱动保护,也就无用武之地了,而且可以直接用“SHIFT”+“DEL”删除(如果不删除此驱动保护,你会发现在删除“USBVM31B.SYS”这个映像文件时,会出现“该文件正在运行,请关闭相关的程序后再删除”之类的提示,或者即便能删除也会很快复活。这就是病毒或流氓软件热衷于此的根本原因)。 8、为了彻底不留后患,按照AUTORUNS提供的信息找到该映像文件(删除ZSMC301B这个自启动项前可以在其项目条上右键,选择“复制”,将复制内容粘贴到写字板或记事本中,以便删除映像文件时查找该文件的路径和文件名),删除c:\windows\system32\drivers\USBVM31B.SYS这个文件。
案例二、通过“比较”检验自己当前的自启动项是否有问题。
如果以前在机器正常时保存了AUTORUNS的日志,而当前感觉机器明显有问题,可以通过以下办法简单确认恶意软件可能添加的自启动项: 1、双击打开autoruns.exe,进入AUTORUNS窗口,依次点“文件”--“比较”; 2、在弹出的对话框中选定前面保存的日志后,点“打开”;
3、这时AUTORUNS将会对当前自启动项同打开日志的自启动项进行比较,对当前自启动项如果比老日志多或者少,整个列表的项目将以绿色突出显示! 4、接下来,可以再保存一份新日志,与老日志比对,寻找有差异的自启动项。如果新日志比老日志启动项目多,则先确认多的启动项目是否是恶意自启动项,可以按照案例一第2到第6步的办法检测,如果确认多出的自启动项是不正常的,参照案例一第7-8步的办法清理。 案例三、利用“跳转到……”这个AUTORUNS和注册表编辑器快速链接方式,修复被病毒修改且不能删除自启动值项值。 我们知道HKLM\SOFTWARE\Microsoft\Windows 1、双击打开autoruns.exe,进入AUTORUNS窗口,; 2、“选项”--勾选“隐藏微软项目”--按菜单栏下常用工具栏的“刷新”按钮,排除不必要的正常自启动项目; 3、“文件”--“查找”--输入“c:\windows\system32\userinit.exe”--回车,让AUTORUNS自动查找包括“c:\windows\system32\userinit.exe”字段的自启动值项并定位; 4、右键点击此自启动值项,选择“跳转到…………”,发现弹出注册表编辑器的窗口,表示AUTORUNS已经链接到注册表编辑器。在注册表编辑器中对应的注册表值项值中,发现病毒(流氓软件)已经入侵该自启动项目,并释放了一个ABC.EXE随userinit.exe一同自启动: 5、用注册表编辑器修改[HKLM\SOFTWARE\Microsoft\
7、手工删除c:\windows\system32\ABC.EXE这个病毒进程文件,清除结束。 小知识:有些自启动值项值是不能删除的,除了以上说的[HKLM\SOFTWARE\Microsoft\Windows HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 总结: 此外,按照登陆启动方式的不同分类表示,也便于使用者缩小范围,提高效率。当然, 不管怎么样,对于常在病毒身边走的我们,有一些好的系统扫描和检查工具是必要的,autoruns8.53虽然功能有一定局限性,但简单易学,也许能如你所愿。 |
|