Изучение и удаление процесса rundll32.exe

Во время обычного функционирования операционной системы Windows запущено множество сторонних и встроенных процессов, среди которых находится и rundll32.exe. Чаще всего его можно заметить при запуске программ или игр, а его нагрузка на процессор иногда достигает огромных значений. Именно из-за этого данный процесс и смущает пользователей, особенно тех, чей компьютер оснащен достаточно слабым железом и тех, кто постоянно мониторит «Диспетчер задач». Сегодня мы хотим рассказать о том, как изучить детально этот исполняемый файл и нужно ли его вообще удалять.

Изучаем и удаляем процесс rundll32.exe

Основной вопрос, стоящий перед начинающим или неопытным пользователем, заключается в предназначении rundll32.exe. Давайте сразу раскроем эту тему, сказав, что рассматриваемый исполняемый файл по умолчанию является системным и служит для запуска функций динамически подключаемых библиотек, то есть DLL-объектов. Как известно, эти компоненты не имеют собственного исполняемого файла, поэтому и запуск их осуществляется с помощью специально созданного универсального инструмента. rundll32.exe оказывает нагрузку на процессор как раз в момент запуска функций DLL, что чаще всего происходит во время работы в софте или при прохождении игр. Однако существует большая вероятность того, что при заражении ПК вирусами, угроза замаскируется именно под вид этого объекта и будет располагаться в другом месте на жестком диске, постоянно запускаясь и нанося вред компьютеру. Поэтому если упомянутый EXE-файл вас смущает, потребуется изучить его и удалить, если он является вирусным. Развернуто об этом мы и поговорим далее.

Шаг 1: Получение подробной информации о rundll32.exe

Как уже было сказано ранее, о rundll32.exe в большинстве случаев пользователь узнает из просмотра запущенных служб в окне «Диспетчера задач». Однако если этот компонент был заражен вирусом или в другом месте на накопителе создан его вредоносный аналог, скорее всего, разработчики угрозы предусмотрели тот вариант, что вы захотите отследить процесс через указанное меню, поэтому сделали так, что при открытии «Диспетчера задач» он просто выключается. Для обхода этой уловки используется более продвинутое решение, приведенное в следующей инструкции.

Перейдите по указанной выше ссылке. Вы попадете на официальный сайт компании Microsoft, которая распространяет бесплатное ПО под названием Process Explorer. Оно является продвинутым аналогом стандартного диспетчера, обойти который у вирусов не получается. Поэтому при использовании этого инструмента вы можете быть уверены в отображении абсолютно всех запущенных и скрытых процессов. Для начала скачайте Process Explorer, нажав по соответствующей надписи на странице загрузки.

Устанавливать программу не нужно, просто запустите полученный архив и откройте 32 или 64-битную версию EXE-файла.

Программа будет перезагружена. Теперь можете переходить к поиску нужного вам файла. Проще всего это сделать через функцию «Find». Она вызывается через контекстное меню или нажатием стандартной горячей клавиши Ctrl + F.

Можно и самостоятельно отыскать процесс по названию, ведь это не займет много времени. После успешного нахождения дважды кликните по строке левой кнопкой мыши, чтобы просмотреть ее свойства.

В открывшемся окне «Properties» в первой же вкладке можно просмотреть расположение любого исполняемого файла процесса. Так вы узнаете, действительно ли rundll32.exe замаскирован вирусом либо же он выполняется из своего стандартного расположения.

Если вы вдруг обнаружили, что rundll32.exe располагается не в стандартном месте (а правильный путь должен выглядеть так: C:\Windows\System32 ), значит следует сразу же перейти к третьему разделу нашей статьи и срочно произвести полное сканирование системы на вирусы, удалив абсолютно все зараженные и сторонние файлы, включая обнаруженную подмену.

Шаг 2: Исследование системного файла rundll32.exe

Если оказалось, что запущенный рассматриваемый процесс все же располагается по своему стандартному пути, однако он подозрительно нагружает процессор в самое разное время, рекомендуется перестраховаться и исследовать его на заражение. Сделать эту операцию можно так:

Перейдите по пути хранения файла C:\Windows\System32 , где C — буква системного тома жесткого диска.

Отыщите там файл rundll32.exe и щелкните по нему правой кнопкой мыши.

Если у вас на компьютере установлен любой антивирус, в появившемся контекстном меню будет находиться строчка, запускающая проверку данного элемента. В случае отсутствия защиты проще всего выполнить сканирование с помощью онлайн-серверов или средств, которые не требуют предварительной установки. Детальнее об этом читайте в указанных далее материалах.

При обнаружении угрозы файл, скорее всего, будет помещен в карантин или вовсе удален, что повлечет за собой возникновение самых разнообразных проблем с функционированием операционной системы. В следующих двух шагах мы расскажем все об исправлении этой ситуации.

Шаг 3: Полное сканирование Windows на наличие угроз

Попавший на компьютер вирус практически никогда не заражает только один файл. Чем больше времени с момента заражения прошло, тем больше вероятность того, что уже было испорчено огромное количество системных и пользовательских объектов. Потому вам обязательно следует воспользоваться полноценным решением, полностью сканирующим систему на вирусы. Все найденные компоненты будут исправлены или удалены, что зависит от их типа и степени повреждения.

Шаг 4: Восстановление системных файлов

Последний этап после полной очистки ОС заключается в восстановлении системных файлов. Использовать его стоит только в тех случаях, если рассматриваемый исполняемый объект действительно был заражен, а после исправлен или удален антивирусом. Проверка целостности будет осуществляться с помощью стандартного консольного средства SFC. Однако бывает, что при глобальных нарушениях и эта утилита отказывается функционировать корректно. Тогда первоочередно должен быть произведен другой вид исправления сбоев в системе при помощи DISM, а уже потом проверка целостности через SFC. Обо всем этом в максимально развернутом виде рассказал другой наш автор в статье по следующей ссылке.

Теперь вы знаете о том, что изначально rundll32.exe является стандартным системным файлом, однако из-за действия угроз может быть заражен или перемещен с созданием нескольких копий. Все это обнаружить бывает сложно, поскольку сам объект редко нагружает ОС, но если это все-таки удалось сделать, не стоит медлить с решением трудности.

Процесс “rundll32.exe”: что за процесс и можно ли его отключить?

Читайте о том, какие функции на самом деле выполняет «rundll32.exe», и почему их так много работает одновременно.

За что отвечает «rundll32.exe»?

Если вы работали в операционной системе Windows в течение некоторого времени, то обязательно видели тонны файлов с расширением «*.dll» (Dynamic Link Library) в каждом каталоге с установленным ПО. Они используются для хранения общих частей логики программных функций, к которым можно получить доступ из любого приложения.

Поскольку «DLL-файлы» не являются исполняемыми сами по себе, то стандартное системное приложение «rundll32.exe» используется для подключения и запуска функций, хранящихся в этих файлах. Этот исполняемый файл является неотъемлемой частью ОС Windows и не может представлять угрозу для вашего ПК.

Примечание: сам исполняемый файл обычно располагается в каталоге «С:\Windows\System32\rundll32.exe». Были замечены случаи, когда вредоносное программное обеспечение использует имя этого файла и пытается запустить его из другого каталога, чтобы замаскироваться. Если у вас возникли подозрения, то проведите полное сканирование системы с помощью антивирусного ПО, но мы можем точно узнать что происходит.

Проведем исследование с программой «Process Explorer» для Windows 10, 8, 7, Vista и т. д

Вместо использования стандартного «Диспетчера задач», мы установим бесплатную утилиту «Process Explorer» от «Microsoft», чтобы выяснить что происходит на самом деле. Скачать эту утилиту можно на официальном веб-сайте компании «Microsoft», просто перейдите по ссылке:

Вы скачаете «ProcessExplorer.zip», разархивируйте архив и запустите файл «procexp.exe» если вы работаете на ОС Windows x86, или «procexp64.exe» если ваша система х64. Выбираем в меню «File» – > «Show Details for All Processes», для того чтобы увидеть все запущенные процессы.

Теперь, когда вы наведете курсор мыши на любой процесс в списке, выпадет всплывающая подсказка с описанием данного процесса.

Или можно щелкнуть правой кнопкой мыши по процессу и выбрать «Properties», чтобы увидеть всю доступную информацию о нем. На вкладке «Image» можно проверить полный путь к исполняемому файлу, а также узнать родительский процесс (поле «Parent»), который в этом случае является командной строкой Windows (cmd.exe ).

Также можно узнать все сведения о данном файле, как и в «Диспетчере задач».

Как отключить процесс Rundll32 в Windows 7?

В большинстве случаев данный процесс не нужно отключать, но если это потребуется, то вам понадобится завершить родительский процесс, который запустил эту утилиту. В данном конкретном случае нужно завершить процесс «cmd.exe». Это легко можно сделать в «Диспетчере задач», откройте его, найдите процесс «cmd.exe», щелкните правой кнопкой мыши на нём и выберите пункт «Снять задачу».

Если же «rundll32.exe» запустила какая-то служба, то необходимо в строке поиска Windows ввести «msconfig.exe» или в меню «Пуск» – > «Выполнить», найдите по названию нужную службу (название можно найти в свойствах процесса Process Explorer). И просто снимите флажок, чтобы она не запускалась автоматически.

Иногда «rundll32.exe» фактически не имеет родительского процесса (он не отображается в свойствах процесса), и в этом случае вам придется выяснять откуда именно он был запущен. Например, если вы откроете «Свойства экрана» в операционной системе Windows XP, то, запустив «Диспетчер задач», увидите еще один процесс «rundll32.exe» в списке, потому что эта версия ОС сама использует «rundll32.exe» для запуска этого диалога.

Отключение «rundll32.exe» в Windows 8 или 10

В Windows 8 или 10, чтобы завершить выполнение родительского процесса, также открываете «Диспетчер задач», выделяете процесс и жмёте «Снять задачу».

Для отключения приложения, которое запускается автоматически при перезагрузке Windows и является родительским процессом для «rundll32.exe», необходимо открыть «Диспетчер задач» и перейти на вкладку «Автозагрузка», чтобы отключить его. Потом перезагрузите компьютер, и этого приложения как не бывало.

Интересные фишки Диспетчера задач Windows 7 и Vista

Одной из замечательных особенностей «Диспетчера задач» в Windows 7 или Vista является возможность увидеть полную информацию для любого запущенного процесса. Например, можно убедится, что в моем списке есть два процесса «rundll32.exe»:

Перейдите во вкладку главного меню «Вид» – > «Выбрать столбцы», в появившемся списке найдите опцию «Командная строка», и поставьте галочку напротив неё.

Теперь можно увидеть название исполняемого процесса и полный путь к файлу (не всегда), и аргумент – это и есть DLL-файл, он фактически является тем куском кода, который именно выполняется в данный момент.

Теперь нужно посмотреть в каком каталоге находится сам подключаемый модуль, запускаем поиск на ПК по названию, в нашем примере это «shwebsvc.dll».

Кликаем правой кнопкой мыши и выбираем «Свойства», после чего переходим на вкладку «Подробно». В описании файла сказано, что это компонент «Веб-службы оболочки Windows», авторское право принадлежит компании Microsoft. Следовательно, этот процесс не нужно завершать, так как он является частью операционной системы.

То есть, когда вы узнали, какой именно файл подключает «rundll32.com», и какой системный процесс его запустил, то сами будете решать нужен он вам или нет. Если вы не смогли найти информацию о подключаемой библиотеке, то всегда можно воспользоваться «Google» и найти ответ.

Если и так вы ничего не нашли, то мы очень рекомендуем сделать полное сканирование системы с помощью вашего антивируса. Как вариант, задайте вопрос на каком-либо специализированном форуме, возможно кто-то уже встречался с подобной проблемой и может дать вам дельный совет.

Автор: Vladimir Mareev, Технический писатель

Владимир Мареев — автор и переводчик технических текстов в компании Hetman Software. Имеет тринадцатилетний опыт в области разработки программного обеспечения для восстановления данных, который помогает ему создавать понятные статьи для блога компании. Спектр публикаций довольно широк и не ограничивается только лишь темой программирования. Статьи включают также разнообразные обзоры новинок рынка компьютерных устройств, популярных операционных систем, руководства по использованию распространенных и специфических программ, примеры решений возникающих системных или аппаратных проблем и многие другие виды публикаций. Подробнее