Software microsoft windows currentversion bits

Сброс центра обновления Windows

Центр обновления Windows является механизмом операционной системы, который имеет множество точек потенциального отказа: ошибки в структуре зависимостей (связности) обновлений друг с другом, нестабильная среда передачи данных (клиент-сервер), превышение жестко заданного размера различных внутренних структур (к примеру: списков обновлений), повреждение файлов хранилища компонентов, повреждение базы/каталога распространения, задвоение идентификаторов клиентов и многое многое другое. Ошибок, возникающих в процессе работы Центра обновления Windows, более чем достаточно, по самым скромным подсчетам имеется порядка 700 событий отказа. На различных этапах функционирования центра обновлений Windows: получения, обработки и установки обновлений, данные пакетов обновлений могут повреждаться, либо сами обновления могут переходить в неустанавливаемое состояние из-за отсутствующих/поврежденных зависимостей. На основании изложенного, к слову сказать, далеко не полного перечня проблем центра обновления Windows, можно прийти к выводу, что вероятность сбоев в его работе довольно высока, что фактически и подтверждается миллионами сообщений на данную тематику с официальных форумов Microsoft. Результатом сбоев для конечного пользователя является возникновение разного рода отказов (ошибок) в процессе установки обновлений операционной системы.

В практике устранения инцидентов, возникающих при работе центра обновления Windows, приведенная в таблице выше группа ошибок имеет следующие причины:

  • повреждение/рассинхронизированное состояние содержимого, располагающегося в структуре каталога распространения ( SoftwareDistribution );
  • проблемы функционирования ключевых служб центра обновления Windows;
  • проблемы в работе Фоновой интеллектуальной службы передачи (BITS) (Queue Manager), производящей подкачку обновлений;
  • некорректные идентификаторы (привязки) клиента локального WSUS;
  • некорректная настройка параметров (дескрипторов) безопасности служб центра обновления Windows;
  • ошибки в регистрации компонентов служб (ключевых системных библиотек);
  • проблемы соединения клиента-сервера (проблемы в работе транзитных/локальных прокси-серверов);

Естественно, самым надежным алгоритмом поиска причины отказа было бы проведение анализа деталей при помощи файлов журнала %Windir%\WindowsUpdate.log и %Windir%\Logs\CBS\CBS.log , тем не менее это очень долгий и кропотливый путь, итогом которого, с большой вероятность, будет набор методик, описанных в данной статье. Разработчики все это уже сделали за нас 🙂 Поэтому логичнее воспользоваться уже опубликованным, официально-рекомендованным разработчиками методом, носящем название сброс центра обновления Windows (Windows Update Reset).

Сброс в ручном режиме

Итак, для исправления ситуации, возникающей при повреждении/рассинхронизации содержимого папки %Windir%\SoftwareDistribution , Microsoft рекомендует восстановить «исходное» состояние компонентов Центра обновления Windows , для этого нам предлагается выполнить следующую последовательность действий:

  1. Откройте окно командной строки. Для этого нажмите и удерживайте (или щелкните правой кнопкой мыши) кнопку с эмблемой Windows на панели задач, а затем выберите пункт Командная строка (Администратор). Если включен Контроль учетных записей (UAC), то в появившемся окне Контроль учетных записей нажмите кнопку Да . Либо нажмите клавишу Пуск -> в строке поиска и введите команду cmd . В результатах поиска щелкните правой кнопкой мыши на пункте, в ниспадающем меню выберите пункт Запуск от имени администратора . Либо нажмите клавишу с эмблемой Win + R , введите в поле ввода открывшегося окна команду cmd и нажмите клавишу ВВОД .
  2. Остановите работу следующих служб: Фоновая интеллектуальная служба передачи (BITS) , Центр обновления Windows , Удостоверение приложения , Служба криптографии и Узел агента SMS (если используется). Для этого в командной строке введите (последовательно) следующие команды:
    net stop bits
    net stop wuauserv
    net stop appidsvc
    net stop cryptsvc
    net stop ccmexec
  3. Удалите файлы очередей Фоновой интеллектуальной службы передачи (BITS) (файлы вида qmgr?.dat ). Для этого введите в командной строке приведенную ниже команду и нажмите клавишу ВВОД :
    del «%ALLUSERSPROFILE%\Application Data\Microsoft\Network\Downloader\qmgr*.dat»
  4. Переименуйте каталог распространения и каталог сигнатур пакетов обновлений (создайте их резервные копии). Для этого в командной строке введите следующие команды:
    ren %systemroot%\SoftwareDistribution SoftwareDistribution.bak
    ren %systemroot%\system32\catroot2 catroot2.bak
  5. Установите для служб Фоновая интеллектуальная служба передачи (BITS) и Центр обновления Windows разрешения по умолчанию (делается это на случай, если разрешения для службы были изменены). Для этого в командной строке введите следующие команды:

sc.exe sdset bits D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)

sc.exe sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)

  • Только для систем, использующих SCCM (System Center Control Manager): удалите содержимое папки C:\CACHE\ccmcache ;
  • Повторно зарегистрируйте файлы служб Фоновая интеллектуальная служба передачи (BITS) и Центр обновления Windows . Для этого в командной строке введите следующую команду:

    cd /d %windir%\system32

    затем выполните серию команд:

    regsvr32.exe /s atl.dll
    regsvr32.exe /s urlmon.dll
    regsvr32.exe /s mshtml.dll
    regsvr32.exe /s shdocvw.dll
    regsvr32.exe /s browseui.dll
    regsvr32.exe /s jscript.dll
    regsvr32.exe /s vbscript.dll
    regsvr32.exe /s scrrun.dll
    regsvr32.exe /s msxml.dll
    regsvr32.exe /s msxml3.dll
    regsvr32.exe /s msxml6.dll
    regsvr32.exe /s actxprxy.dll
    regsvr32.exe /s softpub.dll
    regsvr32.exe /s wintrust.dll
    regsvr32.exe /s dssenh.dll
    regsvr32.exe /s rsaenh.dll
    regsvr32.exe /s gpkcsp.dll
    regsvr32.exe /s sccbase.dll
    regsvr32.exe /s slbcsp.dll
    regsvr32.exe /s cryptdlg.dll
    regsvr32.exe /s oleaut32.dll
    regsvr32.exe /s ole32.dll
    regsvr32.exe /s shell32.dll
    regsvr32.exe /s initpki.dll
    regsvr32.exe /s wuapi.dll
    regsvr32.exe /s wuaueng.dll
    regsvr32.exe /s wuaueng1.dll
    regsvr32.exe /s wucltui.dll
    regsvr32.exe /s wups.dll
    regsvr32.exe /s wups2.dll
    regsvr32.exe /s wuweb.dll
    regsvr32.exe /s qmgr.dll
    regsvr32.exe /s qmgrprxy.dll
    regsvr32.exe /s wucltux.dll
    regsvr32.exe /s muweb.dll
    regsvr32.exe /s wuwebv.dll

  • Удалить идентификаторы привязки клиента к локальному серверу WSUS:
    REG DELETE «HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate» /v AccountDomainSid /f
    REG DELETE «HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate» /v PingID /f
    REG DELETE «HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate» /v SusClientId /f
  • Перезапустите Windows Sockets (Winsock). С этой целью введите в командной строке приведенную ниже команду:
    netsh winsock reset
  • Установите прямой (в обход прокси-сервера) доступ в Сеть для приложений, работающих через функции интерфейса WinHTTP (фактически протокол HTTP/1.1). Для этого измените параметры локальной настройки прокси-сервера.
    Если у вас операционная система Windows XP:
    proxycfg.exe -d Если у вас установлена другая (более новая) версия Windows:
    netsh winhttp reset proxy
  • Запустите следующие службы: Узел агента SMS , Фоновая интеллектуальная служба передачи (BITS) , Центр обновления Windows , Удостоверение приложения и Служба криптографии . Для этого в командной строке последовательно выполните следующие команды:
    net start ccmexec
    net start bits
    net start wuauserv
    net start appidsvc
    net start cryptsvc
  • Только для Windows Vista: очистите «список ожидания» Фоновой интеллектуальной службы передачи (BITS) . Для этого выполните в командной строке команду:
    bitsadmin.exe /reset /allusers
  • Установите последнюю версию агента Центра обновления Windows;
  • Перезагрузите компьютер (операционную систему).
  • Автоматический сброс (скрипт)

    Понятное дело что не всегда хочется вот так вот сидеть и руками вколачивать в командную строку кучу команд. Для самых ленивых (в том числе и для меня) предназначается следующий фрагмент скрипта:

    Software microsoft windows currentversion bits

    Вопрос

    Доброго времени суток всем гуру!

    В компании последнее время наблюдается такая проблема: юзеры хватают злополучный банер «Trololo» 🙂 (блочит рабочий стол картинками непристойного содержания).

    Собственно бороться с ним достаточно просто, если это разовая акция (убить процесс самой программы, рестарнуть процесс explorer-а, удалить ключ автозапуска из указанной в теме поста ветки и почистить темпы).

    Проблема в том, что в компании используется антивирус зарубежного производства, в связи с чем сигнатуры этой «отечественной разработки» попадают с опозданием — троян постоянно модифицируется, но у него всегда единая точка входа — он прописывает ссылку на исполняемый файл в ветку HKCU\software\microsoft\windows\currentversion\run для автозапуска.

    Собственно проанализоровав, пришёл к выводу, что пользователю незачем иметь права на запись в оноую. В связи с чем столкнулся со следующей проблеммой: как на этой ветке отобрать права на запись у пользователей? В gpmc назначение какой-либо политики на ветку HKCU невозможно, т.к. эта ветка создается для каждого пользователя при первом логине живет она на самом деле в HKU\

    Насколько я понял, шаблон для этой ветки со всем разрешениями берётся из локального Default User’s Profile (по умолчанию C:\Documents and Settings\Default User\NTUSER.DAT) Так ли это? (сначала думал, что HKU\.default и есть дефолотовые настройки для профиля пользователей).

    Если так, то вопрос следующий: как сделать так, чтобы пользователю данная ветка создавалась с заранее установленными разрешениями и где их нужно устанавливать: в политике реестра или же в политике профилей пользователей?

    Обнаружение вируса

    Идея написания сводного руководства по самостоятельному обнаружению вирусов на станциях под управлением Windows зрела на протяжении достаточно длительного времени и обуславливалась, прежде всего необходимостью составить и время от времени дополнять справочник возможных расположений запуска вирусного кода. Лейтмотивом этой идеи является необходимость непосредственного, то есть самостоятельного (ручного) анализа системы в случаях, когда имеется подозрение, что автоматические методы (утилиты/антивирусы), не в состоянии обнаружить работающий в системе вредоносный код. Обнаружение вируса собственными силами — вот тот уровень, который не будет лишним для любого технического специалиста по операционным системам Windows. Хотелось бы сделать небольшое отступление и пару слов сказать на счет самих антивирусных продуктов. Надо заметить, что эти, самые надежные по мнению большинства, помощники в борьбе с вредоносным кодом, вообще-то не являются панацеей от заражения операционной системы. Повидавшая виды практика помнит случаи, когда грамотно написанный вредоносный код, учитывающий эвристические особенности определенных «региональных» антивирусов, долгое время оставался незамеченным на критически важных корпоративных системах. В этом то и заключается парадокс зараженной системы, в которой установлен авторитетный антивирус с актуальными антивирусными базами. Подобный курьез говорит о том, что если вирус использует хотя бы мало-мальски оригинальный код, методы маскировки, различные виды упаковок, алгоритмы противодействия, то антивирусу бывает сложно обнаружить его, либо он не может деактивировать и удалить уже находящийся и функционирующий в системе вредоносный код, и это не смотря на продвинутые методы контроля системы с перехватом различных системных вызовов и прочие виды глубокой системной интеграции. Подобных доводов можно привести множество, но все они сводятся к одному единственному выводу.

    И именно в свете сего немаловажного обстоятельства, в критические моменты встает необходимость уметь собственноручно обнаруживать и удалять вредоносный код, и именно поэтому данная статья будет посвящена изложению методов обнаружения без использования каких-либо антивирусных средств, исключением у нас будут, разве что, небольшие сопутствующие утилиты.
    «Все течет, все меняется» (© Гераклит), и операционные системы из этого постулата, конечно же, не исключение. На протяжении всей истории развития операционных систем Windows, идет их постоянное видоизменение, одни системные механизмы перестают эксплуатироваться, долгое время присутствуя в системе в виде рудиментов совместимости и в последствии исчезая, другие же появляются. Происходит бесконечное движение, вирусописатели подстраиваются под эволюционирующую среду, переписывая код, использующий устаревающие механизмы, начинают искать и эксплуатировать другие, обретающие актуальность. Учитывая меняющиеся от версии к версии особенности операционных систем и достаточно большое количество потенциальных точек активации вредоносного кода, статья эта никогда не будет завершена полностью и конечно же не будет претендовать на полное руководство по выбранной тематике. Однако, по мере получения новых знаний, будет время от времени мною дорабатываться в бесконечной попытке соответствовать современным реалиям.
    Перед тем как мы начнем работать с довольно сложной темой под названием обнаружение вируса, хотелось бы отдельно сказать вот еще о чем.

    Дело в том, что с момента зарождения эры компьютерных вирусов, специалистами по безопасности было введено в оборот такое великое многообразие терминов и определений, что классификация в рамках небольшой статьи выглядела бы, откровенно говоря, излишней, учитывая и тот факт, что в свете характера статьи для нас фактически не так уж и важно, как зовется та или иная разновидность вредоносного кода. В разнообразных материалах, посвященных теме компьютерных вирусов, встречаются оригинальные определения, специалисты по безопасности называют программное обеспечение, которое выполняет деструктивные действия различными именами. На заре операционной системы MS-DOS вирусами называли программы, которые реплицировали собственный код в обнаруживаемые исполняемые модули и загрузочный сектор. С появлением линейки операционных систем Windows, вредоносный код обрел истинное многообразие, на свет появилось большое количество всевозможных алгоритмических отклонений, таких как руткиты (rootkit), трояны (troyan), шпионы (spyware), рекламные программы (adware), вымогатели (ransomware), сетевые черви (worms) и прочее, прочее, прочее. И все эти вариации на вирусную тему имеют различное предназначение. Часто термины ассоциируются неправильно, и вещи называются не своими именами, в дополнение, ко всему этому многообразию применяются второстепенные термины, такие как вредоносный код, зловред, вредонос. Поэтому, дабы не вводить читателя в заблуждение, я буду использовать определение «вирус» применительно к любому вредоносному коду, поэтому встречая в тексте термин вирус, подразумеваем любой вид вредоносного кода.
    По каким косвенным признакам пользователь может обнаружить вирус в операционной системе? Дело в том, что какого-то единого, вполне определенного и однозначного симптома заражения системы вирусом не существует, однако общими следствиями вирусной активности могут быть:

    • Низкая производительность операционной системы;
    • Низкая производительность отдельных приложений;
    • Часто возникающие ошибки в приложениях;
    • Отображение посторонних информационных окон;
    • Блокировка рабочего стола пользователя различными информационными окнами;
    • Блокировка страницы (вкладки) браузера различными информационными окнами;
    • Блокировка доступа к определенным ресурсам в сети Интернет (например, к сайтам антивирусных лабораторий);
    • Автоматический запуск разнообразных программ;
    • Отказ в изменении некоторых настроек операционной системы (даже под учетной записью локального администратора);
    • Загруженная сеть, наличие интенсивного трафика на интерфейсах в моменты бездействия;
    • Иная подозрительная (отклоненная от штатной) активность операционной системы;

    Внимательно изучив описанные выше первичные признаки, можно сделать однозначный вывод что зачастую довольно сложно отличить вирусную активность от типовых сбоев, вызванных аппаратными и программными проблемами. Обычно в случае подозрения на аномальную активность, пользователь прибегает к помощи антивирусов, но что же делать ему в ситуации, когда работающий антивирус при сканировании не может детектировать в системе никакой вирусной активности, а «глюки» сохраняются и подозрение на вирус остается?! В этом случае можно попробовать переустановить операционную систему, выбор безусловно за вами, но в этом случае вы теряете уникальную возможность саморазвития, не получаете дополнительных знаний по компьютерным вирусам, исключаете возможность обнаружить новые виды вирусной активности. Может все же стоит попробовать «пройтись по системе» самостоятельно с целью обнаружения вируса, изучив возможные местоположения запуска и модификации? Хорошо, для начала требуется усвоить одно простое правильно:

    Большинство вирусов рассчитаны на многократное исполнение, поэтому обычно оставляют свою копию в файловой системе в виде отдельного файла (группы файлов), с целью в дальнейшем иметь возможность запускаться многократно в автоматическом режиме. Применительно к операционной системе Windows, вирус представляется обычно в виде отдельного файла с расширением, идентифицирующим исполняемый различными подсистемами операционной системы код, вот некоторые из этих расширений: .exe , .dll , .sys , .ocx , .js , .ps1 , .wht , .com , .bat , .vbs и прч. Некоторые вирусы, активизирующиеся в системе, не оставляют свои запускаемые копии, а просто проводят модификации определенных ключей реестра или ключевых конфигурационных файлов с целью решения собственных задач. Следуя этой логике, в целях обнаружения вируса, мы будем искать наличие подозрительных данных в физических секторах диска, файловой системе, реестре и оперативной памяти. Но ведь не придется же нам парсить полностью все эти компоненты в поисках вирусного кода? Хотя идея и неплоха 🙂 но конечно же нет, мы будем пытаться обнаружить вирус в строго предопределенных местах: в тех расположениях в операционной системе, откуда, по задумке разработчиков, средствами самой системы могут запускаться различные исполняемые модули и где могут находиться важные для системы данные в виде файлов конфигурации различного назначения. Не лишним будет и умение отличать вирусный код от легального, знание о том, какие именно данные являются вполне безобидными, а какие из них подозрительны, то есть с большой вероятностью могут представлять вредоносный код.
    Еще одним немаловажным аспектом является наличие сторонней среды, то есть операционной системы, заведомо чистой от различного рода вирусов. Делается это с тем расчетом, что некоторые особо продвинутые вирусы могут маскировать свою активность в системе, перехватывая вызовы различных функций Windows API. Поэтому, с целью получения чистой тестовой среды, мы можем:

    • Запуститься в обычном режиме загрузки под учетной записью с правами локального администратора.
    • Загрузиться в защищенный режим; Большинство вирусов в защищенном режиме не запускаются.
    • Загрузиться с внешнего диска LiveCD, содержащего среду Windows PE (Portable Executable), в состав которой входят средства работы с физическими секторами диска, файловой системой и системным реестром.

    Сокращения, используемые далее в данной статье:

    Сокращение Полное наименование
    HKCR HKEY_CLASSES_ROOT
    HKCU HKEY_CURRENT_USER
    HKLM HKEY_LOCAL_MACHINE
    HCU HKEY_USERS

    В статье я постарался свести максимальное количество известных мне методов загрузки вирусов в операционной системе Windows.

    Автозагрузка

    Конечно же, первое по популярности расположение в операционной системе это автозагрузка. Автозагрузка — специализированное расположение в операционной системе, описываемое соответствующими ключами реестра а так же определенными каталогами в файловой системе, которое предназначается для автоматической загрузки исполняемых модулей на этапе загрузки операционной системы. Большой процент вирусов пытается прописать себя именно в автозагрузку методом модификации соответствующих ключей и расположений. Поэтому, для того, чтобы обнаружить вирус, достаточно пристально изучить списки программ, загружающихся с помощью данного системного механизма.

    Автозагрузка в реестре

    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
      Определяет общесистемную ветку реестра, содержащую записи о программам, запускаемых при входе в систему любого пользователя.
    • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
      Определяет пользовательскую ветку реестра, содержащую записи о программах, запускаемых при входе в систему конкретного пользователя.
    • HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
      Определяет общесистемную ветку реестра, содержащую записи о 32-битных программах, загружаемых при входе в 64-битную систему любого пользователя.
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
      Определяет общесистемную ветку реестра, содержащие записи о программам, запускаемых при входе в систему разово, то есть единожды. После единственного запуска ключи программ автоматически удаляются операционной системой из данного раздела.
    • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
      Определяет ветку реестра конкретного пользователя, содержащую записи о программах, запускаемых при входе в систему конкретного пользователя разово, то есть единожды. После единственного запуска ключи программ автоматически удаляются операционной системой из данного раздела.
    • HKEY_USERS\ SID_пользователя \Software\Microsoft\Windows\CurrentVersion\Run
      Содержит копию основной ветви автозагрузки для пользователя системы, определяемого конкретным SID-идентификатором. Например HKEY_USERS\ S-1-5-21-792320725-696519568-570327587-7793 \Software\Microsoft\Windows\CurrentVersion\Run . Если Вы проверяете систему из защищенного режима, либо с LiveCD, то не поленитесь проверить данный раздел для SID пользователя, который, предположительно, подхватил заразу.

    Индивидуальные пути Windows 98/98SE/ME:

    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
    • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
    • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

    Индивидуальные пути Windows XP:

    Автозагрузка групповой политики (в реестре)

    В системе присутствуют ключи реестра, которые используются для загрузки программ как части групповой политики компьютера/пользователя. Если политики не заданы, что обычно имеет место быть в случае типовой домашней станции, то подраздел пуст. Записи в нем создаются только по определенным условиям, например при использовании локальной или доменной групповой политики для загрузки программ. Программы из списка автозагрузки с использованием групповой политики не отображаются во вкладке Автозагрузка в утилите msconfig.exe , могу предположить что и другие менеджеры автозагрузки могут не отображать эти записи, по этой то причине с целью обнаружения вируса, стоит заглянуть непосредственно в следующие ключи реестра:

    Автозагрузка в файловой системе

    Однако, автозагрузка вовсе не ограничивается ключами реестра. Как мы все прекрасно знаем, в Windows существует еще один (пожалуй основной) способ автоматически загрузить программу при старте операционной системы. В интерфейсе пользователя присутствует раздел Автозагрузка, который аккумулирует списки программ из специализированных расположений в файловой системе: каталогов с именем Startup в профиле конкретного пользователя и профиле пользователя по-умолчанию. Помещая в это расположение ярлык программы либо непосредственно саму программу, можно легко добиться автозагрузки программы на стадии запуска. Меня всегда вот удивляло, почему нельзя универсализировать механизмы реестровой автозагрузки и пользовательской и объединить их? Почему в Windows присутствует именно несколько различных методов загрузки, мало того, что представлены специальные ветви реестра, так еще и предоставили каталоги? Немного поразмыслив, понял, что механизм с реестром позиционируется как «системный», а механизм с автозагрузкой в качестве «пользовательского», чтобы пользователю можно было тривиально, в два клика обеспечить своему приложению автозапуск. Представляете ситуацию объединения этих механизмов.. пользователь получал бы возможность видеть все специализированные утилиты, которые загружаются через реестр и мог бы (не)преднамеренно просто их поудалять. К тому же, не каждая программа способна загрузиться посредством записи в ключах реестра.
    Конечно же, и этот механизм не смог обойтись без внимания вирусописателей, и некоторые вирусы используют механизм автозагрузки из каталога для добавления исполняемых модулей при первичном получении управления собственным кодом. Поэтому специалисту не лишним будет проверить следующие местоположения:

    Версия Размещение
    Windows Vista/7 Для текущего пользователя: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
    Для всех пользователей системы: %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup
    Windows 2000/XP Для текущего пользователя: %UserProfile%\Start Menu\Programs\Startup
    Для всех пользователей системы: %AllUsersProfile%\Start Menu\Programs\Startup

    Однако описанные местоположения могут быть изменены через ключи реестра.
    Для всех пользователей системы:

    • ключ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders ,
      параметр Common Startup = %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup

    Для текущего пользователя системы:

    • ключ HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders ,
      параметр Startup = %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

    Поэтому стоит иногда заглядывать в упомянутые ключи с целью проверки корректных значений установленных путей как составляющей общей стратегии по обнаружению вируса.

    Загрузка на ранних стадиях

    По задумке разработчиков некоторые сервисные утилиты, к примеру дефрагментаторы, программы проверки дисков, антивирусные сканеры, должны запускаться на раннем этапе процесса загрузки Windows, когда стартовали драйвера этапа загрузки (тип BOOT_START ) и этапа системы (тип SYSTEM_START ), но еще не инициализирован файл подкачки, переменные среды и не запущены некоторые подсистемы. В данной точке Диспетчер сеансов (Session Manager, smss.exe) только начинает разбирать переменные окружения пользовательского режима, поэтому никаких других процессов, понятное дело, еще не запущено. Однако, на данном этапе возможен запуск специально написанных образов, поддерживающих нативный (native) режим (использующих функции Native API).
    Загрузка через Диспетчер сеансов настраивается в ключе реестра:

    • ключ HKLM\System\CurrentControlSet\Control\Session Manager ,
      параметр BootExecute = autocheck autochk *

    Если в данном параметре Вы обнаружили дополнительные образы загрузки, присмотритесь к ним внимательнее, а что если это вирус? Только не удаляйте значение по умолчанию (autocheck autochk *), оно указывает на запуск утилиты проверки диска autochk с модификатором autocheck , которая проверяет значение грязного бита (dirty bit), сообщающего о необходимости проверки раздела диска на наличие ошибок.

    Читайте также:  Mac os узнать занятые порты
    Оцените статью