Autoruns w trybie offline

Autoruns dostepny z Sysinternals jest naprawde fantastycznym narzedziem. Podczas ostatniego MVP Summit w Redmond, w ramach dyskusji z Markiem Russinovichem moglismy sie dowidziec jak od srodka wyglada walka z wylapywaniem kolejnych miejsc, w których mozna umiescic aplikacje uruchamiajaca sie w sposób niezalezny od woli uzytkownika. Autoruns wszystkie te miejsca przeglada i w jasny sposób pokazuje co i dlaczego wystartuje razem z systemem. W efekcie, dostajemy calkiem niezla bron do walki z typowym malwarem. Problem jednak pojawia sie w sytuacji, gdy ów automatycznie uruchamiany malware próbuje blokowac wszelkie narzedzia, mogace wspomóc uzytkownika w usuwaniu go. W takiej sytuacji, niezawodna metoda jest dostep offline. Skoro nie uruchamiamy systemu, to razem z nim nie uruchamiamy malware. A dane sa przeciez na dysku i mozna do nich siegnac na wiele róznych sposobów. O ile chodzi o pliki, to sprawa jest stosunkowo prosta – ich usuniecie po uruchomieniu na przyklad Windows PE jest operacja szybka i bezbolesna. Usunac lub zmienic klucz w rejestrze tez jest latwo – wystarczy z poziomu Windows PE podlaczyc odpowiednia galaz, zmodyfikowac odlaczyc i po restarcie jest juz dobrze. Klopot jednak w tym, ze galezi do sprawdzenia jest dosc duzo. Skoro w normalnie dzialajacym systemie Autoruns usprawnia prace, to i przy dostepie offline, skorzystanie z tego narzedzia moze oszczedzic sporo czasu. Dlatego, do sprawy mozna podejsc w nastepujacy sposób:

• Przygotowac pendrive (ewentualnie plyte) z Autoruns
• Uruchomic komputer z plyty instalacyjnej Windows 7 / 2008 R2
• Nacisnac Shift+F10 aby uruchomic cmd.exe
• Przy uzyciu "list vol" z narzedzia diskpart sprawdzic jakie literki przypisane sa do dysku systemowego i pendrive
• Uruchomic Autoruns z pendrive
• Z menu File wybrac "Analyze Offline System..."
• Wprowadzic sciezke do badanego systemu Windows (przycisk "..." nie zadziala i trzeba wklepac samodzielnie)
• Wprowadzic sciezke do profilu uzytkownika, u którego wystepuja podejrzane zjawiska
  
• Gotowe! Mozna teraz spokojnie przejrzec co badany system zechce sobie uruchomic przy najblizszym restarcie. Mozna oczywiscie czesc rzeczy (tylko z rozsadkiem i umiarem!) usunac lub wylaczyc.

Malware zostaje zabity.

Tak zupelnie na marginesie chcialbym zaznaczyc, ze opisana powyzej metoda dobra jest na komputerach domowych i dla wlasnej satysfakcji. Zainfekowane czymkolwiek komputery firmowe nalezy zaorac i zainstalowac od nowa. Troche to brutalne podejscie, ale jedyne naprawde bezpieczne.

Autor: Grzegorz Tworek [MVP]

Comments

• Anonymous
  January 01, 2003
  Jest też Standalone System Sweeper i pewnie niedługo o nim też parę słów napiszę :)

• Anonymous
  March 09, 2011
  W ERDzie, a wlasciwie w MDOP, tudziez DART-cie tez jest namiastka autorunsow, choc nie pokazuje wszystkiego