Como posso voltar atrás para descobrir qual aplicativo criou uma chave de registro?

Question

Eu tenho um computador com um vírus. Eu finalmente localizei um dos registros que está criando problemas. Se eu alterar ou excluir o registro e, em seguida, excluir um processo específico, ele recriará a chave do Registro e subseqüentemente o processo.

Existe uma maneira que eu possa usar essas informações para minha vantagem para determinar o que está recriando o registro? (E depois banir para sempre)

Obrigado.

    

Answer 1

Você pode usar: 1) procmon. Que está disponível para download na Microsoft em:

http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx

e, em seguida, adicionar um filtro, selecione para filtrar por operação e defina o valor do filtro para ser uma das operações de registro que você suspeita ... Eu sugiro a filtragem por (RegSetValue) ou poderia procurar por tudo que tem "Reg" nisso. É bastante simples, mas seria muito mais eficiente se você soubesse quando o processo suspeito está acessando o registro.

2). disponível em:

http://sourceforge.net/projects/regshot/

O RegShot pode tirar um instantâneo do seu registro. Então, quando você suspeitar que algo ocorreu, você pode tirar outro instantâneo e comparar (diff) os dois instantâneos para ver o que mudou.

Desejo-lhe boa sorte.