Grande número de entradas estranhas relatadas pelos rodízios automáticos da SysInternals no meu computador Win7 Ultimate

Question

Eu tenho procurado por uma resposta para isso por cerca de um mês, mas sem sucesso: Um grande número de entradas estranhas são relatadas pelo utilitário de execução automática do SysInternals quando eu o executo na minha máquina Windows 7 Ultimate. Essas entradas não existem no meu PC de trabalho nem no meu PC virtual (ambos Win7).

Tudo o que eu consegui descobrir é que a maioria dessas entradas (99%) apontam para DLLs da Microsoft. Eu tentei instalar vários aplicativos no meu PC virtual, mas essas entradas não foram criadas. Então, como eles acabaram no meu registro? Poderia ser de malware?

Veja uma lista de alguns grupos e uma captura de tela de várias entradas do primeiro grupo:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GpExtensions
HKLM\SOFTWARE\Classes\Protocols\Filter
HKLM\SOFTWARE\Classes\Protocols\Handler
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects
HKLM\Software\Classes\*\ShellEx\ContextMenuHandlers
HKLM\Software\Wow6432Node\Classes\*\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\Drive\ShellEx\ContextMenuHandlers
.......
HKLM\Software\Classes\CLSID\{083863F1-70DE-11d0-BD40-00A0C911CE86}\Instance
HKLM\Software\Wow6432Node\Classes\CLSID\{083863F1-70DE-11d0-BD40-00A0C911CE86}\Instance
.......
HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries
HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries64

exemplos de entradas do primeiro grupo, o total real neste grupo é de cerca de 45

    

Answer 1

Você pode ativar a verificação de assinatura digital e a verificação de VirusTotal no Autoruns.

Menu Options / Scan options

Entãovocêveráalgocomo

QuasetodososarquivosDLLdaMicrosoftsãoassinadoseasassinaturassãoverificadas(issosignificaqueosarquivosnãoforammodificadosporninguém).Mas,paraarquivossemassinatura,vocêpodeveraclassificaçãodoVirusTotal.0/xsignificaqueumarquivofoiverificadoporxprogramasantivíruse0delesdescobriramqueumarquivoésuspeito.

AschavesderegistroquevocêmencionousãocriadaspelosserviçosdoWindows.

Porexemplo,emrelaçãoàchaveregHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\GpExtensions,consulte Noções básicas de políticas de grupo .

Além disso, você pode desativar os serviços não utilizados.