Mam powody sądzić, że w moim systemie może być złośliwe oprogramowanie w postaci rozszerzenia Explorer. Podejrzewam, że to dlatego, że Procmon pokazuje, że Explorer.exe ciągle zapisuje pewien klucz rejestru, który ma uruchamiać określony plik EXE podczas uruchamiania.
Jak dowiedzieć się, jakie rozszerzenia Explorer są zainstalowane i jak je usunąć?
Moim osobistym ulubionym jest Autoruns z Sysinternals (Microsoft). Wykracza to znacznie poza rozszerzenia powłoki i obejmuje mnóstwo obszarów, w których może działać kod innej firmy.
Zakładając, że wykonałeś skanowanie antywirusowe i nie udało się go wykryć, możesz obejrzeć ten znakomity film od Marka Russinovicha na temat zaawansowanych technik usuwania złośliwego oprogramowania .
ShellMenuView to małe narzędzie, które wyświetla listę statycznych pozycji menu, które pojawiły się w menu kontekstowym po kliknięciu prawym przyciskiem myszy pliku / folderu w Eksploratorze Windows, i pozwala łatwo wyłączyć niechciane pozycje menu
Rozszerzenia powłoki to przetwarzane obiekty COM, które rozszerzają możliwości systemu operacyjnego Windows. Większość rozszerzeń powłoki jest automatycznie instalowana przez system operacyjny, ale istnieje również wiele innych aplikacji, które instalują dodatkowe składniki rozszerzenia powłoki. Na przykład: Jeśli zainstalujesz WinZip na swoim komputerze, zobaczysz specjalne menu WinZip po kliknięciu pliku Zip prawym przyciskiem myszy. To menu jest tworzone przez dodanie rozszerzenia powłoki do systemu.
Narzędzie ShellExView wyświetla szczegółowe informacje o rozszerzeniach powłoki zainstalowanych na komputerze i umożliwia łatwe wyłączenie i włączenie każdego rozszerzenia powłoki.
CCleaner ma również funkcję czyszczenia menu kontekstowego.
Można go znaleźć w menu Narzędzia -> Uruchomienie -> Menu kontekstowe
źródło
1. Get Auto Runs 2. Get Process Explorer.
Użyj eksploratora procesów, aby zawiesić podejrzane procesy i zatrzymać ich zapisywanie w rejestrze. Użyj Autorunów, aby sprawdzić wszystko, co ładuje się podczas uruchamiania, w Eksploratorze i Eksploratorze internetowym i zamknąć wszelkie podejrzane usługi (inne niż Microsoft).
Znajdź procesy Google Updater, Adobe Updater i Flash Utils, zmień ich nazwy i zatrzymaj je. To jest najmniej tego, co mogę wymyślić.
Dziękuję Josh Einstein :)
źródło
Sprawdź tę lokalizację w rejestrze i sprawdź, czy istnieje podklucz o nazwie „Zablokowany” (może być, ale nie musi) ... Odkryłem, że moje zakładki udostępniania zniknęły, ponieważ tam był CLSID:
\ HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Shell Extensions \ Blocked
Sądzę, że jeśli chcesz zablokować rozszerzenie powłoki, jest to dobre miejsce, aby to zrobić, ponieważ jest to cholernie skuteczne i wydaje się dość nieznane. Tylko jedna z moich maszyn miała ten podklucz i nigdy wcześniej o nim nie słyszałem.
źródło