Ich kann das Programm nirgendwo aufgelistet finden.
Es gibt viele Speicherorte, an denen Programme beim Start ausgeführt werden können. Sie müssen alle überprüfen, bis Sie das gewünschte Programm gefunden haben.
Es gibt wenige Programme, die eine einfache Überprüfung der Startpositionen ermöglichen.
msconfig (Registerkarte Start):
Autoruns von SysInternals :
WhatInStartup von NirSoft :
-
Hinweis:
- WinPatrol ermöglicht es Ihnen, Programme von "Autostart-Programmen" nach "Verzögerter Start" zu verschieben.
- Sie können die Verzögerungszeit angeben, wenn Sie dies tun.
Wie viele Möglichkeiten gibt es, um ein Programm beim Start in Windows auszuführen?
Es gibt mindestens 17 Orte, an denen Programme gestartet werden können. Siehe unten.
Automatische Windows-Startpositionen
Beim Einschalten des Computers werden die folgenden Autostart-Speicherorte in der folgenden Reihenfolge abgearbeitet:
Windows-Startgerätetreiber
- Diese Treiber werden zuerst geladen, da sie für den ordnungsgemäßen Betrieb von Hardware wie Speichergeräten erforderlich sind.
- Startgerätetreiber befinden sich unter dem folgenden Schlüssel und haben einen Startwert von 0.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
Windows führt nun verschiedene Aufgaben aus und startet den Winlogon-Prozess. Winlogon startet schließlich den Dienststeuerungs-Manager, der die für den automatischen Start festgelegten Dienste und Treiber lädt.
Windows-Autostart-Dienste und -Treiber
- Der Service Control Manager (SCM) -Prozess (\ Windows \ System32 \ services.exe) startet jetzt alle Dienste oder Treiber, die mit einem Startwert von 2 gekennzeichnet sind.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
RunServicesOnce
- Dieser Schlüssel dient zum Starten von Diensten, wenn ein Computer hochfährt.
- Diese Einträge können auch nach der Anmeldung weiter ausgeführt werden. Sie müssen jedoch abgeschlossen sein, bevor die Registrierung von HKEY_LOCAL_MACHINE ... \ RunOnce gestartet werden kann.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
RunServices
- Mit diesem Schlüssel können auch Dienste gestartet werden.
- Diese Einträge können auch nach der Anmeldung weiter ausgeführt werden. Sie müssen jedoch abgeschlossen sein, bevor die Registrierung von HKEY_LOCAL_MACHINE ... \ RunOnce gestartet werden kann.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
Die Windows-Anmeldeaufforderung wird auf dem Bildschirm angezeigt. Nachdem sich ein Benutzer angemeldet hat, werden die restlichen Schlüssel fortgesetzt.
Benachrichtigen
- Mit dieser Taste wird ein Programm hinzugefügt, das beim Auftreten eines bestimmten Ereignisses ausgeführt wird.
- Zu den Ereignissen gehören Anmelden, Abmelden, Starten, Herunterfahren, Startscreensaver und Stoppscreensaver.
- Wenn Winlogon.exe ein Ereignis wie das aufgelistete generiert, sucht Windows im Registrierungsschlüssel Notify nach einer DLL, die dieses Ereignis behandelt.
- Es ist bekannt, dass Malware diese Methode verwendet, um sich selbst zu laden, wenn sich ein Benutzer an seinem Computer anmeldet. Durch das Laden des Malware-Programms kann das Malware-Programm so geladen werden, dass es nicht leicht ist, es zu stoppen.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
UserInit-Schlüssel
- Dieser Schlüssel gibt an, welches Programm unmittelbar nach der Anmeldung eines Benutzers bei Windows gestartet werden soll.
- Das Standardprogramm für diesen Schlüssel ist C: \ windows \ system32 \ userinit.exe. Userinit.exe ist ein Programm, das Ihr Profil, Ihre Schriftarten, Farben usw. für Ihren Benutzernamen wiederherstellt.
Es ist möglich, weitere Programme hinzuzufügen, die von diesem Schlüssel aus gestartet werden, indem die Programme durch ein Komma getrennt werden. Zum Beispiel:
HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ Userinit = C: \ Windows \ System32 \ Userinit.exe, C: \ Windows \ Badprogram.exe.
Dadurch werden beide Programme gestartet, wenn Sie sich anmelden. Trojaner, Hijacker und Spyware können von dort aus gestartet werden. Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
Shell-Wert
- Dieser Wert enthält eine Liste von durch Kommas getrennten Werten, die Userinit.exe startet.
- Die Standard-Shell für Windows ist explorer.exe, obwohl legitime Ersetzungen vorgenommen wurden. Wenn userinit.exe die Shell startet, wird zuerst der in HKEY_CURRENT_USER gefundene Shell-Wert gestartet. Wenn dieser Wert nicht vorhanden ist, wird der in HKEY_LOCAL_MACHINE gefundene Wert gestartet.
Registrierungsschlüssel:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell
Die restlichen Autostart-Standorte werden nun verarbeitet.
RunOnce-Schlüssel des lokalen Computers
- Diese Tasten sind hauptsächlich zur Verwendung durch Setup-Programme bestimmt.
- Einträge in diesen Schlüsseln werden einmal gestartet und dann vom Schlüssel gelöscht.
- Wenn vor dem Wert des Schlüssels ein Ausrufezeichen steht, wird der Eintrag erst nach Abschluss des Programms gelöscht. Andernfalls wird er gelöscht, bevor das Programm ausgeführt wird. Dies ist wichtig, denn wenn das Ausrufezeichen nicht verwendet wird und das Programm, auf das in diesem Schlüssel verwiesen wird, nicht ausgeführt wird, wird es nicht erneut ausgeführt, da es bereits gelöscht wurde.
- Alle Einträge in diesem Schlüssel werden in einer undefinierten Reihenfolge synchron gestartet.
- Daher müssen alle Programme in diesem Schlüssel beendet werden, bevor Einträge in HKEY_LOCAL_MACHINE ... \ Run, HKEY_CURRENT_USER ... \ Run, HKEY_CURRENT_USER ... \ RunOnce und Startup-Ordner geladen werden können.
- Die RunOnce-Schlüssel werden unter Windows 2000 und Windows XP im abgesicherten Modus ignoriert. Die RunOnce-Schlüssel werden von Windows NT 3.51 nicht unterstützt.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
Lauf
- Dies sind die häufigsten Startpositionen für Programme, von denen aus der Autostart installiert werden soll.
- Standardmäßig werden diese Schlüssel nicht im abgesicherten Modus ausgeführt. Wenn Sie dem Wert dieser Schlüssel ein Sternchen * voranstellen, wird sie im abgesicherten Modus ausgeführt.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Startordner für alle Benutzer
- Bei Windows XP, 2000 und NT wird dieser Ordner für Programme verwendet, die für alle Benutzer, die sich an diesem Computer anmelden, automatisch gestartet werden sollen.
Es ist allgemein zu finden bei:
Windows XP
C:\Documents and Settings\All Users\Start Menu\Programs\Startup
Windows NT
C:\wont\Profiles\All Users\Start Menu\Programs\Startup
Windows 2000
C:\Documents and Settings\All Users\Start Menu\Programs\Startup
Benutzerprofil-Startordner
- Dieser Ordner wird für den jeweiligen Benutzer ausgeführt, der sich anmeldet.
Dieser Ordner befindet sich normalerweise in:
- Gewinnen Sie 9X, ME
c:\windows\start menu\programs\startup
- Windows XP
C:\Documents and Settings\LoginName\Start Menu\Programs\Startup
RunOnce Aktueller Benutzerschlüssel
- Diese Tasten sind hauptsächlich zur Verwendung durch Setup-Programme bestimmt.
- Einträge in diesen Schlüsseln werden einmal gestartet und dann vom Schlüssel gelöscht.
- Wenn vor dem Wert des Schlüssels ein Ausrufezeichen steht, wird der Eintrag erst nach Abschluss des Programms gelöscht. Andernfalls wird er gelöscht, bevor das Programm ausgeführt wird. Dies ist wichtig, denn wenn das Ausrufezeichen nicht verwendet wird und das Programm, auf das in diesem Schlüssel verwiesen wird, nicht ausgeführt wird, wird es nicht erneut ausgeführt, da es bereits gelöscht wurde.
- Die RunOnce-Schlüssel werden unter Windows 2000 und Windows XP im abgesicherten Modus ignoriert.
- Die RunOnce-Schlüssel werden von Windows NT 3.51 nicht unterstützt.
Registrierungsschlüssel:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
Explorer ausführen
- Diese Schlüssel werden im Allgemeinen zum Laden von Programmen als Teil einer auf dem Computer oder Benutzer festgelegten Richtlinie verwendet.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
Schlüssel laden
- Diese Taste wird normalerweise nicht mehr verwendet, kann jedoch zum automatischen Starten von Programmen verwendet werden.
Registrierungsschlüssel:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
AppInit_DLLs
- Dieser Wert entspricht Dateien, die über den Registrierungswert AppInit_DLLs geladen werden.
- Der Registrierungswert "AppInit_DLLs" enthält eine Liste von DLLs, die beim Laden von "user32.dll" geladen werden.
- Da die meisten ausführbaren Windows-Programme die user32.dll verwenden, bedeutet dies, dass alle im Registrierungsschlüssel AppInit_DLLs aufgeführten DLL-Dateien ebenfalls geladen werden. Dies macht es sehr schwierig, die DLL zu entfernen, da sie in mehrere Prozesse geladen wird, von denen einige nicht angehalten werden können, ohne dass das System instabil wird.
- Die Datei "user32.dll" wird auch von Prozessen verwendet, die vom System beim Anmelden automatisch gestartet werden. Dies bedeutet, dass die in den AppInit_DLLs-Wert geladenen Dateien sehr früh in der Windows-Startroutine geladen werden, sodass sich die DLL verstecken oder schützen kann, bevor wir auf das System zugreifen können.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
ShellServiceObjectDelayLoad
- Dieser Registrierungswert enthält Werte auf ähnliche Weise wie der Schlüssel "Ausführen".
- Der Unterschied ist, dass er nicht auf die Datei selbst zeigt, sondern auf den InProcServer des CLSID zeigt, der die Informationen über die jeweils verwendete DLL-Datei enthält.
- Die Dateien unter diesem Schlüssel werden beim Start Ihres Computers automatisch von Explorer.exe geladen. Da Explorer.exe die Shell für Ihren Computer ist, wird sie immer gestartet und lädt daher immer die Dateien unter diesem Schlüssel. Diese Dateien werden daher zu einem frühen Zeitpunkt des Startvorgangs geladen, bevor ein menschlicher Eingriff erfolgt.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
SharedTaskScheduler
- Dieser Abschnitt bezieht sich auf Dateien, die über den Registrierungswert SharedTaskScheduler für XP-, NT- oder 2000-Computer geladen werden.
- Die Einträge in diesem Registrierungswert werden beim Starten von Windows automatisch ausgeführt.
Registrierungsschlüssel:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
Die folgenden Dateien können Programme automatisch beim Booten starten:
- c: \ autoexec.bat
- c: \ config.sys 3. windir \ wininit.ini - Wird normalerweise von Setup-Programmen verwendet, um eine Datei einmal auszuführen und anschließend gelöscht zu werden.
- windir \ winstart.bat
- windir \ win.ini - [windows] "load"
- windir \ win.ini - [windows] "run"
- windir \ system.ini - [boot] "shell" 8. windir \ system.ini - [boot] "scrnsave.exe"
- windir \ dosstart.bat - Wird in Windows 95 oder 98 verwendet, wenn Sie im Herunterfahren-Menü "Neustart im MS-DOS-Modus" auswählen.
- windir \ system \ autoexec.nt
- windir \ system \ config.nt
Quelle Windows - Programm Automatischer Start Standorte
Haftungsausschluss
Ich bin in keiner Weise mit SysInternals, Nirsoft oder WinPatrol verbunden, ich bin nur ein Endbenutzer der Software.