Что такое rundll32.exe и почему он работает?

2024 Автор: Geoffrey Carr | [email protected]. Последнее изменение: 2023-12-17 10:57

Вы, несомненно, читаете эту статью, потому что вы смотрели в диспетчере задач и задавались вопросом, что на самом деле все эти процессы rundll32.exe, и почему они работают … Итак, что это такое?

Эта статья является частью нашей текущей серии, объясняющей различные процессы, обнаруженные в диспетчере задач, такие как svchost.exe, dwm.exe, ctfmon.exe, mDNSResponder.exe, conhost.exe, Adobe_Updater.exe и многие другие. Не знаете, что это за услуги? Лучше начните читать!

объяснение

Если вы были вокруг Windows в течение какого-то времени, вы видели файлы zillions *.dll (Dynamic Link Library) в каждой папке приложения, которые используются для хранения общих частей логики приложения, к которым можно получить доступ из нескольких Приложения.

Поскольку нет прямого запуска DLL-файла, приложение rundll32.exe просто используется для запуска функций, хранящихся в файлах с расширением.dll. Этот исполняемый файл является действительной частью Windows и обычно не должен представлять угрозы.

Примечание: действительный процесс обычно находится в Windows System32 rundll32.exe, но иногда шпионское ПО использует одно и то же имя файла и запускается из другого каталога, чтобы замаскировать себя. Если вы считаете, что у вас есть проблема, вы всегда должны запускать сканирование, но мы можем точно проверить, что происходит … поэтому продолжайте читать.

Исследование с использованием Process Explorer в Windows 10, 8, 7, Vista и т. Д.

Вместо использования диспетчера задач мы можем использовать бесплатную утилиту Process Explorer от Microsoft, чтобы выяснить, что происходит, что имеет преимущество в работе в каждой версии Windows и является лучшим выбором для любой задачи по устранению неполадок.

Просто запустите Process Explorer, и вы захотите выбрать File Show Details для всех процессов, чтобы убедиться, что вы все видите.

Теперь, когда вы наведете над rundll32.exe в списке, вы увидите всплывающую подсказку с подробностями о том, что это на самом деле:

Или вы можете щелкнуть правой кнопкой мыши, выбрать «Свойства», а затем взглянуть на вкладку «Изображение», чтобы увидеть полное имя пути, которое запускается, и вы даже можете увидеть процесс «Родитель», который в этом случае является оболочкой Windows (explorer.exe ), что указывает на то, что он, скорее всего, был запущен из ярлыка или элемента запуска.

Вы можете просматривать и просматривать сведения о файле так же, как в разделе «Диспетчер задач» выше. В моем случае это часть панели управления NVIDIA, и поэтому я не собираюсь ничего с этим делать.

Как отключить процесс Rundll32 (Windows 7)

В зависимости от того, что это за процесс, вы не захотите его отключить, но если хотите, вы можете ввести msconfig.exe в поле поиска или запуска меню «Пуск», и вы сможете найти его в столбце «Команда», который должен быть таким же, как поле «Командная строка», которое мы видели в Process Explorer. Просто снимите флажок, чтобы он не запускался автоматически.

Иногда процесс фактически не имеет элемента запуска, и в этом случае вам, вероятно, придется провести некоторое исследование, чтобы выяснить, откуда он был запущен. Например, если вы откроете Display Properties на XP, вы увидите еще один файл rundll32.exe в списке, потому что Windows внутренне использует rundll32 для запуска этого диалога.

Отключение в Windows 8 или 10

Если вы используете Windows 8 или 10, вы можете использовать раздел «Запуск» диспетчера задач, чтобы отключить его.

Использование диспетчера задач Windows 7 или Vista

Одной из замечательных особенностей Windows 7 или Vista Task Manager является возможность увидеть полную командную строку для любого запущенного приложения. Например, вы увидите, что в моем списке есть два процесса rundll32.exe:

Если вы перейдете в View Select Columns, вы увидите опцию «Command Line» в списке, которую вы хотите проверить.

Теперь вы можете увидеть полный путь к файлу в списке, который вы заметите - это допустимый путь для rundll32.exe в каталоге System32, а аргумент - это другая DLL, которая фактически является тем, что выполняется.

Если вы просмотрите файл вниз, чтобы найти этот файл, который в этом примере является nvmctray.dll, вы обычно увидите, что это на самом деле, когда вы наводите указатель мыши на имя файла:

В противном случае вы можете открыть Свойства и взглянуть на Детали, чтобы увидеть описание файла, которое обычно укажет вам цель для этого файла.

Как только мы узнаем, что это такое, мы можем выяснить, хотим ли мы его отключить или нет, о чем мы расскажем ниже. Если информации вообще нет, вам нужно либо Google, либо спросить кого-нибудь на полезном форуме.

Когда все остальное не удастся, вы должны отправить полный путь команды на полезный форум и получить совет от кого-то другого, который мог бы узнать об этом больше.