Пожалуйста, помогите мне найти то, что пытается запустить Notepad.exe

551
Gaia

Блокнот запускается (но не запускается) несколько раз подряд. Тогда это останавливается. Это свежая установка Windows 7 x64. Это может (просто мысль) быть связано с ожидающим перезапуском после обновления Windows.

Я запустил Process Explorer, который является естественным выбором, чтобы узнать, что запускает процесс. Это rundll32.exe. Я сканировал как rundll32.exe, так и notepad.exe с помощью MalwareBytes AM и MS Security Essentials, ничего не вышло.

Вот полный дамп для rundll32.exe.

Это действительно rundll32.exe запускающий блокнот, и почему это происходит?

0
notepad.exe - это исполняемый файл. Вы никогда не должны использовать rundll32 для запуска исполняемого файла. что-то серьезно не так. как ты пытаешься его запустить? Ваш ярлык вредоносный? что происходит, когда вы дважды щелкаете exe в c: \ windows? Frank Thomas 10 лет назад 0
Вы пробовали SysInterals (Microsoft) `Autoruns`? charleswj81 10 лет назад 0
Какая командная строка использовалась для запуска Блокнота? (См. В Process Explorer, дважды щелкните по процессу, на вкладке «Изображение») heavyd 10 лет назад 0

1 ответ на вопрос

1
nitro2k01

It appears (unless I'm mistaken) that the command used to invoke rundll32 is

rundll32.exe shell32.dll,Control_RunDLL 

This command should normally start the control panel. You could begin by trying to run that command manually and see if that works, or fails and replicates the behavior that you're seeing currently.

Notepad seems to be started by the following command:

notepad.exe C:\Users\master\AppData\Local\Temp\6868.tmp 

I can't immediately connect the dots and say why it' being started, and what 6868.tmp is supposed to contain. It might be the case that this somehow stems from an installation that wants to display a readme file.

I would look in that temp directory and see if I found a 6868.tmp file which might have permissions such that notepad can't display it. If so, look at the file and figure out where it comes from.

I would search for Control_RunDLL and 6868.tmp in the registry to see if you find any clues.

If this happens again, I would do a new dump and see if still tried to open 6868.tmp with Notepad, or a new, different file. If there's a new file, something must be generating it. If so, you might have luck running Process Monitor (note Process Explorer this time) and filter for events where Path begins with C:\Users\master\AppData\Local\Temp\. (And if needed, enable boot logging in the options menu.) This will hopefully give you a clue what, if anything, is creating the file.

And according to you environment variables, (availabl i the log) this is no longer a completely clean install. You have installed some applications.

No clear answeer, but some things you can try to hopefully track down what is happening.

Это здорово, спасибо. Этого должно быть достаточно, чтобы точно узнать, что происходит, в следующий раз, когда это произойдет. Рекомендуемая команда запускает CP, и в папке temp нет 6868.tmp. Gaia 10 лет назад 0
Я забыл это: возможно, вы проверили командную строку для процесса `rundll32` в Process Explorer (в частности, аргумент, который указывает, какая DLL выполняется). Возможно, строка `rundll32.exe shell32.dll, Control_RunDLL` просто существует в загруженной DLL и фактически не была командой, используемой для вызова процесса` rundll32`. nitro2k01 10 лет назад 0