Про rundll32.exe, вирус "Чёрный прямоугольник", NTFS и SATA

Автор: Adrax

Немало людей обращается ко мне за помощью на различных форумах, где я иногда пробегаю. Вообще-то тут я кривлю душой: вопросы свои они задают не конкретно мне, а всем посетителям форума, но так иногда бывает, что именно я решаю их проблему

В real-life меня также осаждают люди с просьбами о помощи. Чаще всего они просят меня подобрать им какую-либо новую "железку" по их средствам, помочь собрать компьютер - в общем, разобраться с их "железом". Но иногда попадаются и программные проблемы, ставящие людей в тупик получше иных железных...

У страха глаза велики...

Как видите, с Рабочего стола исчезли все иконки. Отсутствует Панель задач и кнопка «Пуск». Окна сворачиваются не на панель задач, а просто вниз экрана. Titanus также сообщил, что в списке запущенных процессов обнаружил ранее отсутствовавший rundll32.exe

Как вы уже знаете из моих статей, я всячески приветствую проявления паранойи у компьютерщиков, особенно у программистов и администраторов, потому что только паранойя заставляет видеть опасность во всём и позволяет создавать безопасные программы или обеспечивать секурность систем. Titanus проявил паранойю в полной мере:) - он не поленился забежать на СекуЛаб и пробить по тамошнему поиску имя "rundll32.exe". И - о ужас! - оказалось, есть вирус, создающий на заражённом компе файл с таким именем! Но антивирус Titanus'а молчал... (а аверов было два: KAV и Dr.Web)

Тут уже Titanus вспомнил о том, что как-то в Сети наткнулся на сайт некоего Adrax'а, лихо крошащего вирусы в капусту, и обратился напрямую ко мне. Результат не заставил себя ждать:)

Прежде всего, я сообщил Titanus'у, что файл с именем rundll32.exe есть в любой уважающей себя Windows-системе, а в WinXP он должен располагаться в c:\Windows\system32.Если же файл с таким именем будет расположен где-то кроме этой папки, то, скорее всего, это будет злобная малварь

Необходимо также сказать пару слов про rundll32.exe... Этот файл необходим для запуска динамических библиотек как приложений. Непонятно? Попытаюсь объяснить получше...

Если вы возьмёте файл с расширением .exe и дважды щёлкнете по нему мышкой, то этот файл запустится и выполнит какое-либо действие на вашем компе (или, если файл повреждён, выдаст ошибку, что не является исполняемым файлом). То же самое будет, если дважды щёлкнуть по файлу .scr
А вот если дважды щёлкнуть по файлу .dll или .sys, то ничего подобного не произойдёт. Почему? Ведь все эти четыре типа файлов являются PE (Portable Executable - переносимыми исполняемыми)? Да потому что .exe и .scr - это ИСПОЛНЯЕМЫЕ файлы! Двойным кликом мы даём им право исполнить свой код на процессоре (или на виртуальной машине, если язык, на котором запрограммирован сей файл, к тому располагает). Файлы .sys - это драйверы, а .dll - динамические библиотеки, и никто им запускаться не разрешал

На самом деле разница между ними довольно условна. В .exe-шник можно запихнуть и драйвер, и библиотеку, и скринсейвер. А .dll-ку можно (в целях отладки или ещё зачем-нибудь) запустить на исполнение - с помощью того самого rundll32.exe

На моей машине в данный момент запущена одна копия rundll32.exe, которая исполняет nvmctray.dll - библиотечку, установившуюся вместе с драйверами видеокарты nVidia и обеспечивающую красивый интерфейс для управлениями опциями дисплея

Titanus провёл поиск в системных папках, нашёл rundll32.exe в system32, а также кучу записей с этим именем в папке Prefetch (ну, это и понятно: Prefetch содержит предпочтительные настройки для любого мало-мальски часто запускаемого приложения - чтобы оно загружалось быстрее). Попутно выяснилось, что такая фигня с его компом произошла после инсталляции какого-то левого скринсейвера. Остальные посетители форума не могли дать иного совета, кроме как переустановить ОС, Titanus предполагал наличие на компе вируса, я же погрузился в раздумья

Подобная картина не соответствовала обычным симптомам смерти процесса Explorer.exe - тогда бы не было видно заголовков свёрнутых окон. По поводу вируса: rundll32.exe из system32 малварью быть не мог... а вот запускаемая им .dll-ка - вполне! Но тогда она должна была палиться в свойствах процесса rundll32.exe и в автозагрузке. Я посоветовал Titanus'у скачать Process Explorer и Autoruns от Марка Руссиновича. Titanus прислал следующий скриншот:

Ага! Вот и она - .dll с "левым" именем, запущенная из временной папки и не замеченная антивирем! Я посоветовал Titanus'у смело удалить её, и - о чудо! - проблема исчезла!

Мораль: если с системой творится что-то странное, если запускаются новые неизвестные вам процессы - посмотрите сначала, что и откуда запущено. Ручной аудит всегда превосходит по возможностям любую автоматику

Страшный вирус "Чёрный прямоугольник"

А теперь прекратим мистификацию и поразмыслим - отчего так получается? Зайдите в раздел Assembler и прочтите статью "Чудо-курсор" - там кое-чего говорится о GDI - интерфейсе, позволяющем выводить графику на различные устройства

Общая идея такова: у каждого используемого для вывода графики устройства (пофигу - монитор, принтер, плоттер) есть контекст, служащий как бы альбомным листом для рисования. Соответственно, чтобы вывести кадр фильма, нужно получить контекст дисплея, нарисовать на нём кадр и вывести на экран. Всё довольно просто и давно уже отработано до мелочей. И PrintScreen, и скринграбберы работают с контекстом дисплея, снимая с него скриншоты. Но почему же они не могут снять скриншот с фильма??

GDI - это хорошо. Хорошо потому, что просто и легко. Научиться писать программы с использованием функций GDI/GDI+ можно очень быстро, но...
GDI - это плохо. Плохо потому, что для такой простой задачи, как вывод изображения, приходится нагружать процессор. Неужели видеокарта с этим не справится? Справится, ещё как...

MicroSoft давным давно разработали ActiveMovie, сейчас именуемую DirectShow - часть графического API DirectX, позволяющую выводить видео силами самой видеокарты при минимальной помощи со стороны процессора. Выглядит это так: видеокарта получает от процессора созданное средствами GDI изображение Рабочего стола Windows, окон приложений и пустого(!) окна медиаплеера. А содержимое окна медиаплеера (кадр фильма), не подвергаясь прорисовке средствами GDI, поступает напрямую в видеопамять. Затем видюха, используя преобразователь со странным названием RAMDAC, наложит одно изображение на другое и выведет то, что мы увидим на дисплее. Здорово, правда? Такая фигня называется "вывод видео в оверлей" или "аппаратное ускорение видео" и поддерживается любым современным медиаплеером. Но - до кадра в оверлее не дотянешься функциями GDI, поэтому, если вам необходимо снять скриншот с фильма, отключите аппаратное ускорение в свойствах медиаплеера или используйте встроенную в медиаплеер функцию сохранения кадра (в LightAlloy и PowerDVD она точно есть, в остальных - не знаю)

Итог наших размышлений: вирусы здесь не при чём - это бажит какой-то медиаплеер или скринграббер, снимая скриншот, когда его не просят и не выключая при этом аппаратного ускорения видео. Насколько мне известно, снимки с именами grab00000.jpg, grab00001.jpg и т.д. любит делать WMP 11, но это не единственный кандидат. Разумеется я поспешил успокоить hott 22 и изложил ему своё умозаключение

Мораль: если с твоим компом творится что-то непонятное, не спеши валить всё на вирусы - возможно, глючит ненастроенное или хреново настроенное ПО

Винчестер Karglak'а

По поводу надёжности... Винчестеры боятся наведённых магнитных полей, механических повреждений, перепадов температур. Всё это чревато потерей (зачастую безвозвратной) важной информации, поэтому при обращении с этим устройством следует проявлять особую осторожность
По поводу быстроты могу сказать следующее: "узкое место" любого винчестера - это скорость записи данных на магнитные пластины. Поэтому увеличение размеров буфера жёсткого диска, смена интерфейса (морально устаревшего IDE на модный SATA) и прочие подобные меры не решат этой проблемы. Другое дело - повышение ёмкости пластин и увеличение скорости вращения шпинделя...

Это была присказка, а теперь - собственно сказка. Пожаловался мне как-то Karglak, что винчестер его бажить начал: разбит он на три раздела (C, D, E), но временами при загрузке Windows видит всего два из них. И такая фигня всё чаще происходит
Поинтересовался я у Karglak'а - какая файловая система на разделах его винча. Оказалось, на всех трёх стоит NTFS

К чему я развёл тут всю эту демагогию? Дело в том, что MFT, являясь основой стабильной работы файловой системы, представляет собой просто файл и, как и любой другой файл, может быть повреждён. А одним из последствий побитого MFT как раз и является исчезновение разделов диска. Следовательно, имелись все шансы "подлечить" MFT и заставить винт работать стабильно. Но Karglak меня слушать не захотел (всё вопил, мол, винч убитый и восстановлению не подлежит) и сказал, что всё равно решил покупать новый, SATA'шный

Тут необходимо сказать, что незадолго до этого другой мой товарищ - WargaL - приобрёл себе SATA'шный винт и на своём опыте вывел правило: если SATA-винчестер является системным (т.е. с него грузится Windows), то для стабильной работы нужно ставить Windows версии не менее XP SP2

Сам по себе интерфейс SATA ничего нового не принёс: ну повесили винты на последовательную шину вместо параллельной, ну слегка расширили пропускную полосу - ну и что? Винчестер как тормозил, так и тормозит - ведь узкое место не в шине, а в механизме записи на магнитную поверхность (хотя, надо признать, что из всех устройств, юзающих этот механизм, винчестер - самое быстрое). Но SATA-винчестеры поддерживают "hot-swap" (смену винча во время работы, не выключая питание и не перегружая ОС), действительно являются чуть быстрее предыдущего поколения - PATA'шных винтов на IDE. Именно SATA-винчестеры стали оснащать новоизобретёнными технологиями, а IDE потихоньку отходит в прошлое. SATA-винчестеры стали настолько разрекламированы и популярны, что вытеснили с серверов диски с интерфейсом SCSI ("скази"). Спору нет, сказёвые винты божественно хороши и надёжны, но они нечеловечески дороги, а SATA дёшев, потому и в фаворе

Но покупателя SATA-винчестера кроме необходимости перебираться на WinXP SP2/2k3/Vista ждёт и другая неожиданность: если IDE-контроллеры более-менее одинаковы, и Windows ставится на IDE-винчестеры без проблем, то SATA-контроллеры разных производителей имеют нехилые отличия, поэтому к контроллеру (или материнской плате, на которой он установлен) должна прилагаться дискетка с драйверами, которую Windows при инсталляции обязательно потребует

В общем, забросил Karglak на полку винт свой IDE'шный и пригласил меня разобраться с SATA'шным, ибо сам в нём ладу не дал. А всего-то нужно в момент, когда инсталлятор Windows напишет "нажмите F6, чтобы установить особый драйвер SCSI или RAID", эту самую F6 нажать и скормить ему вышеописанную дискетку. Но дискетку эту в большинстве случаев нужно сварганить самому. Потому взял я диск с дровами от Karglak'овской материнки и отправился к ближайшему компьютеризированному соседу. Там я открыл диск с дровами нашёл там папку Floppy Image ("образ дискеты") и стал втыкать в содержимое. А содержала эта папка драйверы SATA-контроллера для довольно-таки большого количества версий Windows - там были дрова для Win2k, WinXP, Win2k3 и, точно не помню, но вроде бы и для WinME тоже

Karglak планировал устанавливать WinXP SP2, поэтому я скопировал на дискетки XP'шные драйверы (их было несколько версий, поэтому получилось штук пять дискеток) и по ошибке - один из драйверов для Win2k. После этого мы запустили инсталлятор WinXP и, когда он предложил нажать F6, нажали - и скормили ему одну из дискеток. Не прокатило... В середине установки инсталлятор заматерился: мол, чё за винт вы мне подсунули, не буду на него ставиться - и прервал установку. Мы заново запустили инсталлятор и скормили другую дискетку - снова не то. И тут Karglak обратил внимание на то, что при скармливании дискеты с SATA-дровами инсталлятору он копирует содержимое дискеты в память, и теоретически мы можем подсунуть ему сразу несколько версий драйвера. Мы так и сделали - поочерёдно скопировали в память все XP'шные дрова и затесавшийся по ошибке Win2k'евский. И - о чудо! - инсталлятор не заматерился, а принялся активно копировать файлы на жесткач, а в какой-то момент вывел имя понравившегося ему SATA-драйвера. Не поверите, это был драйвер от Win2k! Возможно, XP'шные дрова были бажными или производитель случайно перепутал папки и положил драйвер не туда, но факт: если бы мы следовали логике, а не ошиблись, то Windows мы устанавливали бы года три...

Ну, да и хрен с ними. Инсталлировали мы WinXP SP2, кое-чего из ПО, я систему поднастроил слегка, а затем поинтересовался, что же Karglak намерен делать с "убитым" IDE'шным винтом. Karglak сказал, что я могу его забирать и, в случае, если я смогу его реанимировать, пусть он остаётся в моей собственности. Такие условия меня более, чем устраивали:)

По приходу домой я прицепил "убитый" винчестер как Primary Slave ("мастером" был мой жёсткий диск с установленной WinXP SP1) и запустил комп. После появления бутскрина Windows экран погас, и моя ОС признаков жизни не подавала. Я нажал RESET, зашёл в BIOS Setup и поглядел, виден ли там второй винчестер. В BIOS'е всё было нормально, и я принял вторичную попытку загрузиться. В этот раз бутскрин сменился голубым фоном, на котором программа autochk.exe белыми буквами вывела результаты своей работы

Итак, autochk.exe определила все три раздела на винчестере Karglak'а как "грязные", и весёлый chkdsk.exe принялся за работу. Как я и думал, MFT была изрядно побита: на всех трёх разделах выводилось множество "file record is unreadable". Соответственно, попадались и нигде не прописанные ("осиротевшие", "orphaned") файлы. Chkdsk.exe молотил файловую систему довольно долго, непрерывно матерясь на английском языке. Временами словоизвержение прекращалось, создавалась полная иллюзия зависания, но у меня хватило терпения дождаться конца работы этой утилиты. Всего на восстановление трёх разделов общей суммой 60 Гб ушло около часа. После этого Windows загрузилась, в системе появились новые логические диски, файлы на которых были полностью восстановлены: архивы, документы (включая курсовую работу Karglak'а по археологии), .exe-шники, мультимедиа-файлы, за исключением 2-х .mp3'шек (они оказались по 0 байт размером)

Karglak был тут же оповещён о "реанимации" своего винчестера, но следует отдать ему должное - он не стал просить вернуть его назад, сразу сказав: "Уговор есть уговор". Он всего лишь попросил не удалять файлы, относящиеся к его курсовой

Новоприбывшие разделы подверглись дефрагментации, после чего были заполнены различными данными - ни сбоев, ни предупреждений не возникло. Система с двумя винчестерами спокойно выдержала напряжённую работу в течение десяти суток, и у меня нет никаких сомнений в работоспособности нового винчестера

Мораль: не мешайте Windows делать свою работу; в MicroSoft работают вполне разумные люди, и проектированное ими ПО зачастую выглядит умнее юзеров

В данном случае, если бы Karglak не отвечал отказом на попытку autochk.exe запустить проверку диска, у меня бы не было нового винчестера:)

19.06.2007 эта статья была подкорректирована по просьбе одного из участников вышеописанных событий