O Windows 11 carrega muitos drivers e componentes de inicialização antes do processo WinLogon ser iniciado. Esses drivers de carregamento precoce podem tornar a inicialização mais lenta, causar instabilidade no sistema ou ocultar malware que ativa antes que o software de segurança possa detectá-lo. As ferramentas nativas como Gerenciador de Tarefas e MSConfig não mostram esses itens pré-WinLogon. O Autoruns, um utilitário gratuito da Microsoft Sysinternals, fornece uma visão completa de cada driver e processo que é executado antes do usuário fazer logon. Este artigo explica como usar o Autoruns para inspecionar, desabilitar e gerenciar drivers carregados antes do WinLogon no Windows 11.
Principais Conclusões: Auditoria de Drivers Pré-WinLogon no Windows 11
- Autoruns > guia Drivers > coluna Logon: Filtra todos os drivers que carregam antes do processo WinLogon, permitindo uma auditoria direcionada dos componentes de inicialização precoce.
- Desmarcar uma entrada de driver no Autoruns: Desabilita o driver sem excluí-lo permanentemente, permitindo testar a estabilidade da inicialização com segurança.
- Autoruns > Arquivo > Salvar como .arn: Exporta a lista completa de drivers para um arquivo de texto para análise offline, documentação ou comparação com uma linha de base conhecida como boa.
Entendendo os Drivers Pré-WinLogon e o Autoruns
O Windows 11 inicializa em estágios. O kernel carrega, depois o Gerenciador de Sessão (smss.exe) é iniciado, seguido pelo subsistema Windows e pelo processo WinLogon. Os drivers que carregam durante esses estágios iniciais são classificados como drivers de inicialização (boot-start) ou drivers de início de sistema (system-start). Eles são essenciais para acesso a disco, operações do sistema de arquivos e abstração de hardware. No entanto, softwares de terceiros, como ferramentas antivírus, utilitários de criptografia de disco e programas de monitoramento de hardware, também adicionam drivers que iniciam antes do WinLogon.
O Autoruns é um executável portátil que não requer instalação. Ele verifica o Registro do Windows, o sistema de arquivos e as tarefas agendadas para listar todos os componentes de inicialização automática. A ferramenta organiza as entradas em guias: Tudo, Logon, Explorer, Internet Explorer, Tarefas Agendadas, Serviços, Drivers, Codecs, Execução na Inicialização, Image Hijacks, AppInit, KnownDLLs, Winlogon, Winsock, Provedores LSA e Gadgets da Barra Lateral. A guia Drivers mostra os drivers em modo kernel. A coluna Logon dentro dessa guia indica quando cada driver carrega em relação ao processo WinLogon.
O que a Coluna Logon Significa
A coluna Logon no Autoruns exibe um status para cada entrada de driver:
- Em branco: O driver carrega antes do WinLogon. Estes são o foco desta auditoria.
- WinLogon: O driver carrega durante ou após o início do WinLogon.
- Não carregado: O driver está registrado, mas não está ativo no momento.
Drivers com a coluna Logon em branco são aqueles que podem impactar a velocidade de inicialização e a segurança. O Autoruns não modifica esses drivers; ele apenas lê a configuração deles. Para desabilitar um driver, desmarque a caixa de seleção na guia Drivers.
Passos para Auditar Drivers Carregados Antes do WinLogon
Os passos a seguir orientam você no download do Autoruns, filtragem de drivers pré-WinLogon e análise ou desabilitação de entradas específicas.
- Baixar o Autoruns da Microsoft Sysinternals
Abra um navegador e acesse a página oficial da Microsoft Sysinternals para o Autoruns em https://learn.microsoft.com/pt-br/sysinternals/downloads/autoruns. Clique no link Baixar Autoruns e Autorunsc. Salve o arquivo ZIP em uma pasta como C:\Ferramentas. Clique com o botão direito no arquivo ZIP e selecione Extrair Tudo. Escolha uma pasta de destino e clique em Extrair. - Executar o Autoruns como Administrador
Navegue até a pasta extraída. Clique com o botão direito em Autoruns64.exe e selecione Executar como administrador. Se solicitado pelo Controle de Conta de Usuário, clique em Sim. O Autoruns verifica o sistema e exibe todas as entradas de inicialização automática. Essa verificação pode levar de 10 a 30 segundos, dependendo do número de drivers e serviços instalados. - Alternar para a Guia Drivers
Na janela do Autoruns, clique na guia Drivers. Esta guia lista todos os drivers em modo kernel configurados para iniciar automaticamente. As colunas mostram: Nome do Driver, Descrição, Caminho da Imagem, Editor, Logon e Entrada. A lista é classificada em ordem alfabética por padrão. - Filtrar Drivers Pré-WinLogon
Observe a coluna Logon. Clique no cabeçalho da coluna para classificar por status de Logon. Role até as linhas onde a coluna Logon está em branco. Esses são os drivers que carregam antes do WinLogon. Alternativamente, use a opção Filtrar no menu Opções. Clique em Opções > Opções de Filtro. Na caixa de diálogo, marque Ocultar Entradas da Microsoft e Ocultar Entradas do Windows. Isso oculta drivers assinados pela Microsoft, deixando apenas drivers de terceiros. Clique em OK. Agora a lista mostra apenas drivers não Microsoft, e você pode focar naqueles com a coluna Logon em branco. - Analisar Cada Driver Pré-WinLogon
Para cada driver com a coluna Logon em branco, revise os seguintes detalhes:
– Editor: Verifique se o editor é uma empresa conhecida. Editores desconhecidos ou suspeitos podem indicar malware.
– Caminho da Imagem: O caminho completo do arquivo .sys do driver. Clique com o botão direito na entrada e selecione Propriedades para ver a versão do arquivo e os detalhes da assinatura digital.
– Descrição: Uma breve descrição do que o driver faz. Se a descrição for genérica ou estiver ausente, investigue mais a fundo.
– Entrada: A chave do Registro ou pasta onde o driver está registrado. Locais comuns incluem HKLM\SYSTEM\CurrentControlSet\Services. - Desabilitar um Driver Suspeito ou Desnecessário
Para impedir que um driver carregue antes do WinLogon, desmarque a caixa de seleção à esquerda do nome do driver. Uma caixa de diálogo de confirmação pergunta se você deseja prosseguir. Clique em Sim. A alteração entra em vigor imediatamente no Registro. O driver não será carregado na próxima inicialização. Para reativá-lo, marque a caixa novamente. Não desabilite drivers para hardware essencial, como controladores de armazenamento ou drivers de sistema de arquivos, a menos que tenha certeza das consequências. - Exportar a Lista de Drivers para Documentação
Clique em Arquivo > Salvar ou pressione Ctrl+S. Escolha um local e nome de arquivo. O formato padrão é .arn (arquivo de dados do Autoruns). Para exportar como arquivo de texto simples, selecione Texto (txt) na lista suspensa Salvar como tipo. Este arquivo de texto lista todos os drivers com suas propriedades, incluindo o status de Logon. Você pode comparar este arquivo com uma linha de base obtida após uma instalação limpa do Windows 11 para identificar alterações. - Reiniciar e Verificar o Desempenho da Inicialização
Após desabilitar qualquer driver, reinicie o Windows 11. Monitore o tempo de inicialização e verifique se há erros no Visualizador de Eventos. Abra o Visualizador de Eventos pressionando Win + R, digitando eventvwr.msc e pressionando Enter. Vá para Logs do Windows > Sistema. Procure eventos com Origem Service Control Manager ou Driver que indiquem que um driver falhou ao carregar. Se um driver crítico foi desabilitado, o sistema pode não inicializar. Nesse caso, inicialize no Modo de Segurança, execute o Autoruns como administrador e reative o driver.
Problemas Comuns ao Auditar Drivers Pré-WinLogon
O Autoruns Não Mostra Nenhum Driver na Guia Drivers
Isso geralmente acontece quando o Autoruns não está sendo executado como administrador. Feche o Autoruns, clique com o botão direito no executável novamente e selecione Executar como administrador. A guia Drivers requer privilégios elevados para ler o Registro e o repositório de drivers.
Desabilitar um Driver Faz o Windows 11 Não Inicializar
Se o sistema ficar incapaz de inicializar após desabilitar um driver, inicialize no Modo de Segurança. Pressione o botão liga/desliga e segure a tecla Shift enquanto clica em Reiniciar. Vá para Solucionar problemas > Opções avançadas > Configurações de Inicialização > Reiniciar. Pressione 4 ou F4 para entrar no Modo de Segurança. No Modo de Segurança, execute o Autoruns como administrador. Encontre o driver desabilitado (sua caixa de seleção está desmarcada) e marque-a novamente. Reinicie normalmente.
O Autoruns Mostra Vários Drivers com o Mesmo Nome, mas Caminhos Diferentes
Isso indica entradas duplicadas no Registro. Uma entrada pode ser de uma instalação de software antiga que não foi completamente removida. Compare a coluna Caminho da Imagem. O arquivo do driver pode ainda existir no disco mesmo que o software tenha sido desinstalado. Desabilite a entrada duplicada desmarcando-a. Se o driver não for necessário, você pode excluir a chave do Registro manualmente usando o Regedit. Navegue até HKLM\SYSTEM\CurrentControlSet\Services\[NomeDoDriver] e exclua a chave. Exporte a chave como backup antes da exclusão.
Guia Drivers do Autoruns vs Gerenciador de Dispositivos: Comparação de Auditoria de Drivers
| Item | Guia Drivers do Autoruns | Gerenciador de Dispositivos |
|---|---|---|
| Escopo | Todos os drivers em modo kernel configurados para iniciar automaticamente, incluindo drivers não PnP | Apenas drivers Plug and Play para dispositivos de hardware detectados |
| Visibilidade pré-WinLogon | Sim, através da coluna Logon (em branco = antes do WinLogon) | Não, o Gerenciador de Dispositivos não indica o momento do carregamento |
| Método de desabilitação | Desmarcar a caixa de seleção no Autoruns | Clique com o botão direito no dispositivo > Desabilitar dispositivo |
| Visualização do Registro | Mostra o caminho exato da chave do Registro para cada driver | Não mostra a localização no Registro |
| Capacidade de exportação | Salvar como .arn ou .txt com detalhes completos do driver | Exportar como .txt via linha de comando apenas, informações limitadas |
O Autoruns fornece uma visão mais abrangente para auditar drivers que carregam antes do WinLogon. O Gerenciador de Dispositivos é mais adequado para solucionar problemas específicos de driver de hardware após o sistema ter inicializado.
A guia Drivers do Autoruns é a ferramenta mais eficaz para auditar drivers carregados antes do WinLogon no Windows 11. Agora você pode identificar, desabilitar e documentar esses drivers de carregamento precoce usando os passos acima. Para monitoramento contínuo, salve uma exportação de linha de base após um estado limpo do sistema e compare-a periodicamente. Uma prática avançada útil é executar o Autoruns com a opção Verificar assinaturas de código ativada em Opções > Opções de Verificação. Isso verifica cada arquivo de driver em relação à sua assinatura digital, ajudando a identificar drivers não assinados ou adulterados que carregam antes da tela de login aparecer.