Une alternative à Autoruns qui surveille, au lieu de seulement lister

Ce qu’Autoruns est conçu pour faire

Autoruns, de Microsoft Sysinternals, montre les programmes configurés pour s’exécuter au démarrage ou à l’ouverture de session. Microsoft le décrit comme ayant la connaissance la plus complète des emplacements de démarrage automatique parmi les moniteurs de démarrage. Il affiche les signatures de code, intègre la soumission à VirusTotal, et il est gratuit, portable et éprouvé. Pour une énumération forensique à un instant donné, il reste superbe.

Pourquoi on cherche une alternative

Autoruns répond à « qu’est-ce qui est enregistré maintenant ? ». Il ne vous dit pas quand une nouvelle entrée est apparue, quel programme l’a créée, et ne vous alerte pas au moment où cela se produit. C’est aussi un outil d’expert : la liste brute vous laisse tout le jugement. Les plus de 25 alternatives listées sur AlternativeTo reflètent cet écart.

Là où Autoruns est plus fort

• L’étendue de l’énumération : la description de Microsoft lui-même (« la connaissance la plus complète des emplacements de démarrage automatique ») mérite d’être prise au mot.
• Un exécutable portable unique, sans installation, omniprésent dans les trousses de réponse à incident.
• Il peut désactiver ou supprimer des entrées sur place (avec la prudence d’un expert).

Là où WinSight est différent

• Il surveille : Guardian ouvre une fenêtre de décision dès qu’un nouvel élément de démarrage apparaît et rapproche les changements survenus pendant que WinSight était éteint.
• Il attribue : en mode élevé, l’attribution d’écriture nomme le programme qui a créé l’entrée, en le nommant « written by setup.exe (pid 4242) », et explique pourquoi il ne le peut pas quand il ne l’est pas.
• Il ne devine jamais : le modèle de verdict à six états sépare « fichier absent, signature non vérifiée » de « non signé vérifié » au lieu de laisser l’ambiguïté. Voir le scanner de démarrage en détail.
• Il est open source : GPL-3.0, auditable de bout en bout, avec VirusTotal strictement facultatif et limité aux empreintes.
• La même installation couvre le pare-feu sortant, la surveillance caméra/micro, les connexions et le DNS.

Utiliser les deux

Rien n’entre en conflit : l’analyse de WinSight est en lecture seule, et Autoruns ne modifie une entrée que si vous le lui demandez. Une configuration sensée consiste à utiliser WinSight pour la surveillance continue et le triage, avec Autoruns comme second avis lors d’investigations manuelles approfondies.

Limites honnêtes

• WinSight couvre 27 familles d’autostart ; l’étendue d’énumération d’Autoruns est plus large, selon la description de Microsoft.
• WinSight inspecte et alerte. Hormis le blocage de Guardian, que vous choisissez pour un nouvel élément de vos propres clés Run ou de votre dossier Démarrage et qui le place dans une quarantaine restaurable, il ne retire aucune entrée.
• Le blocage en temps réel d’une nouvelle persistance exigerait un pilote noyau signé, qui n’est pas fourni.