au_.exe: что это и как удалить

Рекламный баннер Total AV

Важно: в статье описаны безопасные шаги для обычных пользователей и системных администраторов. Если вы не уверены в действиях — создайте точку восстановления или обратитесь к IT‑специалисту.

Краткое определение

au.exe — исполняемый файл, который часто ассоциируется с движком AutoIt (инструмент для автоматизации Windows). AutoIt позволяет программам запускать скрипты и автоматизировать действия. В то же время злоумышленники могут переименовать вредоносную программу в au.exe, чтобы замаскировать её под легитимный процесс.

Определение в одну строчку: AutoIt — скриптовый движок для автоматизации Windows; au_.exe — файл, который может принадлежать либо AutoIt, либо вредоносной программе.

Почему этот файл появляется в Диспетчере задач

• Программы и установщики, созданные с помощью AutoIt, часто включают исполняемые файлы вида au.exe и могут запускать их временно при инсталляции или обновлении.
• Вредоносное ПО (например, ложные «анти-спайверы» вроде SpyFalcon) может использовать имя au.exe, чтобы усложнить обнаружение.
• Если файл запускается автоматически при загрузке — он может быть прописан в автозагрузке, службах или реестре.

Типичные легитимные приложения, где встречается au_.exe:

Adobe Flash Player (установщики)
Adobe Reader
Google Calendar (интеграции)
Mozilla Firefox (плагины/установщики)
Yahoo Toolbar
Spotify
TeamViewer
Razer Synapse

Путь, в котором часто находится временный исполняемый AutoIt-скрипт:

C:\Users\<ВашПользователь>\AppData\Local\Temp\~nsu.tmp

Если вы видите au_.exe в этом временном каталоге сразу после инсталляции — это чаще всего нормально. Если же файл находится в системных папках (C:\Windows\System32) или в корне профиля с необычными правами доступа, это повод для проверки.

Признаки вредоносной активности

Процесс потребляет много CPU или памяти без видимых причин.
Файл расположен в непривычном каталоге (например, C:\Windows\System32) и не подписан цифровой подписью.
Появляются всплывающие окна с ложными сообщениями об угрозах и требованием купить «антивирус».
Неожиданная автозагрузка при старте системы.
Антивирус отмечает файл как угрозу.

Что делать — пошаговое руководство по удалению au_.exe

Ниже — упрощённый SOP: сначала идентифицируйте файл, затем удалите источник (программу), выполните сканирование, очистите остатки.

1. Идентификация и базовая проверка

Откройте Диспетчер задач (Ctrl+Shift+Esc) и найдите процесс au_.exe.
Щёлкните правой кнопкой по процессу и выберите «Открыть расположение файла».
Проверьте подпись файла: в проводнике правой кнопкой по файлу → Свойства → Цифровые подписи.
Загрузите копию файла на VirusTotal для многосоставного сканирования (virusTotal покажет сводку разных антивирусов).

Если файл находится в Temp и появился сразу после установки известной программы — вероятно, он безопасен. Если расположение неожиданное или VirusTotal/ваш антивирус помечают файл — продолжайте удаление.

2. Удаление связанной программы (рекомендуемый первый шаг)

Удаление через меню «Пуск» (Windows 10/11)

Нажмите клавишу Win для открытия меню «Пуск».
Нажмите «Все приложения».
Найдите приложение, которое, по вашему мнению, связано с au_.exe (часто это Yahoo Toolbar или похожие панели).
Правой кнопкой мыши → Удалить.

Удаление через Панель управления

Нажмите Win → откройте Панель управления.
Перейдите в «Программы и компоненты» (Programs and Features).
Выберите подозрительную программу и нажмите «Удалить» вверху списка.
Следуйте инструкциям мастера удаления и перезагрузите компьютер.

Примечание: иногда инсталлятор/деинсталлятор сам использует au_.exe в процессе удаления — дождитесь завершения и затем проверьте систему снова.

3. Полная проверка антивирусом

Нажмите Win, введите «Защита от вирусов и угроз» и откройте приложение «Безопасность Windows».
Перейдите в «Защита от вирусов и угроз».
Запустите «Быструю проверку» или «Полная проверка» для глубокого поиска.
Примените рекомендованные исправления и следуйте подсказкам по удалению угроз.

Рекомендация: если у вас остались сомнения относительно эффективности Защиты Windows, используйте проверенный сторонний антивирус или антируткитный сканер — например, ESET NOD32, Malwarebytes или средства производителя (без рекламы). Запустите сканирование с загрузочного носителя, если требуются глубокие проверки.

4. Очистка реестра и автозагрузки

Откройте Проводник и удалите оставшиеся файлы из папки программы (если она ещё существует).
Нажмите Win+R → regedit и перейдите в реестр.
Поиск (Ctrl+F) по имени файла/программы в ветках HKEY_LOCAL_MACHINE и HKEY_CURRENT_USER.
Удалите ключи автозагрузки, связанные с вредоносной программой.
Проверьте папки автозагрузки и задания планировщика задач на предмет неизвестных записей.

Важно: редактирование реестра несёт риск; создайте экспортные копии веток перед удалением.

5. Дополнительные инструменты для анализа и удаления

Sysinternals Autoruns — показывает все точки автозапуска.
Process Explorer — подробная информация о процессе, дерево процессов, цифровые подписи.
Антируткитные сканеры (Kaspersky TDSSKiller, Sophos, Malwarebytes).
Загрузочный антивирусный диск (Bootable Rescue Disk) — при сильной инвазии.

Альтернативные подходы и когда они не подходят

Если au_.exe запускается только во время инсталляции и исчезает — не нужно предпринимать радикальных мер.
Если файл подписан известным издателем — скорее всего, он легитимен.
Если вы не уверены, не удаляйте вручную файлы системных установщиков; сначала создайте резервную копию и точку восстановления.

Когда ручное удаление не помогает:

Вредоносное ПО восстанавливает себя из скрытых копий или встраивается в MBR/EFI — тогда нужен загрузочный антивирус и восстановление системы.
Если вы в доменной среде, может потребоваться групповой отклик IT‑отдела.

Практическая методология — быстрая проверка (чеклист для одного прохода)

Найдите au_.exe в Диспетчере задач.
Откройте «Открыть расположение файла».
Проверьте подпись и дату модификации.
Отправьте файл в VirusTotal.
Удалите связанное приложение через «Пуск» или Панель управления.
Просканируйте систему полным антивирусным сканированием.
Очистите реестр и автозагрузку.
Перезагрузите и повторно проверьте.

Ролевые чеклисты

Чеклист для домашнего пользователя:

Сохранили важные документы.
Выполнил полную проверку антивирусом.
Удалил подозрительную программу.
Проверил автозагрузку и реестр (по руководству).
Создал точку восстановления и перезагрузил ПК.

Чеклист для IT‑администратора:

Собрал образец файла и сохранил лог процесса.
Отправил на анализ в VirusTotal и поставил в карантин.
Проверил репликацию в сети и точки распространения.
Провёл массовое удаление через GPO/Endpoint Management.
Обновил правила детекции и уведомил пользователей.

Критерии приёмки

Процесс au_.exe не появляется в Диспетчере задач после перезагрузки (если это не временный установщик).
Файл не обнаруживается антивирусом и не загружается при старте системы.
Нет всплывающих окон с ложными предупреждениями и рекламой.
Нет неизвестных ключей в автозагрузке и планировщике задач.

Примеры ситуаций и контрпримеры

Контрпример 1: Вы нашли au.exe в Temp сразу после установки Adobe Reader и процесс исчез через несколько минут — это ожидаемое поведение установщика.
Контрпример 2: au.exe находится в C:\Windows\System32 и запущен от имени SYSTEM без цифровой подписи — это подозрительно и требует удаления.

Быстрый план реагирования (playbook)

Изолируйте машину (отключите от сети).
Сделайте снимок процессов и экспортируйте логи.
Снимите образ подозрительного файла и загрузите на VirusTotal.
Удалите приложение и выполните полную проверку антивирусом.
Очистите реестр и автозапуск.
При необходимости восстановите систему из резервной копии.

Decision flowchart

flowchart TD
  A[Обнаружен au_.exe] --> B{Расположение файла}
  B -- Temp или папка установки --> C{Подписан?}
  B -- Системная папка или неизвестно --> D[Сканировать и изолировать]
  C -- Да --> E[Вероятно легитимный; мониторинг]
  C -- Нет --> D
  D --> F[Удалить связанное приложение]
  F --> G[Полное сканирование антивирусом]
  G --> H{Обнаружены угрозы?}
  H -- Да --> I[Применить очистку и восстановление]
  H -- Нет --> J[Проверить реестр и автозагрузку]
  I --> K[Перезагрузка и верификация]
  J --> K

Часто задаваемые вопросы

Что если антивирус помечает au_.exe как троян?

Следуйте подсказкам антивируса — поместите файл в карантин и выполните полную проверку системы. Если антивирус ложно срабатывает (false positive), проверьте подпись файла и обратитесь к вендору ПО.

Можно ли удалить au_.exe вручную?

В большинстве случаев сначала удаляют программу‑источник через стандартные средства, затем удаляют оставшиеся файлы и ключи реестра. Ручное удаление без удаления источника может привести к восстановлению файла.

Нужно ли переустанавливать Windows?

Только при серьёзном заражении (руткит, повреждение загрузочной записи) — в остальных случаях достаточно удаления и восстановления из резервных копий.

Итог

au_.exe не всегда означает угрозу: он может быть частью законных установщиков, использующих AutoIt. Однако необычное расположение файла, отсутствие цифровой подписи, высокие ресурсоёмкие операции и пометки антивирусов указывают на необходимость действий. Следуйте чеклисту: идентификация → удаление источника → сканирование → очистка реестра → верификация.

Важно: при сомнении сохраните образ файла и обратитесь к специалисту.