Causas reais, restauração automática de aplicativos, Gerenciador de Tarefas, pastas de inicialização e primeiros diagnósticos

1. Por que programas continuam abrindo sozinhos no Windows 11?

Você liga o computador, digita sua senha e aguarda o Windows 11 carregar. Alguns segundos depois, começam a aparecer janelas que você não abriu.

O navegador inicia sozinho. O Microsoft Word reaparece com um documento. Uma pasta do Explorador de Arquivos surge na tela. Em outros casos, programas de comunicação, armazenamento em nuvem ou utilitários do fabricante são executados automaticamente.

O usuário abre o Gerenciador de Tarefas, acessa a seção Aplicativos de inicialização e desativa os programas que não deseja executar.

Depois, reinicia o computador.

Entretanto, alguns aplicativos continuam abrindo.

A situação provoca uma dúvida bastante comum:

Se o programa está desativado na Inicialização do Windows 11, por que ele continua executando automaticamente?

A resposta envolve uma característica importante do sistema operacional: o Windows possui vários mecanismos capazes de iniciar aplicativos.

A lista apresentada pelo Gerenciador de Tarefas representa apenas parte desses mecanismos.

Além disso, nem todo aplicativo que aparece depois de reiniciar foi iniciado por uma entrada tradicional de inicialização.

Em determinadas situações, o Windows está restaurando programas que estavam abertos anteriormente.

Em outras, o próprio aplicativo possui uma configuração para iniciar junto com o sistema.

Também existem tarefas agendadas, serviços, componentes auxiliares e mecanismos administrativos capazes de executar programas durante a entrada do usuário.

Por isso, desativar um aplicativo no Gerenciador de Tarefas não garante que ele nunca mais será executado automaticamente.

O diagnóstico correto depende de identificar qual mecanismo iniciou o programa.

Neste guia técnico da VMIA, vamos investigar essas possibilidades e mostrar como diferenciar um comportamento normal do Windows de uma configuração incorreta ou atividade suspeita.

2. O Gerenciador de Tarefas não controla todos os mecanismos de inicialização

O Gerenciador de Tarefas oferece uma maneira prática de controlar diversos aplicativos que iniciam automaticamente.

Para acessá-lo:

1. Pressione Ctrl + Shift + Esc.
2. Abra Aplicativos de inicialização.
3. Localize o programa desejado.
4. Clique com o botão direito.
5. Selecione Desabilitar, quando disponível.

Essa configuração pode impedir a execução automática associada à entrada de inicialização controlada pelo Windows.

Entretanto, ela não representa um bloqueio geral de execução.

Um programa desativado nessa lista ainda pode ser aberto manualmente, por outro aplicativo ou por um mecanismo diferente.

Exemplo prático

Imagine que o usuário desative determinado aplicativo de comunicação.

Depois, entra no Windows.

O aplicativo aparece novamente.

Entre as hipóteses estão:

• O Windows restaurou o aplicativo após a entrada.
• Uma tarefa agendada executou o programa.
• Outro componente iniciou o aplicativo.
• O próprio software possui uma configuração independente.
• O usuário desativou uma entrada diferente daquela responsável pela execução.

Essas hipóteses precisam ser verificadas individualmente.

Não é correto concluir que o Gerenciador de Tarefas está com defeito.

2.1 O que significa o status Desabilitado?

Quando uma entrada aparece como Desabilitada, o Windows registra que aquele mecanismo de inicialização não deve executar o aplicativo automaticamente.

Entretanto, isso não impede outros mecanismos de iniciá-lo.

A diferença parece pequena, mas muda completamente o diagnóstico.

Conceito importante

Desabilitar um aplicativo na Inicialização não equivale a proibir sua execução. O programa ainda pode ser aberto pelo Windows, por uma tarefa agendada, por outro processo ou pelo próprio usuário.

3. Windows 11 pode restaurar aplicativos depois de reiniciar

Uma das causas mais confundidas com inicialização automática é a restauração de aplicativos.

O Windows 11 possui recursos relacionados à reabertura de determinados aplicativos após a entrada do usuário.

Dependendo da configuração e da compatibilidade do programa, o sistema pode restaurar aplicativos reiniciáveis que estavam abertos anteriormente.

Isso significa que um aplicativo pode reaparecer sem utilizar uma entrada tradicional da lista de Inicialização.

3.1 Onde verificar essa configuração?

Abra:

Configurações → Contas → Opções de entrada.

Procure uma opção semelhante a:

Salvar automaticamente meus aplicativos reiniciáveis e reiniciá-los quando eu entrar novamente.

A redação pode variar conforme a versão do Windows 11.

Se a opção estiver ativada, o Windows poderá tentar restaurar aplicativos compatíveis.

3.2 Como testar?

Primeiro, identifique um aplicativo que costuma reaparecer.

Depois, feche completamente esse aplicativo.

Reinicie o computador.

Observe se ele continua abrindo.

Se não abrir, existe uma indicação de que a reabertura pode estar relacionada à restauração da sessão.

Entretanto, esse resultado não comprova sozinho o mecanismo utilizado.

Para confirmar, compare o comportamento com a opção de restauração ativada e desativada.

3.3 Nem todos os aplicativos participam desse recurso

O Windows não restaura obrigatoriamente todos os programas.

A participação depende de características e compatibilidade do aplicativo.

Além disso, alguns softwares implementam mecanismos próprios de recuperação de sessão.

Por isso, um navegador pode reabrir páginas enquanto outro aplicativo permanece fechado.

4. Inicialização automática e restauração de sessão são coisas diferentes

Considere duas situações.

Na primeira, o usuário fecha todos os programas antes de desligar o computador.

Mesmo assim, determinado aplicativo abre automaticamente depois da entrada.

Nesse cenário, investigue os mecanismos de inicialização.

Na segunda, o usuário deixa o navegador aberto e reinicia o computador.

Depois de entrar no Windows, o navegador reaparece.

Nesse caso, a restauração de aplicativos ou de sessão merece atenção.

A diferença pode ser resumida assim:

Comportamento	Hipótese inicial
Programa abre mesmo após ser fechado antes do desligamento	Inicialização automática ou outro acionador
Programa reaparece somente quando estava aberto	Restauração de aplicativo ou sessão
Navegador abre com as mesmas abas	Restauração do Windows ou do navegador
Programa aparece após alguns minutos	Tarefa, serviço ou outro acionador
Programa abre apenas ao conectar à rede	Acionador relacionado à conexão ou aplicativo
Programa abre apenas após login	Inicialização por usuário, restauração ou tarefa de logon

Essa comparação ajuda a escolher os próximos testes.

Entretanto, nenhum comportamento isolado identifica definitivamente a causa.

5. Por que o navegador abre sozinho no Windows 11?

Navegadores como Microsoft Edge e Google Chrome podem apresentar comportamentos relacionados à restauração de sessão, execução em segundo plano e inicialização.

Entretanto, esses mecanismos não são equivalentes.

5.1 Restauração de abas

Um navegador pode ser configurado para continuar de onde o usuário parou.

Nesse caso, quando o programa é iniciado, ele restaura páginas anteriores.

Isso não explica necessariamente por que o navegador foi iniciado.

São duas perguntas diferentes:

Quem abriu o navegador?

Por que ele restaurou as abas anteriores?

O diagnóstico precisa responder às duas.

5.2 Microsoft Edge e execução em segundo plano

O Microsoft Edge possui recursos como Inicialização Rápida (Startup Boost) e execução de componentes em segundo plano, dependendo da versão e das configurações.

Esses recursos podem manter processos relacionados ao navegador disponíveis.

Entretanto, a presença de processos em segundo plano não significa necessariamente que uma janela será aberta automaticamente.

5.3 Google Chrome

O Chrome também pode manter determinadas atividades em segundo plano, conforme as configurações e os componentes instalados.

Entretanto, não devemos confundir processos em segundo plano com abertura automática de uma janela.

5.4 Teste recomendado

Feche completamente o navegador.

Verifique se não existem janelas abertas.

Reinicie o computador.

Observe se o navegador abre.

Depois, compare com o comportamento quando ele permanece aberto antes da reinicialização.

Esse teste ajuda a diferenciar restauração de sessão e inicialização independente.

6. Por que o Word e o Excel podem reaparecer após reiniciar?

O Microsoft Word e o Excel podem participar de mecanismos de recuperação de documentos e restauração de aplicativos.

Entretanto, precisamos diferenciar três situações.

Situação 1 — O aplicativo reaparece com o documento anterior

Isso pode estar relacionado à restauração de aplicativos ou a mecanismos de recuperação.

Situação 2 — O aplicativo abre sem documento

Nesse caso, investigue uma possível entrada de inicialização, tarefa ou outro acionador.

Situação 3 — O documento aparece apenas quando o usuário abre o programa

Esse comportamento pode envolver recuperação de documentos ou arquivos recentes.

Não significa necessariamente que o aplicativo foi iniciado automaticamente.

Teste prático

Abra o Word.

Crie um documento de teste sem informações importantes.

Salve o arquivo.

Feche completamente o Word.

Reinicie o computador.

Observe se o programa abre sozinho.

Depois, repita o teste deixando o Word aberto antes da reinicialização.

Compare os resultados.

Não utilize documentos de trabalho não salvos para realizar testes de reinicialização.

7. O Explorador de Arquivos também pode restaurar janelas

Outro comportamento que gera confusão envolve pastas que reaparecem após entrar no Windows.

O Explorador de Arquivos possui uma configuração relacionada à restauração de janelas de pastas anteriores.

Como verificar?

Abra o Explorador de Arquivos.

Acesse as opções de pasta.

Na guia Modo de Exibição, procure:

Restaurar janelas de pastas anteriores durante o logon.

A redação pode variar conforme a versão e o idioma do Windows.

Quando ativada, essa opção pode fazer determinadas janelas de pastas reaparecerem após a entrada do usuário.

Exemplo prático

O usuário deixa uma pasta de documentos aberta.

Reinicia o computador.

Depois de entrar, a mesma pasta aparece.

Ele acredita que o Explorador está abrindo sozinho por erro.

Entretanto, o comportamento pode estar relacionado à configuração de restauração.

Como testar?

Desative temporariamente a opção.

Feche as janelas de pastas.

Reinicie.

Observe se o comportamento desaparece.

Se a pasta continuar abrindo, investigue outros mecanismos.

8. Pastas de Inicialização: um mecanismo tradicional que continua existindo

O Windows mantém pastas especiais que podem conter atalhos executados durante a entrada do usuário.

Essas pastas representam um mecanismo tradicional de inicialização automática.

Existem locais diferentes para o usuário atual e para todos os usuários.

8.1 Pasta de Inicialização do usuário atual

Pressione Win + R.

Digite:

shell:startup

Pressione Enter.

O Windows abrirá a pasta de Inicialização correspondente ao usuário atual.

Ela pode conter atalhos de aplicativos configurados para iniciar quando esse usuário entra no sistema.

8.2 Pasta de Inicialização comum

Pressione Win + R.

Digite:

shell:common startup

Essa pasta corresponde à inicialização comum, utilizada para entradas destinadas aos usuários do computador.

Dependendo das permissões, modificações nesse local exigem autorização administrativa.

8.3 Como interpretar o conteúdo?

Se existe um atalho para determinado aplicativo, ele pode participar da inicialização automática.

Entretanto, a presença de um atalho não comprova que o programa foi executado com sucesso.

Também é importante verificar se o atalho aponta para o aplicativo esperado.

8.4 Devo excluir os atalhos?

Não imediatamente.

Primeiro, identifique o programa e sua finalidade.

Em seguida, verifique se existe uma configuração oficial para desativar a inicialização automática.

Se for necessário modificar o atalho, preserve as informações para permitir a reversão.

Em computadores corporativos, não altere entradas administrativas sem autorização.

9. Como consultar as pastas de Inicialização com PowerShell

O PowerShell permite listar os arquivos presentes nas pastas de inicialização.

9.1 Usuário atual

$PastaUsuario = [Environment]::GetFolderPath('Startup')

Get-ChildItem -LiteralPath $PastaUsuario -Force |
    Select-Object Name, FullName, LastWriteTime

O comando apenas consulta o conteúdo.

Não modifica arquivos.

9.2 Todos os usuários

$PastaComum = [Environment]::GetFolderPath('CommonStartup')

Get-ChildItem -LiteralPath $PastaComum -Force |
    Select-Object Name, FullName, LastWriteTime

O resultado ajuda a identificar atalhos e outros arquivos presentes nesses locais.

Entretanto, nem todos os mecanismos de inicialização aparecem nessas pastas.

9.3 Por que consultar as duas pastas?

Um aplicativo pode utilizar a pasta do usuário atual.

Outro pode utilizar a pasta comum.

Por isso, verificar apenas shell:startup pode deixar entradas relevantes fora do diagnóstico.

10. Como identificar aplicativos de inicialização pelo PowerShell

O Windows disponibiliza informações sobre determinados comandos de inicialização por meio da classe WMI/CIM Win32_StartupCommand.

Execute:

Get-CimInstance Win32_StartupCommand |
    Select-Object Name, Command, Location, User

O resultado pode apresentar comandos associados a locais tradicionais de inicialização.

Entretanto, essa consulta possui limitações.

Ela não representa necessariamente todos os mecanismos de execução automática.

Tarefas agendadas, serviços e mecanismos de restauração podem não aparecer.

Além disso, a presença de uma entrada não garante que ela esteja habilitada no Gerenciador de Tarefas ou que tenha sido executada.

Exemplo de interpretação

Imagine que o resultado apresente uma entrada associada a determinado programa.

Isso indica que existe uma configuração de inicialização identificada pela consulta.

Entretanto, o técnico ainda precisa verificar se a entrada está ativa e se corresponde ao comportamento observado.

Não utilize o resultado como justificativa para excluir automaticamente entradas do sistema.

11. Como descobrir se um programa foi iniciado durante o login?

O Gerenciador de Tarefas permite observar os processos atualmente em execução.

Entretanto, ele não informa necessariamente qual mecanismo iniciou cada processo.

O PowerShell pode ajudar a consultar horários de início.

Consultar processos

Get-Process |
    Select-Object ProcessName, Id, StartTime -ErrorAction SilentlyContinue

Alguns processos podem não disponibilizar todas as informações sem permissões adicionais.

Consultar um aplicativo específico

Por exemplo:

Get-Process -Name notepad -ErrorAction SilentlyContinue |
    Select-Object ProcessName, Id, StartTime

Substitua notepad pelo nome real do processo que deseja investigar.

Como interpretar?

Se um programa iniciou poucos segundos depois do login, isso sugere uma relação temporal.

Entretanto, não comprova que ele foi iniciado por uma entrada tradicional.

Uma tarefa agendada, um serviço ou outro aplicativo também pode ter iniciado o processo.

O horário representa apenas uma evidência inicial.

12. Diagnóstico inicial: como reproduzir o problema corretamente

Antes de utilizar ferramentas avançadas, faça um teste controlado.

Etapa 1 — Identifique o aplicativo

Anote o nome do programa que abre sozinho.

Se possível, identifique o processo correspondente no Gerenciador de Tarefas.

Etapa 2 — Verifique a Inicialização

Abra o Gerenciador de Tarefas.

Confira se o aplicativo aparece na seção Aplicativos de inicialização.

Registre o status.

Etapa 3 — Feche o aplicativo

Feche todas as janelas do programa.

Quando existir um ícone na área de notificação, verifique se o aplicativo continua executando em segundo plano.

Não encerre processos desconhecidos ou componentes essenciais do Windows.

Etapa 4 — Reinicie o computador

Reinicie normalmente.

Observe se o aplicativo abre.

Etapa 5 — Compare com a restauração de aplicativos

Verifique a configuração de aplicativos reiniciáveis nas Opções de entrada.

Repita o teste com a restauração desativada, quando apropriado.

Etapa 6 — Consulte as pastas de Inicialização

Abra:

shell:startup

E:

shell:common startup

Verifique se existem entradas relacionadas ao aplicativo.

Etapa 7 — Registre o resultado

Anote se o programa:

• Abriu imediatamente após o login.
• Abriu alguns minutos depois.
• Abriu somente quando estava aberto antes de reiniciar.
• Abriu mesmo depois de ser fechado completamente.
• Apareceu apenas como processo em segundo plano.

Essas informações ajudam a direcionar a investigação.

13. Tabela de diagnóstico: programas que abrem sozinhos no Windows 11

Sintoma	Hipótese inicial	Primeira verificação
Programa reaparece após reiniciar	Restauração de aplicativos	Opções de entrada
Programa abre mesmo desativado na Inicialização	Outro mecanismo de execução	Pastas, tarefas e configurações do app
Navegador abre com abas antigas	Restauração de sessão	Configurações do navegador e Windows
Word reaparece com documento	Restauração ou recuperação	Comparar fechamento e reinicialização
Pasta abre sozinha	Restauração de janelas	Opções do Explorador
Programa abre após alguns minutos	Tarefa ou outro acionador	Agendador de Tarefas
Programa abre apenas para um usuário	Configuração individual	Inicialização e perfil do usuário
Programa abre para todos os usuários	Configuração comum ou administrativa	Pasta comum, serviços e políticas
Processo aparece sem janela	Execução em segundo plano	Configurações do aplicativo
Programa desconhecido inicia sozinho	Entrada não identificada	Caminho, assinatura e origem

14. Quando a abertura automática pode indicar um problema de segurança?

Nem todo programa que abre sozinho representa malware.

Diversos aplicativos legítimos utilizam mecanismos de inicialização.

Entretanto, determinados comportamentos justificam uma investigação de segurança.

Entre eles estão programas desconhecidos, executáveis sem origem identificável, alterações inesperadas de configurações e processos associados a arquivos suspeitos.

Nesses casos, evite executar arquivos desconhecidos ou desativar indiscriminadamente componentes do sistema.

Primeiro, identifique o caminho do executável e sua assinatura digital.

Depois, utilize as ferramentas de segurança do Windows para verificar o equipamento.

Como abrir a Segurança do Windows

Acesse:

Configurações → Privacidade e segurança → Segurança do Windows.

Abra a proteção contra vírus e ameaças.

Consulte o histórico de proteção e execute uma verificação apropriada, se necessário.

A ausência de alertas não garante que todo programa seja confiável.

Por isso, a investigação deve considerar a origem do arquivo e o comportamento observado.

Registro do Windows, Run, RunOnce, StartupApproved, Agendador de Tarefas, serviços e diagnóstico avançado com PowerShell

16. Por que desativar um programa na Inicialização nem sempre impede sua execução?

Na primeira parte deste guia, explicamos por que o Windows 11 pode reabrir programas depois de reiniciar, mesmo quando o usuário desativa aplicativos no Gerenciador de Tarefas.

Investigamos a restauração automática de aplicativos, a recuperação de sessões do navegador, o comportamento do Word e Excel e as pastas tradicionais de inicialização.

Agora, vamos aprofundar os mecanismos que o Windows utiliza para executar programas durante a entrada do usuário.

O ponto principal é compreender que a Inicialização do Gerenciador de Tarefas não funciona como uma lista universal de bloqueio de aplicativos.

O Windows possui diferentes mecanismos de execução automática. Entre eles estão:

• Chaves Run e RunOnce do Registro.
• Informações de habilitação armazenadas em StartupApproved.
• Tarefas agendadas com acionadores de entrada.
• Serviços executados pelo Gerenciador de Controle de Serviços.
• Configurações específicas de cada usuário.
• Componentes auxiliares instalados por aplicativos.

Um programa pode utilizar mais de um desses mecanismos.

Por exemplo, determinado aplicativo pode possuir uma entrada tradicional de inicialização e também instalar um serviço responsável por executar tarefas em segundo plano.

Desativar a entrada tradicional não significa que o serviço será interrompido.

Em outro cenário, o programa pode criar uma tarefa agendada para ser executada depois que o usuário entra no Windows.

Essa tarefa pode continuar funcionando mesmo que o aplicativo apareça como desabilitado na Inicialização.

Por isso, a investigação deve identificar quem executou o programa, quando isso aconteceu e qual configuração autorizou a execução.

17. Chaves Run do Registro: um dos mecanismos tradicionais de inicialização

O Registro do Windows possui locais específicos que podem armazenar comandos executados durante a entrada do usuário.

Entre os mais conhecidos estão as chaves Run.

Elas permitem que programas registrem comandos de inicialização.

Existem locais associados ao usuário atual e ao computador.

17.1 Run do usuário atual

O caminho é:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Essa chave pode conter valores relacionados à inicialização do usuário conectado.

Cada valor normalmente possui um nome e um comando.

O comando pode apontar para um executável ou incluir argumentos.

Exemplo ilustrativo

Nome: AplicativoExemplo
Dados: "C:\Program Files\AplicativoExemplo\programa.exe" --background

Esse exemplo representa uma entrada hipotética.

Não significa que o aplicativo exista no computador.

O argumento --background também é apenas ilustrativo: seu significado depende do programa.

17.2 Run do computador

Outro caminho importante é:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Essa chave pode conter entradas destinadas à inicialização em sessões de usuários do computador.

Entretanto, isso não significa que todos os programas registrados ali sejam executados com privilégios administrativos.

O contexto de execução depende do mecanismo utilizado e das permissões aplicáveis.

17.3 Por que verificar as duas chaves?

Imagine que o usuário consulte apenas a chave do seu perfil.

Nenhuma entrada relacionada ao aplicativo aparece.

Entretanto, existe uma configuração em HKEY_LOCAL_MACHINE.

Nesse caso, a investigação estaria incompleta.

Por isso, o técnico deve consultar os dois locais.

18. Como consultar as chaves Run com PowerShell

O PowerShell permite consultar os valores dessas chaves sem modificá-los.

Run do usuário atual

Get-ItemProperty `
  -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

O comando apresenta os valores encontrados.

Algumas propriedades exibidas pertencem ao próprio provedor do Registro e não representam programas de inicialização.

Run do computador

Get-ItemProperty `
  -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

Consultar as entradas de 32 bits

Em instalações Windows de 64 bits, também pode ser relevante verificar:

Get-ItemProperty `
  -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

Essa área pode conter entradas relacionadas à visualização de Registro utilizada por aplicativos de 32 bits.

Entretanto, não devemos assumir que todos os aplicativos de 32 bits utilizam esse local.

Como interpretar os resultados?

Considere uma entrada que aponta para um programa conhecido.

A presença do comando indica que existe uma configuração de inicialização naquele local.

Entretanto, não comprova que o programa foi executado durante o último login.

A entrada pode estar desabilitada por outro mecanismo, apontar para um arquivo inexistente ou falhar durante a execução.

Por isso, presença no Registro não é sinônimo de execução confirmada.

19. RunOnce: por que alguns programas abrem apenas uma vez?

O Windows também possui chaves chamadas RunOnce.

Elas são utilizadas para determinadas operações que precisam ser executadas uma vez, conforme as regras do mecanismo.

Os caminhos mais conhecidos incluem:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

e:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Essas entradas podem participar de processos de instalação, configuração ou conclusão de determinadas operações.

19.1 Diferença entre Run e RunOnce

A chave Run normalmente representa uma configuração recorrente de inicialização.

Já RunOnce foi projetada para comandos executados uma única vez, respeitadas suas regras de processamento.

Isso pode explicar por que determinado programa aparece após uma reinicialização, mas não nas seguintes.

Exemplo prático

Um aplicativo recebe uma atualização.

Depois de reiniciar, abre uma janela para concluir a configuração.

O usuário acredita que o programa passou a iniciar automaticamente.

Entretanto, o comportamento pode estar relacionado a uma operação de execução única.

19.2 Como consultar RunOnce

Get-ItemProperty `
  -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce' `
  -ErrorAction SilentlyContinue |
  Format-List *

Para consultar o contexto do computador:

Get-ItemProperty `
  -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce' `
  -ErrorAction SilentlyContinue |
  Format-List *

Cuidados importantes

Não exclua entradas RunOnce apenas porque parecem desconhecidas.

Elas podem estar relacionadas à conclusão de uma instalação ou atualização legítima.

Além disso, determinadas entradas podem desaparecer depois de processadas, dificultando a investigação posterior.

O comportamento exato depende do contexto e das regras de execução.

20. StartupApproved: por que uma entrada existe no Registro, mas aparece desabilitada?

Este é um dos pontos mais importantes do artigo.

O Windows mantém informações de habilitação de determinadas entradas de inicialização em locais conhecidos como StartupApproved.

Essas informações ajudam o sistema a controlar entradas apresentadas na interface de inicialização.

Por exemplo, um aplicativo pode continuar registrado em Run, mas aparecer como desabilitado no Gerenciador de Tarefas.

Isso não representa necessariamente uma inconsistência.

O Windows pode preservar a entrada original e manter separadamente seu estado de habilitação.

20.1 Onde encontrar StartupApproved?

Um caminho frequentemente utilizado é:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved

Nele, podem existir subchaves como:

Run
StartupFolder

Também existem locais correspondentes no contexto do computador.

Por exemplo:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved

A organização pode variar conforme a versão do Windows e o tipo de entrada.

20.2 Por que o Windows utiliza esse mecanismo?

Imagine que um aplicativo registre sua inicialização em Run.

O usuário abre o Gerenciador de Tarefas e desabilita o aplicativo.

Em vez de necessariamente excluir o comando original, o Windows pode manter informações separadas indicando que aquela entrada está desabilitada.

Isso permite que o usuário altere o estado posteriormente.

20.3 Como consultar StartupApproved

Get-ChildItem `
  -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved' `
  -ErrorAction SilentlyContinue

Para consultar uma subchave:

Get-ItemProperty `
  -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

O resultado pode incluir valores binários.

Atenção aos valores binários

As informações armazenadas em StartupApproved não devem ser tratadas como uma interface pública estável para edição manual.

Embora existam interpretações conhecidas para determinados valores, o formato não deve ser considerado um contrato universal para todas as versões do Windows.

Por isso, não recomendamos scripts que alterem diretamente esses bytes para habilitar ou desabilitar programas.

Prefira o Gerenciador de Tarefas ou as configurações oficiais do aplicativo.

21. Run e StartupApproved: como interpretar corretamente?

Considere o seguinte cenário hipotético.

O Registro contém:

Run:
AplicativoExemplo = "C:\Program Files\AplicativoExemplo\programa.exe"

Entretanto, o Gerenciador de Tarefas apresenta:

AplicativoExemplo — Desabilitado

Isso pode ocorrer porque o Windows mantém o comando original e registra separadamente o estado desabilitado.

Agora imagine que o programa continua abrindo.

A primeira conclusão não deve ser que o Windows ignorou StartupApproved.

O aplicativo pode estar sendo iniciado por outro mecanismo.

Por exemplo, uma tarefa agendada.

Essa distinção evita alterações desnecessárias no Registro.

22. Agendador de Tarefas: uma causa importante de programas que abrem sozinhos

O Agendador de Tarefas permite executar programas e comandos quando determinadas condições são atendidas.

Entre os acionadores disponíveis estão:

• Entrada de um usuário.
• Inicialização do computador.
• Horário programado.
• Ocorrência de determinados eventos.
• Alterações de estado ou condições específicas.

Por isso, um aplicativo pode abrir automaticamente sem depender de uma entrada tradicional de inicialização.

Exemplo prático

Imagine que determinado programa possui uma tarefa configurada para executar quando o usuário entra no Windows.

O usuário desativa o aplicativo no Gerenciador de Tarefas.

Depois, reinicia o computador.

A tarefa agendada continua habilitada.

Quando o usuário entra no Windows, o Agendador executa o programa.

Nesse cenário, o comportamento não demonstra necessariamente uma falha do Gerenciador de Tarefas.

Os mecanismos são diferentes.

22.1 Como abrir o Agendador de Tarefas

Pressione Win + R.

Digite:

taskschd.msc

Pressione Enter.

Abra a Biblioteca do Agendador de Tarefas.

Verifique as tarefas disponíveis.

Entretanto, não desative tarefas desconhecidas.

O Windows e diversos aplicativos legítimos dependem de tarefas agendadas para manutenção, atualização e outras operações.

23. Como identificar tarefas executadas durante o login

No Agendador de Tarefas, selecione uma tarefa.

Abra suas propriedades.

Verifique a guia Disparadores.

Procure acionadores relacionados à entrada do usuário.

Depois, abra a guia Ações.

Observe qual programa ou comando será executado.

Exemplo hipotético

Uma tarefa possui:

Disparador: ao fazer logon.

Ação: iniciar determinado aplicativo.

Nesse cenário, existe um mecanismo capaz de explicar a abertura automática.

Entretanto, ainda precisamos confirmar se a tarefa realmente foi executada.

23.1 Como confirmar?

Verifique o histórico da tarefa, quando disponível.

Observe o horário da última execução e o resultado apresentado.

Entretanto, o código de resultado não deve ser interpretado isoladamente.

Uma tarefa pode iniciar um processo que posteriormente apresenta falhas.

Além disso, o histórico pode estar desabilitado.

24. Consultando tarefas agendadas com PowerShell

O PowerShell possui comandos para consultar tarefas agendadas.

Listar tarefas

Get-ScheduledTask |
    Select-Object TaskName, TaskPath, State

O comando pode apresentar muitas entradas.

Isso é normal.

O Windows utiliza tarefas para diferentes funções.

Consultar uma tarefa específica

Get-ScheduledTask -TaskName "NomeDaTarefa" |
    Format-List *

Substitua o nome ilustrativo pelo nome real.

Consultar ações

Get-ScheduledTask |
    Select-Object TaskName, TaskPath,
        @{Name='Acoes';Expression={
            ($_.Actions | ForEach-Object {
                "$($_.Execute) $($_.Arguments)"
            }) -join '; '
        }}

Esse comando apresenta informações sobre os executáveis e argumentos configurados nas ações.

Entretanto, uma tarefa pode utilizar diferentes tipos de ações, e nem todas serão representadas de maneira completa por esse resumo.

Consultar acionadores

Get-ScheduledTask |
    Select-Object TaskName, TaskPath,
        @{Name='Acionadores';Expression={
            ($_.Triggers | ForEach-Object {
                $_.CimClass.CimClassName
            }) -join '; '
        }}

O comando apresenta os tipos CIM dos acionadores.

Por exemplo, tarefas com acionadores de entrada podem utilizar a classe MSFT_TaskLogonTrigger.

Entretanto, o resultado exige interpretação técnica.

Não significa que todas as tarefas listadas estejam habilitadas ou sejam executadas em todas as sessões.

25. Como filtrar tarefas com acionadores de logon

Para identificar tarefas que possuem acionadores de entrada, utilize:

Get-ScheduledTask |
    Where-Object {
        $_.Triggers | Where-Object {
            $_.CimClass.CimClassName -eq 'MSFT_TaskLogonTrigger'
        }
    } |
    Select-Object TaskName, TaskPath, State

Esse comando realiza apenas uma consulta.

Ele não modifica tarefas.

Como interpretar?

Se o programa investigado aparece associado a uma tarefa com acionador de logon, existe uma hipótese concreta para sua execução.

Entretanto, a presença da tarefa não comprova que ela iniciou o programa na última reinicialização.

Verifique também o estado da tarefa, suas condições, seu histórico e suas ações.

Tarefas com atraso

Algumas tarefas podem ser configuradas para executar após determinado atraso.

Isso pode explicar por que um aplicativo aparece alguns minutos depois da entrada do usuário.

Entretanto, o atraso não deve ser presumido.

Ele precisa ser confirmado nas propriedades do acionador.

26. Como identificar tarefas que executam determinado programa

Imagine que o aplicativo investigado utilize um executável chamado:

programa.exe

Você pode procurar referências a esse nome nas ações das tarefas.

$NomeExecutavel = 'programa.exe'

Get-ScheduledTask |
    Where-Object {
        $_.Actions | Where-Object {
            $_.Execute -like "*$NomeExecutavel*"
        }
    } |
    Select-Object TaskName, TaskPath, State

O comando procura tarefas cujas ações contenham o nome informado.

Entretanto, ele possui limitações.

Uma tarefa pode executar um script ou outro componente que posteriormente inicia o programa.

Nesse caso, o nome do executável pode não aparecer diretamente na ação.

Além disso, uma correspondência textual não comprova execução.

Por que não desativar imediatamente?

A tarefa pode executar funções legítimas de atualização, sincronização ou manutenção.

Primeiro, identifique sua finalidade.

Depois, consulte a documentação do aplicativo ou as configurações oficiais.

Quando apropriado, desative a inicialização automática pelo próprio programa.

27. Serviços do Windows: por que alguns programas continuam executando em segundo plano?

Outro mecanismo importante envolve os serviços.

Serviços são componentes que podem executar em segundo plano, muitas vezes sem apresentar uma janela.

Eles são administrados pelo Gerenciador de Controle de Serviços do Windows.

Determinados aplicativos instalam serviços para sincronização, atualização, comunicação ou outras funções.

Exemplo prático

O usuário desativa a inicialização de um aplicativo.

Depois, reinicia o computador.

A janela principal não aparece.

Entretanto, o Gerenciador de Tarefas continua mostrando um processo relacionado ao programa.

Isso pode ocorrer porque um serviço permanece em execução.

Nesse caso, precisamos diferenciar:

O aplicativo abriu uma janela automaticamente?

Ou:

Um componente de serviço está executando em segundo plano?

São situações diferentes.

27.1 Como consultar serviços

Pressione Win + R.

Digite:

services.msc

O Windows abrirá o console de Serviços.

Observe o nome, o estado e o tipo de inicialização.

Não modifique serviços desconhecidos.

28. Consultando serviços com PowerShell

Para listar serviços em execução:

Get-Service |
    Where-Object Status -eq 'Running' |
    Select-Object Name, DisplayName, Status

Para consultar um serviço específico:

Get-Service -Name "NomeDoServico"

Substitua pelo nome real.

Consultar o caminho do executável

O comando abaixo pode apresentar informações mais detalhadas:

Get-CimInstance Win32_Service |
    Select-Object Name, DisplayName, State, StartMode, PathName

A propriedade PathName ajuda a identificar o executável ou comando associado ao serviço.

Entretanto, nem todo processo relacionado ao aplicativo será necessariamente um serviço.

Atenção

Não desative serviços do Windows apenas porque apresentam nomes desconhecidos.

Isso pode comprometer atualizações, conectividade, segurança e outras funções.

O objetivo do diagnóstico é identificar a relação entre o serviço e o comportamento observado.

29. Como diferenciar serviço, tarefa agendada e aplicativo de inicialização?

Mecanismo	Quando pode executar	Onde investigar
Run	Durante a entrada do usuário	Registro
RunOnce	Em uma execução prevista pelo mecanismo	Registro
StartupApproved	Estado de determinadas entradas	Registro e Gerenciador de Tarefas
Pasta Startup	Durante a entrada do usuário	shell:startup
Pasta Common Startup	Durante a entrada de usuários	shell:common startup
Tarefa agendada	Conforme acionadores e condições	Agendador de Tarefas
Serviço	Conforme configuração do serviço	Serviços
Restauração de aplicativo	Após entrada, conforme compatibilidade	Opções de entrada
Restauração do navegador	Quando o navegador inicia	Configurações do navegador

Essa tabela demonstra por que não existe uma única tela capaz de controlar todos os mecanismos.

30. Configurações por usuário: por que o problema acontece apenas em uma conta?

O Windows mantém diversas configurações associadas ao perfil do usuário.

Entre elas estão entradas de inicialização e preferências de aplicativos.

Por isso, determinado programa pode abrir automaticamente em uma conta e permanecer fechado em outra.

Exemplo prático

Um computador possui duas contas.

Na primeira, um aplicativo abre automaticamente.

Na segunda, não.

Isso sugere que o comportamento pode estar relacionado a uma configuração específica do usuário.

Entretanto, também pode existir uma tarefa agendada direcionada a determinada conta.

Como investigar?

Compare as entradas de inicialização de cada usuário, respeitando as permissões.

Verifique também tarefas agendadas e configurações do aplicativo.

Não copie ou exclua chaves do Registro entre perfis.

Essa prática pode causar problemas de configuração.

31. Como registrar informações de inicialização para comparar depois

O PowerShell permite exportar determinadas informações para análise.

Criar uma pasta

$Pasta = Join-Path $env:USERPROFILE 'Documents\Diagnostico-Inicializacao'

New-Item -ItemType Directory -Path $Pasta -Force | Out-Null

Exportar comandos de inicialização

Get-CimInstance Win32_StartupCommand |
    Select-Object Name, Command, Location, User |
    Export-Csv "$Pasta\startup.csv" `
        -NoTypeInformation -Encoding UTF8

Exportar tarefas

Get-ScheduledTask |
    Select-Object TaskName, TaskPath, State |
    Export-Csv "$Pasta\tarefas.csv" `
        -NoTypeInformation -Encoding UTF8

Exportar serviços

Get-CimInstance Win32_Service |
    Select-Object Name, DisplayName, State, StartMode, PathName |
    Export-Csv "$Pasta\servicos.csv" `
        -NoTypeInformation -Encoding UTF8

Esses arquivos ajudam a documentar o ambiente.

Entretanto, podem conter caminhos de programas, nomes de usuários e outras informações internas.

Evite compartilhá-los publicamente sem revisão.

32. Como identificar a causa sem modificar o sistema

O procedimento recomendado consiste em investigar uma hipótese por vez.

Primeiro, identifique o programa.

Depois, verifique se ele possui uma entrada tradicional de inicialização.

Se estiver desabilitado, procure outros mecanismos.

Consulte tarefas agendadas.

Verifique serviços relacionados.

Compare o comportamento entre contas, quando houver autorização.

Observe também se o aplicativo reaparece somente quando estava aberto antes da reinicialização.

Essa sequência evita alterações desnecessárias.

Exemplo de diagnóstico

O usuário informa:

“Desativei um programa na Inicialização, mas ele continua abrindo.”

O técnico verifica o Gerenciador de Tarefas.

A entrada está desabilitada.

Depois, consulta o Agendador de Tarefas.

Encontra uma tarefa que executa o aplicativo durante o logon.

O histórico confirma execuções nos horários em que o usuário relatou o problema.

Nesse cenário, existe uma explicação técnica consistente.

A correção deve considerar a finalidade da tarefa e as configurações oficiais do aplicativo.

Não é necessário concluir que o Windows está ignorando o Gerenciador de Tarefas.

33. Quando o comportamento pode indicar uma configuração suspeita?

Entradas de inicialização desconhecidas merecem investigação.

Entretanto, nomes incomuns não comprovam atividade maliciosa.

Alguns componentes legítimos utilizam nomes técnicos pouco familiares.

O procedimento recomendado consiste em verificar:

• Nome do executável.
• Caminho do arquivo.
• Fabricante e assinatura digital.
• Relação com programas instalados.
• Mecanismo de inicialização.
• Histórico de execução.

Se houver suspeita de malware, utilize as ferramentas de segurança do Windows.

Não execute arquivos desconhecidos para descobrir sua finalidade.

Também não desative indiscriminadamente serviços e tarefas do sistema.

34. Tabela de diagnóstico avançado

Evidência	Possível explicação	Próximo passo
Entrada Run existe, mas está desabilitada	Estado controlado por StartupApproved	Verificar outros mecanismos
Programa abre apenas uma vez	Operação RunOnce ou configuração temporária	Investigar instalação ou atualização
Programa abre durante o login	Run, Startup, tarefa ou restauração	Comparar mecanismos
Programa abre minutos depois	Tarefa com atraso ou outro acionador	Verificar disparadores
Processo aparece sem janela	Serviço ou componente em segundo plano	Consultar serviços
Apenas um usuário é afetado	Configuração individual	Comparar perfis autorizados
Todos os usuários são afetados	Configuração comum ou serviço	Investigar contexto do computador
Tarefa aponta para o programa	Possível execução agendada	Verificar histórico
Serviço aponta para o fabricante	Componente auxiliar	Identificar finalidade
Entrada desconhecida aparece	Configuração não identificada	Verificar origem e assinatura

Autoruns, Process Explorer, assinaturas digitais, árvore de processos, Agendador de Tarefas, Visualizador de Eventos, PowerShell e Process Monitor

36. Como descobrir qual processo está abrindo programas automaticamente no Windows 11?

Nas duas primeiras partes deste guia, explicamos por que determinados aplicativos continuam abrindo sozinhos no Windows 11, mesmo quando aparecem como desabilitados no Gerenciador de Tarefas.

Investigamos os mecanismos tradicionais de inicialização, as chaves Run e RunOnce, as informações de StartupApproved, os serviços e as tarefas agendadas.

Entretanto, existe uma situação mais complexa.

O usuário desativa o programa na Inicialização, verifica as pastas shell:startup e shell:common startup, consulta o Registro e não encontra uma explicação evidente.

Mesmo assim, depois de reiniciar, o aplicativo aparece novamente.

Nesse momento, o diagnóstico precisa avançar.

O objetivo deixa de ser simplesmente encontrar uma entrada de inicialização e passa a ser identificar qual componente iniciou o programa e qual mecanismo permitiu sua execução.

Para isso, podemos utilizar ferramentas da Microsoft Sysinternals, como Autoruns, Process Explorer e Process Monitor.

Também podemos consultar eventos do Agendador de Tarefas, verificar assinaturas digitais e utilizar PowerShell para registrar informações sobre processos.

Essas ferramentas permitem investigar comportamentos que não aparecem claramente nas configurações tradicionais do Windows.

Entretanto, é importante compreender suas limitações.

O Autoruns apresenta diversos pontos de execução automática, mas não funciona como um histórico completo de tudo que foi executado.

O Process Explorer permite observar relações entre processos em execução, mas nem sempre consegue reconstruir uma cadeia de inicialização depois que o processo responsável terminou.

O Process Monitor registra atividades durante uma captura, mas exige filtros e interpretação cuidadosa.

Portanto, o diagnóstico avançado depende de combinar evidências.

37. Autoruns: a ferramenta para investigar diferentes mecanismos de inicialização

O Autoruns faz parte da coleção Microsoft Sysinternals.

Ele permite examinar diversos locais utilizados para execução automática de componentes no Windows.

A ferramenta apresenta entradas relacionadas a aplicativos, serviços, tarefas agendadas e outros mecanismos de carregamento.

Isso torna o Autoruns especialmente útil quando o programa continua abrindo mesmo depois de ser desabilitado no Gerenciador de Tarefas.

Página oficial da Microsoft:Microsoft Sysinternals — Autoruns

37.1 Por que utilizar o Autoruns?

O Gerenciador de Tarefas apresenta uma visão simplificada de determinados aplicativos de inicialização.

O Autoruns oferece uma visão mais ampla dos pontos de execução automática.

Entre as categorias que podem aparecer estão:

Categoria	Finalidade
Logon	Entradas relacionadas à entrada do usuário
Scheduled Tasks	Tarefas agendadas
Services	Serviços instalados
Drivers	Drivers configurados no sistema
Explorer	Extensões e integrações do Explorador
Internet Explorer	Componentes legados, quando aplicáveis
Winlogon	Componentes relacionados ao processo de entrada
AppInit	Determinados mecanismos de carregamento de DLLs

A disponibilidade e o conteúdo dessas categorias podem variar conforme a versão do Windows e do Autoruns.

Nem toda entrada apresentada representa um programa que abrirá uma janela.

Algumas entradas correspondem a componentes carregados pelo sistema ou por outros processos.

37.2 Como preparar o Autoruns

Baixe a ferramenta exclusivamente da página oficial da Microsoft.

Extraia os arquivos para uma pasta apropriada.

Execute a versão compatível com o sistema.

Para uma investigação abrangente, determinadas informações podem exigir privilégios administrativos.

Entretanto, utilize esses privilégios apenas quando necessários e em computadores nos quais você possui autorização.

Na primeira execução, aguarde a conclusão da análise.

O Autoruns pode precisar de algum tempo para enumerar as entradas.

38. Como utilizar o Autoruns sem desativar componentes importantes

O Autoruns apresenta muitas entradas.

Algumas pertencem ao Windows.

Outras estão relacionadas a drivers, antivírus, programas instalados e componentes de terceiros.

Desabilitar entradas aleatoriamente pode causar falhas.

Por isso, o primeiro passo consiste em reduzir o volume de informações.

38.1 Ocultar entradas da Microsoft

No menu Options, o Autoruns oferece opções para ocultar entradas assinadas pela Microsoft ou entradas do Windows, conforme a versão.

Isso pode facilitar a análise de programas de terceiros.

Entretanto, ocultar entradas da Microsoft não significa que todas as entradas restantes sejam suspeitas.

Fabricantes legítimos também instalam serviços, tarefas e componentes auxiliares.

Da mesma forma, um arquivo que aparenta pertencer à Microsoft não deve ser considerado confiável apenas pelo nome.

38.2 Verificar assinaturas

Ative a verificação de assinaturas digitais, quando disponível.

Essa função ajuda a identificar o editor associado ao arquivo.

Entretanto, uma assinatura válida não comprova que o programa seja seguro em qualquer circunstância.

Ela também não garante que o aplicativo esteja funcionando corretamente.

38.3 Pesquisar o programa

Utilize o recurso de pesquisa do Autoruns.

Procure pelo nome do aplicativo ou pelo executável.

Por exemplo:

programa.exe

Esse nome é ilustrativo.

Se a ferramenta encontrar uma entrada, observe sua categoria, caminho e descrição.

Depois, verifique se ela corresponde ao comportamento observado.

38.4 Antes de desabilitar uma entrada

Registre:

• Nome da entrada.
• Categoria.
• Caminho do executável.
• Editor identificado.
• Estado atual.
• Relação com o programa investigado.

Se houver necessidade de modificar uma entrada, prefira primeiro a configuração oficial do aplicativo.

Em computadores corporativos, respeite as políticas administrativas.

39. Como interpretar as cores e os alertas do Autoruns

O Autoruns pode utilizar destaques visuais para indicar determinadas condições, como arquivos ausentes ou problemas relacionados à verificação de assinaturas.

Entretanto, a aparência depende da versão e das opções configuradas.

Por isso, não recomendamos interpretar uma cor isoladamente como prova de malware.

Exemplo: arquivo não encontrado

Imagine que o Autoruns apresente uma entrada que aponta para um executável inexistente.

Isso pode indicar um resíduo de instalação.

Entretanto, não significa automaticamente que essa entrada esteja causando a abertura de outro programa.

Se o arquivo realmente não existe, a entrada pode nem conseguir executar o aplicativo esperado.

Exemplo: assinatura não verificada

Uma entrada pode aparecer sem assinatura verificada.

Isso merece investigação.

Entretanto, existem programas legítimos que não possuem assinatura digital.

A ausência de assinatura não comprova atividade maliciosa.

Exemplo: editor conhecido

Uma entrada assinada por um fabricante conhecido pode ser legítima.

Entretanto, isso não significa que sua inicialização seja necessária.

O técnico precisa identificar a finalidade do componente.

40. Autoruns versus Gerenciador de Tarefas: qual ferramenta utilizar?

Gerenciador de Tarefas

Mais indicado para habilitar ou desabilitar aplicativos comuns de inicialização, com interface simples.

Autoruns

Mais indicado para investigar múltiplos pontos de execução automática, incluindo tarefas, serviços e outras categorias.

O Autoruns não substitui completamente o Gerenciador de Tarefas.

As ferramentas possuem finalidades diferentes.

Para um usuário doméstico, a primeira investigação normalmente deve começar pelas Configurações do Windows e pelo Gerenciador de Tarefas.

O Autoruns torna-se especialmente útil quando essas verificações não explicam o comportamento.

41. Process Explorer: descobrindo a relação entre processos

O Process Explorer também faz parte da coleção Microsoft Sysinternals.

Ele permite observar processos em execução e suas relações.

Uma de suas características mais úteis é a apresentação dos processos em uma estrutura hierárquica.

Essa visualização pode ajudar a identificar qual processo criou outro.

Página oficial:Microsoft Sysinternals — Process Explorer

41.1 O que é uma árvore de processos?

Considere um exemplo hipotético:

explorer.exe
└── aplicativo.exe
    └── auxiliar.exe

Nesse exemplo, o aplicativo aparece associado ao Explorador, e um processo auxiliar aparece abaixo dele.

Entretanto, a árvore não explica necessariamente qual configuração provocou a execução inicial.

Além disso, processos responsáveis pela criação podem terminar, e as relações apresentadas podem ficar incompletas.

41.2 Como utilizar

Abra o Process Explorer.

Localize o aplicativo que abriu sozinho.

Observe sua posição na árvore.

Abra as propriedades do processo.

Verifique as informações disponíveis, como caminho do executável, linha de comando e horário de início.

A disponibilidade dessas informações depende das permissões e do processo investigado.

41.3 Exemplo prático

O usuário informa que um aplicativo abre alguns segundos depois do login.

O Process Explorer mostra que ele foi criado por outro processo associado a um utilitário instalado.

Isso fornece uma pista importante.

Entretanto, ainda precisamos identificar por que o processo responsável executou aquela ação.

Ele pode ter sido iniciado por uma tarefa agendada, por um serviço ou por outro mecanismo.

42. Por que o processo pai nem sempre revela a causa?

No Windows, um processo pode criar outro processo.

Entretanto, identificar o processo criador não equivale a identificar o mecanismo de inicialização automática.

Imagine que o Agendador de Tarefas execute um script.

O script inicia um aplicativo.

Depois, o script termina.

Quando o técnico abre o Process Explorer, o processo intermediário já não está em execução.

Nesse cenário, a árvore pode não apresentar toda a sequência.

Também existem situações em que aplicativos utilizam componentes auxiliares ou mecanismos de ativação do Windows.

Por isso, a árvore de processos deve ser tratada como uma evidência, não como explicação definitiva.

Quando utilizar outras ferramentas?

Se o processo responsável desaparece rapidamente, uma captura de eventos pode ajudar.

Nesse cenário, o Process Monitor pode registrar operações de criação de processos durante a reprodução do problema.

43. Como consultar processos com PowerShell

O PowerShell permite obter informações sobre processos em execução.

43.1 Listar processos

Get-Process |
    Select-Object ProcessName, Id, StartTime -ErrorAction SilentlyContinue

O resultado apresenta processos e, quando disponível, seus horários de início.

43.2 Consultar um processo específico

Get-Process -Name 'notepad' -ErrorAction SilentlyContinue |
    Select-Object ProcessName, Id, StartTime, Path

Substitua notepad pelo nome real do processo.

Algumas propriedades podem exigir permissões adicionais.

43.3 Consultar o processo criador com CIM

A classe Win32_Process pode apresentar o identificador do processo pai.

Get-CimInstance Win32_Process |
    Select-Object Name, ProcessId, ParentProcessId, CommandLine

Esse comando pode gerar uma saída extensa.

Para consultar um processo específico:

Get-CimInstance Win32_Process |
    Where-Object Name -eq 'notepad.exe' |
    Select-Object Name, ProcessId, ParentProcessId, CommandLine

Limitação importante

O identificador do processo pai pode referir-se a um processo que já terminou.

Além disso, identificadores de processos podem ser reutilizados pelo Windows.

Portanto, não é seguro identificar o processo criador apenas procurando um PID igual em uma consulta realizada muito tempo depois.

Para investigar relações temporais com maior precisão, utilize registros capturados durante a execução.

44. Assinatura digital: como verificar a origem de um executável

Quando um programa desconhecido abre automaticamente, uma das primeiras verificações consiste em identificar sua origem.

O Windows permite consultar assinaturas digitais de arquivos.

Uma assinatura pode ajudar a verificar o editor e a integridade do arquivo em relação ao conteúdo assinado.

Entretanto, assinatura válida não significa ausência garantida de comportamento malicioso.

Da mesma forma, um programa sem assinatura não é necessariamente malware.

44.1 Como localizar o executável

Abra o Gerenciador de Tarefas.

Localize o processo.

Clique com o botão direito.

Quando disponível, selecione Abrir local do arquivo.

Confirme o caminho apresentado.

Evite executar arquivos desconhecidos.

44.2 Como consultar a assinatura pelo PowerShell

Utilize:

Get-AuthenticodeSignature -FilePath 'C:\Caminho\programa.exe'

Substitua o caminho ilustrativo pelo caminho real.

O comando consulta informações de assinatura do arquivo.

44.3 Como interpretar o resultado?

A propriedade Status pode apresentar estados relacionados à validação da assinatura.

Um resultado válido indica que a assinatura passou pelas verificações realizadas naquele contexto.

Entretanto, o técnico ainda precisa avaliar a origem do arquivo e sua finalidade.

44.4 Consultar informações do arquivo

Get-Item 'C:\Caminho\programa.exe' |
    Select-Object FullName, Length, CreationTime, LastWriteTime

Essas propriedades ajudam a documentar o arquivo.

Entretanto, datas e nomes podem ser alterados.

Portanto, não constituem prova isolada de legitimidade.

45. Hash SHA-256: como identificar um arquivo de maneira mais precisa

O hash de um arquivo representa um resumo calculado a partir de seu conteúdo.

O SHA-256 pode ajudar a identificar versões específicas de executáveis.

Para calcular:

Get-FileHash -Path 'C:\Caminho\programa.exe' -Algorithm SHA256

O resultado apresenta uma sequência hexadecimal.

Se dois arquivos possuem o mesmo hash SHA-256, isso constitui uma evidência forte de que seus conteúdos são idênticos.

Entretanto, o hash não informa automaticamente se o arquivo é seguro.

Ele precisa ser interpretado em conjunto com informações confiáveis sobre o software.

Quando esse teste é útil?

Imagine que o técnico encontre duas cópias de um executável com o mesmo nome em pastas diferentes.

O cálculo de hash permite verificar se os conteúdos são iguais.

Se os hashes forem diferentes, os arquivos possuem conteúdos diferentes.

Isso não significa automaticamente que um deles seja malicioso.

46. Agendador de Tarefas: como consultar o histórico de execução

Na Parte 2, demonstramos como identificar tarefas agendadas com acionadores de logon.

Agora, vamos investigar se essas tarefas realmente foram executadas.

O Windows possui um canal de eventos relacionado ao Agendador de Tarefas:

Microsoft-Windows-TaskScheduler/Operational

Esse canal pode registrar atividades como início, conclusão e falhas de tarefas, conforme os eventos disponíveis.

46.1 Como abrir o canal

Pressione Win + R.

Digite:

eventvwr.msc

Depois, abra:

Logs de Aplicativos e Serviços → Microsoft → Windows → TaskScheduler → Operational.

Verifique se o canal está habilitado.

46.2 Consultar eventos pelo PowerShell

Get-WinEvent -LogName 'Microsoft-Windows-TaskScheduler/Operational' `
    -MaxEvents 50 -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Id, Message

O comando apresenta eventos recentes.

Entretanto, o resultado pode ficar vazio se o canal estiver desabilitado ou não possuir registros disponíveis.

46.3 Filtrar por horário

$Inicio = (Get-Date).AddMinutes(-30)

Get-WinEvent -FilterHashtable @{
    LogName   = 'Microsoft-Windows-TaskScheduler/Operational'
    StartTime = $Inicio
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated, Id, Message

Esse procedimento ajuda a localizar tarefas executadas próximas ao momento em que o aplicativo apareceu.

47. Como interpretar eventos do Agendador de Tarefas

Alguns identificadores de eventos frequentemente utilizados nesse canal incluem:

Evento	Significado geral
100	Início de uma tarefa
101	Falha ao iniciar uma tarefa
102	Conclusão de uma tarefa
106	Registro de uma tarefa
107	Tarefa acionada por um disparador
200	Início de uma ação
201	Conclusão de uma ação

A disponibilidade e o conteúdo dos eventos dependem da versão do Windows e do cenário.

Por isso, leia sempre a mensagem completa.

Exemplo prático

O usuário entra no Windows às 8h.

Às 8h01, determinado programa abre.

O histórico do Agendador registra uma tarefa relacionada ao aplicativo no mesmo período.

Se a ação da tarefa aponta para o executável correspondente, existe uma relação plausível.

Entretanto, o técnico deve confirmar se a tarefa realmente iniciou aquele processo.

A coincidência de horários, isoladamente, não comprova a causa.

48. Como consultar a última execução de uma tarefa

O PowerShell permite consultar informações de execução de tarefas agendadas.

Por exemplo:

Get-ScheduledTaskInfo -TaskName 'NomeDaTarefa'

Substitua pelo nome real.

O resultado pode incluir:

• Último horário de execução.
• Próximo horário programado.
• Resultado da última execução.
• Quantidade de execuções perdidas.

Entretanto, determinadas informações podem não estar disponíveis ou podem depender do estado da tarefa.

Além disso, um resultado de execução considerado bem-sucedido não garante que o aplicativo tenha funcionado corretamente depois de iniciado.

49. Process Monitor: registrando a criação de processos

O Process Monitor, conhecido como ProcMon, permite observar atividades do sistema durante uma captura.

Entre elas estão operações relacionadas à criação de processos.

Isso pode ajudar quando o programa abre rapidamente ou quando o processo responsável termina antes de o técnico conseguir examiná-lo.

Página oficial:Microsoft Sysinternals — Process Monitor

49.1 Como preparar uma captura

Abra o ProcMon.

Interrompa temporariamente a captura, se necessário.

Limpe os eventos anteriores.

Depois, configure filtros para reduzir o volume de informações.

Uma operação relevante é:

Process Create

Essa operação pode aparecer na coluna Operation quando um processo é criado.

49.2 Como filtrar

Pressione Ctrl + L.

Configure:

Operation is Process Create Include

Depois, inicie a captura.

Reproduza o problema.

Interrompa a captura.

Procure eventos relacionados ao aplicativo investigado.

49.3 O que observar?

Verifique:

• Horário da criação.
• Processo associado ao evento.
• Caminho do executável.
• Informações adicionais apresentadas.
• Relação temporal com a entrada do usuário.

O ProcMon pode fornecer pistas importantes sobre o processo que iniciou outro.

Entretanto, o nível de detalhe depende da captura e das informações disponíveis.

Cuidados

Não mantenha capturas extensas sem necessidade.

Os registros podem crescer rapidamente.

Além disso, podem conter nomes de usuários, caminhos de arquivos e informações internas.

Preserve a privacidade desses dados.

50. Como investigar programas que abrem durante a inicialização do Windows

Se o aplicativo abre imediatamente depois do login, pode ser difícil iniciar manualmente o ProcMon antes da ocorrência.

Nesse cenário, o recurso de captura de inicialização, conhecido como Boot Logging, pode ajudar.

O recurso permite registrar determinadas atividades durante a inicialização.

Entretanto, exige preparação e pode gerar arquivos grandes.

Procedimento geral

Abra o ProcMon com as permissões necessárias.

No menu Options, procure Enable Boot Logging.

Configure o recurso conforme as opções disponíveis.

Reinicie o computador.

Depois, abra novamente o ProcMon e carregue os eventos registrados.

A interface pode variar conforme a versão da ferramenta.

Quando utilizar?

Considere esse recurso quando:

• O aplicativo abre antes de ser possível iniciar uma captura manual.
• Os testes com Autoruns e Agendador não identificaram a causa.
• Existe necessidade de correlacionar processos durante a inicialização.

Não utilize Boot Logging como primeira medida para problemas simples.

51. Como diferenciar um aplicativo legítimo de um comportamento suspeito

Um programa que abre automaticamente não é necessariamente malicioso.

Muitos aplicativos legítimos utilizam tarefas, serviços e mecanismos de inicialização.

Entretanto, alguns sinais justificam investigação adicional.

Entre eles estão executáveis desconhecidos, caminhos inesperados, alterações não autorizadas e programas que reaparecem depois de serem removidos.

51.1 Verifique o caminho

Identifique onde o executável está armazenado.

Entretanto, não conclua que um arquivo é malicioso apenas por estar em uma pasta temporária ou no perfil do usuário.

Alguns programas legítimos utilizam esses locais.

51.2 Verifique a assinatura

Utilize Get-AuthenticodeSignature.

Consulte o editor.

Compare com a origem esperada do software.

51.3 Verifique o mecanismo de inicialização

Utilize Autoruns, Agendador de Tarefas e serviços.

Identifique como o programa está sendo executado.

51.4 Utilize a Segurança do Windows

Abra:

Configurações → Privacidade e segurança → Segurança do Windows.

Consulte a proteção contra vírus e ameaças.

Se necessário, execute uma verificação apropriada.

Não execute arquivos desconhecidos para descobrir sua finalidade.

52. Diagnóstico interativo: qual ferramenta utilizar?

Selecione o comportamento observadoO programa abre imediatamente após o loginO programa abre alguns minutos depoisO processo aparece, mas nenhuma janela abreNão reconheço o programa que está iniciandoO programa reaparece apenas quando estava aberto antes de reiniciar

Investigação inicial recomendada

Verifique Autoruns nas categorias Logon e Scheduled Tasks. Depois, consulte o histórico do Agendador de Tarefas próximo ao horário de entrada.

53. Exemplo técnico: aplicativo que abre após o login mesmo desativado

Considere um computador Windows 11 no qual determinado aplicativo abre automaticamente.

O usuário já desativou sua entrada no Gerenciador de Tarefas.

O técnico realiza a investigação.

Primeiro, consulta o Autoruns.

Encontra uma entrada relacionada ao aplicativo na categoria Scheduled Tasks.

Depois, abre o Agendador de Tarefas.

A tarefa possui um acionador de logon.

Na guia Ações, aparece o executável correspondente.

O histórico registra execuções nos horários em que o aplicativo abriu.

Nesse cenário, existe uma explicação técnica consistente.

O programa está associado a uma tarefa agendada independente da entrada tradicional de inicialização.

A correção deve considerar a finalidade da tarefa.

Se o aplicativo oferece uma opção oficial para desativar a inicialização automática, essa costuma ser a primeira alternativa.

Entretanto, se a tarefa pertence a um componente corporativo ou de segurança, não deve ser desativada sem autorização.

54. Exemplo técnico: navegador abre sozinho, mas não existe tarefa agendada

Agora considere outro cenário.

O usuário reclama que o navegador abre depois de reiniciar.

O Gerenciador de Tarefas não apresenta uma entrada habilitada.

O Autoruns não revela uma tarefa evidente relacionada à abertura da janela.

Entretanto, o navegador só reaparece quando estava aberto antes da reinicialização.

Nesse caso, a restauração de aplicativos merece investigação.

O técnico verifica as Opções de entrada do Windows.

Depois, realiza testes com a restauração ativada e desativada.

Também verifica as configurações de recuperação de sessão do navegador.

Se o comportamento depende dessas opções, não existe motivo para modificar serviços ou tarefas desconhecidas.

Esse exemplo demonstra a importância de diferenciar restauração de sessão e inicialização automática.

55. Exemplo técnico: programa desconhecido aparece em segundo plano

Imagine que o usuário encontre um processo desconhecido no Gerenciador de Tarefas.

O processo não apresenta janela.

O usuário acredita que existe um programa abrindo sozinho.

O técnico identifica o caminho do executável.

Depois, consulta a assinatura digital.

Verifica também se o processo pertence a um serviço legítimo instalado por outro aplicativo.

Se a origem é compatível com um software conhecido e o comportamento corresponde à sua função, pode não existir uma falha.

Entretanto, se a origem permanece desconhecida, a investigação deve continuar.

Não é adequado classificar o processo como malware apenas porque o usuário não reconhece seu nome.

56. Tabela de diagnóstico avançado

Evidência	Ferramenta	Interpretação
Entrada de inicialização não identificada	Autoruns	Investigar mecanismo e origem
Programa criado por outro processo	Process Explorer	Identificar relação entre processos
Processo pai já terminou	ProcMon	Capturar criação durante execução
Tarefa executada no horário do problema	TaskScheduler/Operational	Correlacionar ação e executável
Executável possui assinatura válida	PowerShell	Verificar editor e origem
Executável não possui assinatura	PowerShell	Investigar, sem presumir malware
Programa abre apenas após login	Autoruns e Agendador	Investigar acionadores
Programa abre após atraso	Agendador	Verificar disparadores e condições
Processo aparece sem janela	Process Explorer e Serviços	Investigar execução em segundo plano
Programa reaparece após reiniciar	Opções de entrada	Investigar restauração
Aplicativo desconhecido persiste	Autoruns e Segurança do Windows	Verificar origem e comportamento

57. Boas práticas para um diagnóstico seguro

Ao investigar programas que abrem automaticamente, evite modificar vários mecanismos ao mesmo tempo.

Não desative serviços, tarefas e entradas do Registro indiscriminadamente.

Primeiro, registre o comportamento.

Depois, identifique o aplicativo.

Consulte o Autoruns e o Agendador de Tarefas.

Utilize Process Explorer e ProcMon quando precisar de evidências adicionais.

Verifique assinaturas digitais e caminhos dos executáveis.

Somente depois de identificar a causa, aplique uma correção específica.

Essa abordagem reduz riscos e facilita a reversão de alterações.

59. Como impedir definitivamente que programas abram sozinhos no Windows 11?

Nas três primeiras partes deste guia, investigamos por que programas continuam abrindo automaticamente no Windows 11 mesmo depois de serem desativados na seção Inicialização do Gerenciador de Tarefas.

Analisamos a restauração de aplicativos, as pastas de inicialização, as chaves Run e RunOnce, o mecanismo StartupApproved, o Agendador de Tarefas e os serviços.

Também utilizamos ferramentas da Microsoft Sysinternals, como Autoruns, Process Explorer e Process Monitor, para identificar processos e mecanismos de execução automática.

Agora, vamos aplicar as correções.

O primeiro ponto é compreender que não existe uma única configuração capaz de impedir todos os programas de iniciarem automaticamente.

Isso acontece porque diferentes mecanismos podem executar aplicativos em momentos distintos.

O Windows pode restaurar programas reiniciáveis após a entrada do usuário.

O navegador pode recuperar abas anteriores quando é iniciado.

Uma tarefa agendada pode executar um programa durante o login.

Um serviço pode iniciar componentes em segundo plano sem abrir uma janela.

Por isso, a solução definitiva depende de identificar o mecanismo responsável.

O objetivo não é desativar tudo que aparece no Gerenciador de Tarefas, no Registro ou no Autoruns.

A proposta é eliminar a abertura automática indesejada sem comprometer atualizações, segurança, sincronização ou recursos necessários ao funcionamento do computador.

60. Solução 1: desativar a restauração automática de aplicativos do Windows 11

Se um programa reaparece somente quando estava aberto antes da reinicialização, investigue primeiro a restauração de aplicativos.

O Windows 11 possui uma configuração relacionada à reabertura de aplicativos reiniciáveis.

Como desativar

1. Pressione Win + I.
2. Abra Contas.
3. Selecione Opções de entrada.
4. Procure a opção relacionada a salvar automaticamente aplicativos reiniciáveis e reiniciá-los após entrar.
5. Desative a opção.
6. Feche os programas abertos.
7. Reinicie o computador.

A redação exata pode variar conforme a versão do Windows.

Como confirmar se funcionou?

Abra um aplicativo que anteriormente reaparecia.

Feche completamente o programa.

Reinicie.

Depois, repita o teste deixando o aplicativo aberto antes da reinicialização, desde que não existam documentos ou trabalhos não salvos.

Compare os resultados.

Se o comportamento desaparece quando a restauração está desativada, existe uma relação consistente com esse recurso.

Entretanto, aplicativos que utilizam mecanismos próprios podem continuar abrindo.

Atenção a outra opção de entrada

O Windows também pode apresentar uma opção relacionada à utilização das informações de entrada para concluir configurações após atualizações ou reinicializações.

Esse recurso não deve ser confundido automaticamente com a restauração de aplicativos.

Ele possui finalidade diferente.

Não é necessário desativar indiscriminadamente todas as opções de entrada.

61. Solução 2: impedir que o Microsoft Edge abra sozinho

O Microsoft Edge possui recursos que podem manter processos disponíveis em segundo plano ou melhorar o tempo de inicialização.

Entretanto, precisamos diferenciar três situações:

• Uma janela do Edge abre automaticamente.
• O Edge restaura abas quando é iniciado.
• Processos do Edge permanecem em segundo plano.

Esses comportamentos não possuem necessariamente a mesma causa.

61.1 Verificar a Inicialização Rápida

Abra o Microsoft Edge.

Acesse:

edge://settings/system

Procure a configuração Inicialização rápida ou Startup boost, conforme a versão.

Se estiver ativada, o Edge pode manter determinados processos disponíveis para acelerar a abertura do navegador.

Desativar essa opção pode reduzir atividades em segundo plano.

Entretanto, isso não garante que uma janela deixe de abrir automaticamente quando outro mecanismo a inicia.

61.2 Verificar aplicativos e extensões em segundo plano

Na mesma área de configurações, procure a opção relacionada à execução de extensões e aplicativos em segundo plano quando o Edge estiver fechado.

Se não houver necessidade desse comportamento, considere desativá-la.

Entretanto, avalie se alguma extensão ou aplicativo depende dessa execução.

61.3 Verificar a restauração de páginas

Abra as configurações de inicialização do Edge.

Confira quais páginas o navegador deve apresentar quando é aberto.

Se estiver configurado para restaurar a sessão anterior, ele poderá recuperar abas.

Mas lembre-se: restaurar abas não explica, por si só, quem iniciou o Edge.

Se uma janela continua abrindo depois de todos esses testes, investigue tarefas, entradas de inicialização e restauração de aplicativos do Windows.

62. Solução 3: impedir que o Google Chrome abra sozinho

O Google Chrome também pode manter componentes em segundo plano e recuperar páginas anteriores.

62.1 Verificar as configurações de inicialização

Abra o Chrome.

Digite:

chrome://settings/onStartup

Confira o comportamento configurado.

Se o navegador estiver definido para continuar de onde o usuário parou, ele poderá restaurar abas anteriores quando for iniciado.

Isso não significa que essa configuração seja responsável por iniciar o Chrome automaticamente.

62.2 Verificar execução em segundo plano

Abra:

chrome://settings/system

Procure a opção relacionada à execução de aplicativos em segundo plano quando o Google Chrome estiver fechado, caso esteja disponível na versão instalada.

Desative-a se não houver necessidade.

62.3 Verificar outros mecanismos

Se o Chrome continua abrindo uma janela sozinho:

1. Confira o Gerenciador de Tarefas.
2. Verifique a restauração de aplicativos do Windows.
3. Consulte as pastas de inicialização.
4. Investigue tarefas agendadas.
5. Utilize Autoruns quando necessário.

Não remova componentes do navegador ou extensões sem identificar sua finalidade.

63. Solução 4: impedir que Word e Excel reapareçam após reiniciar

O Word e o Excel podem apresentar comportamentos relacionados à restauração de aplicativos, recuperação de documentos e configurações específicas.

Entretanto, essas situações precisam ser diferenciadas.

63.1 O programa reaparece com o documento anterior

Primeiro, verifique a restauração de aplicativos do Windows.

Depois, confirme se o documento foi fechado corretamente antes da reinicialização.

63.2 O programa abre sem documento

Nesse caso, investigue entradas tradicionais de inicialização, tarefas e outros acionadores.

O Word e o Excel não precisam iniciar automaticamente em todas as sessões para funcionar normalmente.

63.3 O programa apresenta recuperação de documentos

A recuperação de documentos é um mecanismo diferente da inicialização automática.

Ela pode aparecer quando o aplicativo identifica uma sessão anterior que não foi encerrada normalmente.

Não desative mecanismos de recuperação apenas para impedir a abertura de um programa.

Eles ajudam a preservar trabalhos em determinadas situações.

Teste recomendado

Abra o Word.

Crie um documento de teste.

Salve e feche o arquivo.

Encerre o Word.

Reinicie o Windows.

Observe se o aplicativo abre.

Repita com o Excel, se necessário.

Se o comportamento ocorre apenas quando o aplicativo permanece aberto antes de reiniciar, investigue a restauração.

64. Solução 5: impedir que pastas do Explorador abram automaticamente

O Explorador de Arquivos pode restaurar janelas de pastas anteriores durante a entrada do usuário.

Como verificar

Abra o Explorador de Arquivos.

Acesse as opções de pasta.

Na guia Modo de Exibição, procure:

Restaurar janelas de pastas anteriores durante o logon.

Desative a opção, caso esteja habilitada e não seja necessária.

Depois, feche as janelas de pastas e reinicie o computador.

Quando essa solução não resolve?

Se uma pasta continua abrindo, verifique se existe um atalho na Inicialização ou uma tarefa que executa o Explorador com determinado caminho.

Por exemplo, um atalho pode abrir uma pasta específica quando o usuário entra no Windows.

Nesse caso, a configuração de restauração não é necessariamente responsável.

65. Solução 6: corrigir entradas Run e RunOnce

As chaves Run e RunOnce podem conter comandos executados durante a entrada do usuário.

Entretanto, não recomendamos excluir valores diretamente do Registro como primeira medida.

65.1 Consultar as entradas

Execute:

Get-ItemProperty `
  'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

Para o contexto do computador:

Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' `
  -ErrorAction SilentlyContinue |
  Format-List *

65.2 O que fazer quando encontrar o programa?

Primeiro, confirme que a entrada pertence ao aplicativo investigado.

Depois, verifique se o próprio programa oferece uma opção para iniciar com o Windows.

Se existir, prefira utilizá-la.

Outra alternativa é desabilitar a entrada pelo Gerenciador de Tarefas, quando ela aparecer nessa interface.

65.3 Quando investigar RunOnce?

Se o programa abriu apenas uma vez depois de uma atualização, consulte a possibilidade de uma operação temporária de configuração.

Não remova entradas RunOnce desconhecidas.

Elas podem participar da conclusão de instalações legítimas.

65.4 E o StartupApproved?

O Windows pode manter informações de habilitação de determinadas entradas em StartupApproved.

Entretanto, não recomendamos modificar manualmente seus valores binários.

Utilize as interfaces oficiais para controlar o estado de inicialização.

66. Solução 7: corrigir tarefas agendadas que abrem programas

Uma tarefa agendada pode executar um aplicativo mesmo quando sua entrada tradicional está desabilitada.

Como identificar

Pressione Win + R.

Digite:

taskschd.msc

Abra a Biblioteca do Agendador de Tarefas.

Localize a tarefa relacionada ao aplicativo.

Verifique as guias Disparadores e Ações.

Confirme se existe um acionador de logon ou outro evento que explique a execução.

Como confirmar com PowerShell

Get-ScheduledTask |
    Where-Object {
        $_.Triggers | Where-Object {
            $_.CimClass.CimClassName -eq 'MSFT_TaskLogonTrigger'
        }
    } |
    Select-Object TaskName, TaskPath, State

Esse comando consulta tarefas com acionadores de logon.

Ele não modifica configurações.

Como corrigir?

Primeiro, identifique a finalidade da tarefa.

Se ela pertence a um aplicativo legítimo e sua execução automática é opcional, procure a configuração oficial do programa.

Em situações autorizadas, uma tarefa específica pode ser desabilitada pelo Agendador.

Entretanto, não desative tarefas do Windows, de antivírus, backup ou gerenciamento corporativo sem compreender seu impacto.

Validação

Depois de realizar uma alteração autorizada, reinicie o computador.

Observe se o programa continua abrindo.

Confirme também que as funções necessárias do aplicativo permanecem operacionais.

67. Solução 8: serviços que continuam executando em segundo plano

Alguns aplicativos instalam serviços.

Esses componentes podem iniciar com o Windows mesmo quando a interface principal do programa está desabilitada na Inicialização.

Entretanto, um serviço em execução não significa necessariamente que o aplicativo abriu uma janela.

Como identificar

Execute:

Get-CimInstance Win32_Service |
    Select-Object Name, DisplayName, State, StartMode, PathName

Procure serviços relacionados ao aplicativo investigado.

Como corrigir?

Se o serviço pertence a um programa legítimo, consulte sua documentação.

Verifique se existe uma opção oficial para controlar a execução em segundo plano.

Não desative serviços essenciais do Windows.

Também não desative componentes de segurança, backup ou gerenciamento corporativo apenas para reduzir a quantidade de processos.

A solução deve eliminar a execução indesejada sem comprometer funções necessárias.

68. Solução 9: utilizar Autoruns para identificar entradas persistentes

O Autoruns permite examinar diferentes mecanismos de execução automática.

Ele é especialmente útil quando o programa continua abrindo e os testes anteriores não explicam o comportamento.

Página oficial:Microsoft Sysinternals — Autoruns

Procedimento recomendado

Abra o Autoruns.

Aguarde a análise.

Procure o nome do aplicativo ou executável.

Verifique a categoria da entrada.

Observe o caminho, o editor e a assinatura digital.

Depois, confirme se a entrada corresponde ao mecanismo responsável pela execução.

Devo desabilitar a entrada?

Somente depois de identificar sua finalidade.

O Autoruns permite desabilitar determinadas entradas, mas isso não significa que todas possam ser modificadas sem consequências.

Prefira configurações oficiais do aplicativo.

Em ambientes corporativos, solicite autorização.

Quando o programa continua abrindo?

Se a entrada foi desabilitada e o aplicativo continua iniciando, pode existir outro mecanismo.

Nesse caso, investigue tarefas, serviços e processos responsáveis.

Não conclua automaticamente que existe malware.

69. Solução 10: investigar programas desconhecidos que iniciam automaticamente

Um programa desconhecido merece investigação, mas não deve ser considerado malicioso apenas pelo nome.

O diagnóstico precisa verificar origem, caminho, assinatura e comportamento.

69.1 Identificar o executável

Abra o Gerenciador de Tarefas.

Localize o processo.

Quando disponível, utilize a opção Abrir local do arquivo.

69.2 Consultar a assinatura digital

Get-AuthenticodeSignature -FilePath 'C:\Caminho\programa.exe'

Substitua pelo caminho real.

69.3 Calcular o hash

Get-FileHash -Path 'C:\Caminho\programa.exe' -Algorithm SHA256

O hash ajuda a identificar o conteúdo do arquivo.

Entretanto, não informa automaticamente se ele é seguro.

69.4 Utilizar a Segurança do Windows

Abra:

Configurações → Privacidade e segurança → Segurança do Windows.

Acesse a proteção contra vírus e ameaças.

Execute uma verificação apropriada quando houver suspeita.

Não execute arquivos desconhecidos para descobrir sua finalidade.

69.5 Quando procurar ajuda técnica?

Se o programa reaparece após alterações autorizadas, apresenta origem desconhecida ou está associado a comportamentos suspeitos, considere uma avaliação técnica.

Evite remover manualmente arquivos do sistema ou modificar permissões sem diagnóstico.

70. Tabela definitiva: programas que abrem sozinhos no Windows 11

Sintoma	Causa provável a investigar	Solução recomendada
Programa reaparece após reiniciar	Restauração de aplicativos	Revisar Opções de entrada
Edge abre com abas antigas	Restauração de sessão	Revisar inicialização do Edge e acionador
Chrome abre com páginas anteriores	Configuração do Chrome ou Windows	Comparar restauração e inicialização
Word reaparece com documento	Restauração ou recuperação	Fechar corretamente e testar
Excel abre sem documento	Entrada ou acionador	Investigar tarefas e Inicialização
Pasta abre sozinha	Restauração ou atalho	Revisar opções do Explorador
Programa abre mesmo desabilitado	Outro mecanismo de execução	Autoruns e Agendador
Programa abre minutos depois	Tarefa com atraso ou acionador	Verificar Disparadores
Processo aparece sem janela	Serviço ou componente auxiliar	Identificar finalidade
Programa abre apenas em uma conta	Configuração individual	Comparar usuários autorizados
Programa abre para todos	Configuração comum ou serviço	Investigar contexto do computador
Programa desconhecido inicia	Origem não identificada	Verificar assinatura e segurança
Programa abre após atualização	Configuração temporária ou modificada	Investigar RunOnce e instalador
Entrada desabilitada permanece no Registro	Estado separado em StartupApproved	Não editar bytes manualmente

71. Como prevenir a abertura automática de programas

A prevenção começa com o controle das configurações de inicialização.

Ao instalar novos aplicativos, observe se existe uma opção para iniciar com o Windows.

Desative essa opção quando não for necessária.

Periodicamente, revise os aplicativos de inicialização no Gerenciador de Tarefas.

Também é importante compreender que programas em segundo plano não são necessariamente programas que abrem janelas automaticamente.

Boas práticas

1. Instale programas de fontes confiáveis.
2. Revise as opções de inicialização durante a instalação.
3. Utilize o Gerenciador de Tarefas para controlar entradas comuns.
4. Verifique as opções de restauração do Windows.
5. Mantenha o Windows e os aplicativos atualizados.
6. Evite programas que prometem desativar todos os serviços automaticamente.
7. Não modifique tarefas ou entradas desconhecidas sem diagnóstico.
8. Utilize ferramentas oficiais para investigar comportamentos suspeitos.
9. Documente alterações realizadas em computadores corporativos.
10. Faça uma alteração por vez e valide o resultado.

72. FAQ — Perguntas frequentes sobre programas que abrem sozinhos no Windows 11

1. Por que programas abrem sozinhos no Windows 11?

O Windows utiliza diferentes mecanismos de inicialização.

Entre eles estão entradas do Registro, tarefas agendadas, serviços e restauração de aplicativos.

O primeiro passo é identificar qual mecanismo está relacionado ao programa.

2. Por que o programa continua abrindo mesmo desativado no Gerenciador de Tarefas?

A entrada desativada pode representar apenas um mecanismo.

O aplicativo ainda pode ser iniciado por uma tarefa, serviço ou recurso de restauração.

3. Como impedir que programas reabram depois de reiniciar?

Verifique a opção de aplicativos reiniciáveis em Configurações → Contas → Opções de entrada.

Depois, teste o comportamento.

Se o programa continuar abrindo, investigue outros mecanismos.

4. Como impedir que o Edge abra sozinho?

Verifique a Inicialização Rápida, as opções de execução em segundo plano e as configurações de restauração.

Se uma janela continuar abrindo, investigue quem iniciou o navegador.

5. Por que o Chrome abre sozinho com as abas anteriores?

O Chrome pode restaurar páginas quando é iniciado.

Entretanto, a restauração de abas não explica necessariamente quem abriu o navegador.

Verifique também as configurações do Windows.

6. Por que o Word abre sozinho depois de reiniciar?

O comportamento pode envolver restauração de aplicativos ou mecanismos de recuperação.

Se o Word abre mesmo depois de ser fechado corretamente, investigue entradas de inicialização e tarefas.

7. Por que o Excel abre automaticamente?

O Excel pode ser iniciado por diferentes mecanismos.

Verifique a restauração de aplicativos, as entradas de inicialização e eventuais tarefas relacionadas.

8. Como impedir que pastas abram sozinhas?

Verifique a opção Restaurar janelas de pastas anteriores durante o logon.

Se o comportamento continuar, investigue atalhos e tarefas.

9. O que é StartupApproved?

É um mecanismo utilizado pelo Windows para manter informações de habilitação de determinadas entradas de inicialização.

Não recomendamos modificar seus valores binários manualmente.

10. O que são as chaves Run e RunOnce?

São locais do Registro utilizados para determinados comandos de inicialização.

A chave Run está associada à execução recorrente durante a entrada.

RunOnce foi projetada para execuções únicas, conforme suas regras.

11. Uma tarefa agendada pode abrir um programa?

Sim.

O Agendador pode executar programas durante o logon ou quando outras condições são atendidas.

Isso pode acontecer independentemente da entrada tradicional de Inicialização.

12. Um serviço pode abrir um programa?

Serviços podem iniciar componentes em segundo plano.

Em determinadas arquiteturas, componentes relacionados podem acionar outras funções.

Entretanto, um serviço em execução não significa necessariamente que uma janela será aberta.

13. O Autoruns é seguro?

O Autoruns é uma ferramenta oficial da Microsoft Sysinternals.

Entretanto, desabilitar entradas incorretas pode prejudicar o funcionamento do sistema.

Utilize a ferramenta principalmente para diagnóstico.

14. O Process Explorer mostra quem abriu o programa?

Ele pode ajudar a identificar relações entre processos.

Entretanto, o processo responsável pode ter terminado.

Por isso, a árvore nem sempre revela toda a sequência de inicialização.

15. O Process Monitor pode identificar a abertura automática?

Ele pode registrar eventos de criação de processos durante uma captura.

Entretanto, os registros precisam ser interpretados e correlacionados com outros mecanismos.

16. Como saber se um programa desconhecido é vírus?

Verifique a origem, o caminho, a assinatura digital e o comportamento.

Utilize a Segurança do Windows quando houver suspeita.

O nome desconhecido não comprova que o arquivo seja malicioso.

17. Desativar todos os serviços melhora o desempenho?

Não é recomendado.

Serviços podem ser necessários para segurança, atualizações, conectividade e outras funções.

Desativá-los indiscriminadamente pode causar problemas.

18. Preciso formatar o Windows 11 para resolver?

Na maioria dos casos, a formatação não deve ser a primeira alternativa.

O problema pode estar relacionado a uma configuração de restauração, tarefa ou aplicativo.

Um diagnóstico direcionado permite investigar soluções menos invasivas.

19. Por que um programa abre apenas em uma conta?

O Windows mantém configurações específicas por usuário.

Uma entrada de inicialização ou tarefa pode estar associada a determinada conta.

20. O Windows Update pode fazer programas voltarem a abrir?

Atualizações podem modificar comportamentos ou concluir configurações de aplicativos.

Entretanto, a coincidência temporal não comprova que o Windows Update seja responsável.

Compare as configurações e os eventos antes de concluir.

73. Conclusão: o Windows 11 não ignora necessariamente a Inicialização desativada

Quando um programa continua abrindo sozinho depois de reiniciar, o usuário pode acreditar que o Windows está ignorando suas configurações.

Entretanto, o sistema possui diferentes mecanismos capazes de executar aplicativos.

O Gerenciador de Tarefas controla diversas entradas comuns, mas não impede toda forma de execução.

A restauração de aplicativos pode reabrir programas compatíveis.

O Agendador de Tarefas pode executar aplicativos durante o login.

Serviços podem manter componentes em segundo plano.

Também existem entradas do Registro e configurações específicas de cada programa.

Por isso, a solução correta consiste em identificar o mecanismo responsável.

Ferramentas como Autoruns, Process Explorer, Process Monitor e PowerShell ajudam a investigar situações mais complexas.

Entretanto, o técnico deve interpretar as evidências e evitar alterações indiscriminadas.

O objetivo não é impedir que o Windows execute qualquer programa automaticamente, mas eliminar inicializações indesejadas sem prejudicar o funcionamento do computador.

74. Suporte técnico VMIA — Windows 11 e programas que abrem sozinhos

Seu computador abre programas automaticamente, apresenta aplicativos desconhecidos ou continua executando softwares mesmo depois de desativá-los na Inicialização?

A VMIA – Manutenção e Configuração oferece suporte técnico para Windows 10 e 11, diagnóstico de inicialização, desempenho, programas em segundo plano e segurança.

Realizamos atendimentos remotos e presenciais mediante agendamento, com explicações claras e diagnóstico técnico.

VMIA – Manutenção e Configuração

Rua Prof. Sud Menucci, 291 – Vila Mariana – São Paulo – SP

(11) 99779-7772

suporte@vmia.com.br

Solicitar atendimento pelo WhatsApp

Site oficialBlog técnicoAvaliações