ฉันมีปัญหาแปลก ๆ กับแล็ปท็อป HP ของฉัน สิ่งนี้เริ่มเกิดขึ้นเมื่อเร็ว ๆ นี้ เมื่อใดก็ตามที่ฉันเริ่มเครื่อง Windows 7 Action Center จะแสดงคำเตือนต่อไปนี้:
คุณต้องรีสตาร์ทคอมพิวเตอร์ของคุณเพื่อให้ UAC ถูกปิด
ที่จริงแล้วสิ่งนี้จะไม่เกิดขึ้นหากเกิดขึ้นครั้งเดียวในวันใดวันหนึ่ง ตัวอย่างเช่นเมื่อฉันเริ่มต้นเครื่องในตอนเช้ามันจะปรากฏขึ้น แต่จะไม่ปรากฏในการรีสตาร์ทครั้งต่อไปภายในวันนั้น ในวันถัดไปสิ่งเดียวกันก็เกิดขึ้นอีกครั้ง
ฉันไม่เคยปิดใช้งาน UAC แต่เห็นได้ชัดว่ารูทคิทหรือไวรัสเป็นสาเหตุให้เกิด ทันทีที่ฉันได้รับคำเตือนนี้ฉันมุ่งไปที่การตั้งค่า UAC และเปิดใช้งาน UAC อีกครั้งเพื่อยกเลิกคำเตือนนี้ นี่เป็นสถานการณ์ที่น่ารำคาญเพราะฉันไม่สามารถแก้ไขได้
ก่อนอื่นฉันทำการสแกนแบบเต็มบนคอมพิวเตอร์เพื่อหาไวรัสและมัลแวร์ / รูทคิตใด ๆ ที่เป็นไปได้ แต่ TrendMicro OfficeScan กล่าวว่าไม่พบไวรัส ฉันไปที่จุดคืนค่าเดิมโดยใช้ Windows System Restore แต่ปัญหาไม่ได้รับการแก้ไข
สิ่งที่ฉันได้ลองมาแล้ว (ซึ่งหารูทคิทไม่ได้):
- TrendMicro OfficeScan Antivirus
- AVAST
- Malwarebytes ต่อต้านมัลแวร์
- Ad-Aware
- Vipre Antivirus
- GMER
- TDSSKiller (Kaspersky Labs)
- HijackThis
- RegRuns
- UnHackMe
- SuperAntiSpyware Portable
- Tizer Rootkit Razor ( * )
- Sophos Anti-Rootkit
- SpyHunter 4
- ComboFix
ไม่มีกิจกรรมแปลก ๆ ในเครื่อง ทุกอย่างทำงานได้ดียกเว้นเหตุการณ์ที่แปลกประหลาดนี้
อะไรคือชื่อของรูทคิทที่น่ารำคาญนี้ ฉันจะตรวจจับและลบออกได้อย่างไร
แก้ไข:ด้านล่างเป็นไฟล์บันทึกที่สร้างโดย HijackThis:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:07:04, on 17.01.2011
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal
Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\CheckPoint\SecuRemote\bin\SR_GUI.Exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\VolCtrl.exe
C:\Program Files\LightningFAX\LFclient\lfsndmng.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Microsoft Office Communicator\communicator.exe
C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe
C:\Program Files\Trend Micro\OfficeScan Client\PccNTMon.exe
C:\Program Files\Microsoft LifeCam\LifeExp.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\mimio\mimio Studio\system\aps_tablet\atwtusb.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\Babylon\Babylon-Pro\Babylon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\userx\Desktop\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.yaysat.com.tr/proxy/proxy.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Babylon IE plugin - {9CFACCB6-2F3F-4177-94EA-0D2B72D384C1} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [lfsndmng] C:\Program Files\LightningFAX\LFclient\LFSNDMNG.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Communicator] "C:\Program Files\Microsoft Office Communicator\communicator.exe" /fromrunkey
O4 - HKLM\..\Run: [AgentUiRunKey] "C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe" -ni -sss -e http://localhost:16386/
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [Babylon Client] C:\Program Files\Babylon\Babylon-Pro\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - Global Startup: mimio Studio.lnk = C:\Program Files\mimio\mimio Studio\mimiosys.exe
O8 - Extra context menu item: Microsoft Excel'e &Ver - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Translate this web page with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
O8 - Extra context menu item: Translate with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O9 - Extra 'Tools' menuitem: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/WinNTChk.cab
O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/setup.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\Software\..\Telephony: DomainName = yaysat.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = yaysat.com
O18 - Protocol: qcom - {B8DBD265-42C3-43E6-B439-E968C71984C6} - C:\Program Files\Common Files\Quest Shared\CodeXpert\qcom.dll
O22 - SharedTaskScheduler: FencesShellExt - {1984DD45-52CF-49cd-AB77-18F378FEA264} - C:\Program Files\Stardock\Fences\FencesMenu.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\Windows\system32\AEADISRV.EXE
O23 - Service: AgentService - Iron Mountain Incorporated - C:\Program Files\Iron Mountain\Connected BackupPC\AgentService.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - LSI Corporation - C:\Program Files\LSI SoftModem\agrsmsvc.exe
O23 - Service: BMFMySQL - Unknown owner - C:\Program Files\Quest Software\Benchmark Factory for Databases\Repository\MySQL\bin\mysqld-max-nt.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: SMS Task Sequence Agent (smstsmgr) - Unknown owner - C:\Windows\system32\CCM\TSManager.exe
O23 - Service: Check Point VPN-1 Securemote service (SR_Service) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Service.exe
O23 - Service: Check Point VPN-1 Securemote watchdog (SR_Watchdog) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Watchdog.exe
O23 - Service: Trend Micro Unauthorized Change Prevention Service (TMBMServer) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\..\BM\TMBMSRV.exe
O23 - Service: OfficeScan NT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: OfficeScan NT Proxy Service (TmProxy) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\TmProxy.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Program Files\RealVNC\VNC4\WinVNC4.exe
--
End of file - 8204 bytes
ตามที่แนะนำในคำถามที่คล้ายกันนี้ฉันได้เรียกใช้การสแกนเต็มรูปแบบ (+ การสแกนเวลาบูต) ด้วย RegRun และ UnHackMe แต่พวกเขาก็ไม่พบอะไรเลย ฉันได้ตรวจสอบรายการทั้งหมดอย่างรอบคอบใน Event Viewer แต่ไม่มีอะไรผิดปกติ
ตอนนี้ฉันรู้แล้วว่ามีโทรจันที่ซ่อนอยู่ (รูตคิต) ในเครื่องของฉันซึ่งดูเหมือนจะปลอมตัวได้สำเร็จ โปรดทราบว่าฉันไม่มีโอกาสที่จะลบ HDD หรือติดตั้งระบบปฏิบัติการใหม่เพราะนี่เป็นเครื่องจักรที่ใช้งานภายใต้นโยบาย IT บางอย่างในโดเมนของ บริษัท
แม้จะมีความพยายามทั้งหมดของฉันปัญหายังคงอยู่ ฉันต้องการวิธีการแบบจุดต่อจุดหรือตัวถอด rootkit pukka อย่างเคร่งครัดเพื่อลบสิ่งที่มันเป็น ฉันไม่ต้องการลิงด้วยการตั้งค่าระบบเช่นการปิดการใช้งานอัตโนมัติจะทำงานทีละตัวส่งข้อความไปยังรีจิสทรี ฯลฯ
แก้ไข 2:ฉันได้พบบทความที่เกี่ยวข้องกับปัญหาของฉัน:
มัลแวร์สามารถปิด UAC ใน Windows 7; “โดยการออกแบบ” ไมโครซอฟท์กล่าวว่า ขอขอบคุณเป็นพิเศษ (!) ถึง Microsoft
ในบทความรหัส VBScript ถูกกำหนดให้ปิดใช้งาน UAC โดยอัตโนมัติ:
'// 1337H4x Written by _____________
'// (12 year old)
Set WshShell = WScript.CreateObject("WScript.Shell")
'// Toggle Start menu
WshShell.SendKeys("^{ESC}")
WScript.Sleep(500)
'// Search for UAC applet
WshShell.SendKeys("change uac")
WScript.Sleep(2000)
'// Open the applet (assuming second result)
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{ENTER}")
WScript.Sleep(2000)
'// Set UAC level to lowest (assuming out-of-box Default setting)
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
'// Save our changes
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{ENTER}")
'// TODO: Add code to handle installation of rebound
'// process to continue exploitation, i.e. place something
'// evil in Startup folder
'// Reboot the system
'// WshShell.Run "shutdown /r /f"
น่าเสียดายที่ไม่ได้บอกฉันว่าฉันสามารถกำจัดโค้ดอันตรายนี้ที่ทำงานบนระบบของฉันได้อย่างไร
แก้ไข 3:เมื่อคืนนี้ฉันเปิดแล็ปท็อปทิ้งไว้เนื่องจากงาน SQL ที่กำลังทำงานอยู่ เมื่อฉันมาในตอนเช้าฉันเห็นว่า UAC ถูกปิด ดังนั้นฉันสงสัยว่าปัญหาจะไม่เกี่ยวข้องกับการเริ่มต้น มันเกิดขึ้นวันละครั้งอย่างแน่นอนไม่ว่าจะรีบูทเครื่องหรือไม่
แก้ไข 4:วันนี้ฉันเริ่ม "Process Monitor" ทันทีที่ Windows เริ่มหวังว่าจะได้รับความผิด (ขอบคุณ @harrymc สำหรับความคิด) ที่ 9:17 ตัวเลื่อน UAC ถูกเลื่อนไปที่ด้านล่าง (ศูนย์ปฏิบัติการ Windows 7 แจ้งเตือน) ฉันตรวจสอบการดำเนินการของรีจิสทรีทั้งหมดระหว่าง 9:16 ถึง 9:18 ฉันบันทึกไฟล์บันทึกการตรวจสอบกระบวนการ (70MB มีช่วงเวลาเพียง 2 นาทีนั้น) มีรายการEnableLUA = 0(และอื่น ๆ ) จำนวนมาก ฉันโพสต์ภาพหน้าจอของหน้าต่างคุณสมบัติของ 4 รายการแรกด้านล่าง มันบอกว่าsvchost.exeกำลังทำสิ่งนี้และให้หมายเลขเธรดและหมายเลข PID ฉันไม่รู้ว่าฉันควรอนุมานเกี่ยวกับพวกเขา:
