web-dev-qa-db-ja.com

Windows7でUACが1日1回オフになっている

HPラップトップに奇妙な問題があります。これは最近起こり始めました。マシンを起動するたびに、Windows7アクションセンターに次の警告が表示されます。

UACをオフにするには、コンピューターを再起動する必要があります。

実際、特定の日に1回発生した場合、これは発生しません。たとえば、朝にマシンを起動すると、それが表示されます。ただし、その日のその後の再起動では表示されません。翌日、同じことがまた起こります。

UACを無効にすることはありませんが、明らかに一部のルートキットまたはウイルスがこれを引き起こします。この警告が表示されたらすぐに、UAC設定に進み、UACを再度有効にしてこの警告を閉じます。私はそれを修正することができないので、これは厄介な状況です。

まず、ウイルスとマルウェア/ルートキットのアクティビティの可能性についてコンピューターでフルスキャンを実行しましたが、TrendMicroウイルスバスターCorp.はウイルスが検出されなかったと述べています。 Windowsシステムの復元を使用して古い復元ポイントに移動しましたが、問題は解決しませんでした。

私がこれまでに試したこと（ルートキットが見つかりませんでした）：

  • TrendMicroウイルスバスターCorp.
  • アバスト
  • Malwarebytesのアンチマルウェア
  • Ad-Aware
  • Vipreアンチウイルス
  • GMER
  • TDSSKiller（Kaspersky Labs）
  • HiJackThis
  • RegRuns
  • UnHackMe
  • SuperAntiSpywareポータブル
  • タイザールートキットかみそり（ * ）
  • ソフォスアンチルートキット
  • SpyHunter 4
  • ComboFix

マシン上で他の奇妙な活動はありません。この奇妙な事件を除いて、すべてがうまく機能します。

この迷惑なルートキットの名前は何でしょうか？どうすればそれを検出して削除できますか？

EDIT：以下はHijackThisによって生成されたログファイルです：

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:07:04, on 17.01.2011
Platform: Windows 7  (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\CheckPoint\SecuRemote\bin\SR_GUI.Exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\VolCtrl.exe
C:\Program Files\LightningFAX\LFclient\lfsndmng.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Microsoft Office Communicator\communicator.exe
C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe
C:\Program Files\Trend Micro\OfficeScan Client\PccNTMon.exe
C:\Program Files\Microsoft LifeCam\LifeExp.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\mimio\mimio Studio\system\aps_tablet\atwtusb.exe
C:\Program Files\Microsoft Office\Office12\Outlook.EXE
C:\Program Files\Babylon\Babylon-Pro\Babylon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\userx\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.Microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.Microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.Microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.Microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.Microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.yaysat.com.tr/proxy/proxy.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Babylon IE plugin - {9CFACCB6-2F3F-4177-94EA-0D2B72D384C1} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [lfsndmng] C:\Program Files\LightningFAX\LFclient\LFSNDMNG.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Communicator] "C:\Program Files\Microsoft Office Communicator\communicator.exe" /fromrunkey
O4 - HKLM\..\Run: [AgentUiRunKey] "C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe" -ni -sss -e http://localhost:16386/
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [Babylon Client] C:\Program Files\Babylon\Babylon-Pro\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - Global Startup: mimio Studio.lnk = C:\Program Files\mimio\mimio Studio\mimiosys.exe
O8 - Extra context menu item: Microsoft Excel'e &Ver - res://C:\PROGRA~1\MICROS~1\Office12\Excel.EXE/3000
O8 - Extra context menu item: Translate this web page with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
O8 - Extra context menu item: Translate with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O9 - Extra 'Tools' menuitem: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/WinNTChk.cab
O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/setup.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\Software\..\Telephony: DomainName = yaysat.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = yaysat.com
O18 - Protocol: qcom - {B8DBD265-42C3-43E6-B439-E968C71984C6} - C:\Program Files\Common Files\Quest Shared\CodeXpert\qcom.dll
O22 - SharedTaskScheduler: FencesShellExt - {1984DD45-52CF-49cd-AB77-18F378FEA264} - C:\Program Files\Stardock\Fences\FencesMenu.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\Windows\system32\AEADISRV.EXE
O23 - Service: AgentService - Iron Mountain Incorporated - C:\Program Files\Iron Mountain\Connected BackupPC\AgentService.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - LSI Corporation - C:\Program Files\LSI SoftModem\agrsmsvc.exe
O23 - Service: BMFMySQL - Unknown owner - C:\Program Files\Quest Software\Benchmark Factory for Databases\Repository\MySQL\bin\mysqld-max-nt.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: SMS Task Sequence Agent (smstsmgr) - Unknown owner - C:\Windows\system32\CCM\TSManager.exe
O23 - Service: Check Point VPN-1 Securemote service (SR_Service) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Service.exe
O23 - Service: Check Point VPN-1 Securemote watchdog (SR_Watchdog) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Watchdog.exe
O23 - Service: Trend Micro Unauthorized Change Prevention Service (TMBMServer) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\..\BM\TMBMSRV.exe
O23 - Service: OfficeScan NT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: OfficeScan NT Proxy Service (TmProxy) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\TmProxy.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Program Files\RealVNC\VNC4\WinVNC4.exe

--
End of file - 8204 bytes

この非常によく似た質問 で提案されているように、RegRunとUnHackMeを使用してフルスキャン（+ブート時間スキャン）を実行しましたが、何も見つかりませんでした。イベントビューアのすべてのエントリを注意深く調べましたが、問題はありません。

これで、自分のマシンに隠されたトロイの木馬（ルートキット）があり、それが非常にうまく変装しているように見えることがわかりました。これは会社のドメインで特定のITポリシーの対象となる作業用マシンであるため、HDDを取り外したり、OSを再インストールしたりする機会がないことに注意してください。

私のすべての試みにもかかわらず、問題はまだ残っています。それが何であれ、それを削除するには、ポイント方式またはpukkaルートキットリムーバーが厳密に必要です。システム設定、つまり自動実行を1つずつ無効にしたり、レジストリを台無しにしたりすることを嫌がります。

編集2：私のトラブルに密接に関連する記事を見つけました：

マルウェアはWindows 7でUACをオフにすることができます;「設計上」はMicrosoft と言います。マイクロソフトに感謝します（！）。

この記事では、UACを自動的に無効にするVBScriptコードを示しています。

'// 1337H4x Written by _____________ 
'//                    (12 year old)

Set WshShell = WScript.CreateObject("WScript.Shell")

'// Toggle Start menu
WshShell.SendKeys("^{ESC}")
WScript.Sleep(500)

'// Search for UAC applet
WshShell.SendKeys("change uac")
WScript.Sleep(2000)

'// Open the applet (assuming second result)
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{ENTER}")
WScript.Sleep(2000)

'// Set UAC level to lowest (assuming out-of-box Default setting)
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")

'// Save our changes
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{ENTER}")

'// TODO: Add code to handle installation of rebound
'// process to continue exploitation, i.e. place something
'// evil in Startup folder

'// Reboot the system
'// WshShell.Run "shutdown /r /f"

残念ながら、それでは、システムで実行されているこの悪意のあるコードを取り除く方法がわかりません。

編集3：昨夜、SQLタスクを実行しているため、ラップトップを開いたままにしました。午前中に来たとき、UACがオフになっているのがわかりました。ですから、問題は起動に関係していないのではないかと思います。 マシンが再起動されたかどうかに関係なく、確実に1日に1回発生します。

編集4：今日、私はWindowsが開始されてすぐに「プロセスモニター」を開始し、有罪者を捕まえることができたと思います（アイデアをくれた@harrymcに感謝します） ）。 9:17に、UACスライダーが一番下にスライドしました（Windows 7アクションセンターが警告を出しました）。 9:16から9:18までのすべてのレジストリアクションを調査しました。プロセスモニターのログファイル（その2分間隔のみを含む70MB）を保存しました。たくさんある EnableLUA = 0（およびその他の）エントリ。以下の最初の4つのプロパティウィンドウのスクリーンショットを投稿しています。 svchost.exeはこれを行っており、いくつかのスレッドとPID番号を提供します。私はそれらについて何を推測すべきかわかりません：

enter image description hereenter image description hereenter image description hereenter image description here

windows-7virusuacmalwarerootkit
10
Mehper C. Palavuzlar

最初に、セキュリティセンターサービスを開始できるかどうかを確認し、開始できない場合は、その依存関係のどれが原因であるかを確認する必要があります。イベントビューアでエラーメッセージも探します。

コンピュータが感染していると感じた場合、考えられる解決策は次のとおりです。

  1. システムファイルチェッカーを使用してWindows 7システムファイルを修復する方法 。
  2. スタートアップの修復： スタートアップの修復を使用してWindows 7の起動の問題を簡単に修復する方法 。
  3. 最後の手段は、ハードディスクを再フォーマットしてWindowsを再インストールすることです。
    あなたの場合、これが当てはまるかもしれません： Windows VistaでHPシステムリカバリを実行する 。

Windowsは助けなしにそれ自体を破壊する能力が非常に高いことを指摘するだけです。そのため、WindowsUpdateはどのウイルスよりも危険です。この場合、スタートアップ修復は、アプリケーションを再インストールしなくても、Windowsを再初期化することで問題を解決できる場合があります。

問題がウイルスの問題であると本当に思っていて、コンピュータで何が起こっているのかをもっと知りたい場合は、次の2つのことを確認する必要があります。

  1. システムにどのような変更が加えられていますか？
  2. これはどのプログラムを変更しますか。

最初の1つは、レジストリの変更である場合、キーはおそらくHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System、item EnableLUA であり、値は無効の場合は0、有効の場合は1です。

システムに対して行われている変更を見つけたら、 Process Monitor とそのEnable Boot Loggingオプション（ヘルプを参照）を使用して、キーへのすべてのアクセスをログに記録できます。

最初にセーフモードで起動し、これも発生しているかどうかを確認します。そうでない場合、別の攻撃ベクトルは Autoruns を使用して、製品のバイナリ検索でスタートアップアイテムを無効にすることです（これはウイルスではなく、問題を引き起こしている正当な製品である可能性があるため）。

6
harrymc

私の場合、1日に1回適用されていたのはドメインポリシーでした。同じ問題。 UACのオフは、ドメインにログインするとき、またはVPN経由で接続するときにのみ発生するため、診断が容易になりました。したがって、ドメインポリシーにUACをオフにするスクリプトが含まれていることが判明しました。システム管理者に連絡したところ、確認されました。したがって、ドメインの管理者に相談するか、ドメインに属していない場合はプロファイルのローカルポリシーとスクリプトを検証することをお勧めします。

5
Alexey Bondarenko

オプション1：スタートアップですべてのプログラムを無効にします。 （[スタート]> [ファイル名を指定して実行]> [Msconfig]。起動時にすべてを無効にします）。

オプション2：AVASTホームエディションをインストールし、起動時間スキャンをスケジュールします。さらに良いことに、ハードディスクをマシンから取り外して別のハードディスクに接続し、そこからAVASTを使用してスキャンします。

オプション3。別のオプションは、HijackThisを実行することです。レポートを生成し、分析のためにここで共有します。 http://free.antivirus.com/hijackthis/

2
bobbyalex

Microsoft Security Essentialsをインストールして、システム全体をスキャンしてください。 MSEはOSAPIとフックを利用しているため、実際に何らかのマルウェアである場合は、マルウェアを特定できる可能性があります。また、MSEが実際にインストールまたは実行できない場合は、システムが危険にさらされていることが確実にわかります。

システムをチェックするために非常に多くのAVおよびマルウェア対策プログラムを実行しているので、コンピュータが危険にさらされていることを強く疑っています。 AVおよびマルウェア対策プログラムをインストールしてからブートスキャンを実行する代わりに、別のコンピューターを使用してドライブをスキャンします。ドライブをスレーブとして別のシステムに接続してから、スキャンを実行します。ハードドライブ自体からではなく、CDまたはDVDから起動してブートスキャンを実行する必要があります。これにより、実際のスキャン中にOSが起動しなくなり、ルートキットが実行されなくなります。

ただし、正直なところ、システムがルートキットで構成されていることが確実な場合は、ハードドライブを削除して、最初からやり直してください。 IT部門にこれを依頼してください。これは、システムがクリーンであることを確認するための唯一の確実な方法です。

1
Metril

コンピューターに別のユーザーアカウントを作成することをお勧めします。このアカウントを管理者にしないでください。標準ユーザーとして保管してください。管理者アカウントの代わりに、この新しいアカウントを使用してください。管理者権限が必要な場合、UACは常に管理者の資格情報の入力を求めます。そうすれば、マルウェアはUACを無効にして、邪悪なものを実行することができなくなります...

Try to Disable UAC without Admin Rights

これはウイルスを取り除くことはありませんが、少なくともそれが悪化するのを防ぎます。その後、アンチウイルスがそれを検出するための新しい定義を取得すると、それを削除できるようになります。

0
Kranu

これはかなり興味深い問題です。これは、1つまたは2つの異なる問題が原因であると言わざるを得ません。

1）ほとんどの人がウイルスを疑っています。当然のことながら、ウイルスはウィンドウに侵入して設定をいじくり回すのが大好きです。

すでに実行されているスキャンの包括的な量があります。どんなウイルスもすでに実行されているものによって捕らえられるべきなので、それは窓の鳥だと思います。

2）Windowsが機能しなくなった。コンピューターでディスクチェックを実行することをお勧めします。同様の結果をもたらす2つの異なる方法。

-コンピュータを開き、Windowsがロードされているハードドライブを右クリックします。次に、[ツール]タブを選択し、[ディスクチェック] [または同様のもの]というボタンをクリックします。 2つのオプションボックスにチェックマークが付いていない場合は、チェックマークを付けます。オプションボックスにチェックマークを付けなかった場合は、コンピュータからコンピュータの再起動を求められるはずです。そのスキャンを実行します。これにより、Windowsインストール内のすべての鶏がクリーンアップされます。

ここで、そのスキャンが失敗した場合は、オペレーティングシステムのインストールディスクを挿入します。 XPを使用している場合は、ブルースクリーンが表示されたら、Rキーを押して、実行するタスクを尋ねます。次に、オペレーティングシステムがオンになっているハードドライブを選択し、適切な番号を入力してからEnterキーを押します。その後、管理者アカウントのパスワードを入力します[通常、これは空白です]。ここで、コマンドコンソールに入力します：chkdsk/r

これは同じスキャンを実行するはずですが、スキャンがインストールディスクから実行されているため、さらに多くの問題を修正できます。

vistaまたはSEVENマシンのスキャンを実行する場合は、ディスクを挿入して修復オプションを選択します。その後、キャンセルを押すと、より多くの操作を実行できる新しいウィンドウが表示されます。最後のオプションは、「コンソールウィンドウ」またはそのようなものを言う必要があります。

コマンドコンソールに「chkdsk/rC：」と入力します。

お役に立てれば。

0
Flasimbufasa

私はちょうどこのメッセージに遭遇しました。今朝。 Javaはしばらくの間自分自身を更新しようとしているので、通知設定を「通知しない」に変更し、すぐにCPUを再起動して制御をオフにする必要があるというメッセージを受け取りました。で通知レベルをリセットすると、問題が解決しました。お役に立てば幸いです。

0
user338543

より複雑な対策に移る前に、インストールしてください AVG Anti-Virus Free Edition 2011 。コンピュータ全体のスキャンを実行します。 最近、私は同様の問題を抱えており、他のアンチウイルスプログラムはありませんが、前述のプログラムはそのアンチルートキット対策でそれを修正することができました。

0
Jasper