HPラップトップに奇妙な問題があります。これは最近起こり始めました。マシンを起動するたびに、Windows 7アクションセンターに次の警告が表示されます。
UACをオフにするには、コンピューターを再起動する必要があります。
実際、特定の日に1回発生した場合、これは発生しません。たとえば、午前中にマシンを起動すると、表示されます。ただし、その日以降の再起動では表示されません。翌日、同じことが再び起こります。
UACを無効にすることはありませんが、明らかにルートキットまたはウイルスが原因です。この警告が表示されたらすぐに、UAC設定に進み、UACを再度有効にしてこの警告を閉じます。私はそれを修正できないので、これは厄介な状況です。
まず、コンピュータでフルスキャンを実行して、ウイルスとマルウェア/ルートキットの可能性のあるアクティビティを検出しましたが、TrendMicro OfficeScanはウイルスが検出されなかったと述べました。Windowsシステムの復元を使用して古い復元ポイントに移動しましたが、問題は解決しませんでした。
私がこれまでに試したこと（ルートキットが見つかりませんでした）：
- TrendMicro OfficeScanアンチウイルス
- アバスト
- Malwarebytes 'アンチマルウェア
- アドアウェア
- Vipre Antivirus
- GMER
- TDSSKiller（カスペルスキー）
- HiJackThis
- RegRuns
- UnHackMe
- SuperAntiSpyware Portable
- タイザールートキットかみそり（*）
- Sophos Anti-Rootkit
- SpyHunter 4
- ComboFix
マシンには他に奇妙なアクティビティはありません。この奇妙な事件を除き、すべてが正常に機能します。
この迷惑なルートキットの名前は何でしょうか？検出して削除するにはどうすればよいですか？
編集：以下はHijackThisによって生成されたログファイルです：
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:07:04, on 17.01.2011
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal
Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\CheckPoint\SecuRemote\bin\SR_GUI.Exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\VolCtrl.exe
C:\Program Files\LightningFAX\LFclient\lfsndmng.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Microsoft Office Communicator\communicator.exe
C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe
C:\Program Files\Trend Micro\OfficeScan Client\PccNTMon.exe
C:\Program Files\Microsoft LifeCam\LifeExp.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\mimio\mimio Studio\system\aps_tablet\atwtusb.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\Babylon\Babylon-Pro\Babylon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\userx\Desktop\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.yaysat.com.tr/proxy/proxy.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Babylon IE plugin - {9CFACCB6-2F3F-4177-94EA-0D2B72D384C1} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [lfsndmng] C:\Program Files\LightningFAX\LFclient\LFSNDMNG.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Communicator] "C:\Program Files\Microsoft Office Communicator\communicator.exe" /fromrunkey
O4 - HKLM\..\Run: [AgentUiRunKey] "C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe" -ni -sss -e http://localhost:16386/
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [Babylon Client] C:\Program Files\Babylon\Babylon-Pro\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - Global Startup: mimio Studio.lnk = C:\Program Files\mimio\mimio Studio\mimiosys.exe
O8 - Extra context menu item: Microsoft Excel'e &Ver - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Translate this web page with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
O8 - Extra context menu item: Translate with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O9 - Extra 'Tools' menuitem: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/WinNTChk.cab
O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/setup.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\Software\..\Telephony: DomainName = yaysat.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = yaysat.com
O18 - Protocol: qcom - {B8DBD265-42C3-43E6-B439-E968C71984C6} - C:\Program Files\Common Files\Quest Shared\CodeXpert\qcom.dll
O22 - SharedTaskScheduler: FencesShellExt - {1984DD45-52CF-49cd-AB77-18F378FEA264} - C:\Program Files\Stardock\Fences\FencesMenu.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\Windows\system32\AEADISRV.EXE
O23 - Service: AgentService - Iron Mountain Incorporated - C:\Program Files\Iron Mountain\Connected BackupPC\AgentService.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - LSI Corporation - C:\Program Files\LSI SoftModem\agrsmsvc.exe
O23 - Service: BMFMySQL - Unknown owner - C:\Program Files\Quest Software\Benchmark Factory for Databases\Repository\MySQL\bin\mysqld-max-nt.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: SMS Task Sequence Agent (smstsmgr) - Unknown owner - C:\Windows\system32\CCM\TSManager.exe
O23 - Service: Check Point VPN-1 Securemote service (SR_Service) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Service.exe
O23 - Service: Check Point VPN-1 Securemote watchdog (SR_Watchdog) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Watchdog.exe
O23 - Service: Trend Micro Unauthorized Change Prevention Service (TMBMServer) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\..\BM\TMBMSRV.exe
O23 - Service: OfficeScan NT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: OfficeScan NT Proxy Service (TmProxy) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\TmProxy.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Program Files\RealVNC\VNC4\WinVNC4.exe
--
End of file - 8204 bytes
この非常によく似た質問で示唆されているように、RegRunとUnHackMeでフルスキャン（+ブート時間スキャン）を実行しましたが、何も見つかりませんでした。イベントビューアのすべてのエントリを注意深く調べましたが、何も問題はありません。
これで、自分のマシンに隠されたトロイの木馬（ルートキット）が存在することがわかりました。これは、HDDを削除したり、OSを再インストールしたりする機会がないことに注意してください。これは、会社のドメインで特定のITポリシーの対象となる作業マシンです。
私のすべての試みにもかかわらず、問題はまだ残っています。それが何であれ削除するには、厳密な方法またはpukka rootkit removerが厳密に必要です。私はシステム設定で猿になりたくない、すなわち、自動実行を一つ一つ無効にする、レジストリを台無しにする、など。
編集2：私のトラブルに密接に関連する記事を見つけました：
マルウェアは、Windows 7でUACをオフにすることができます。「設計上」とMicrosoftは言います。Microsoftに感謝します。
この記事では、UACを自動的に無効にするVBScriptコードが提供されています。
'// 1337H4x Written by _____________
'// (12 year old)
Set WshShell = WScript.CreateObject("WScript.Shell")
'// Toggle Start menu
WshShell.SendKeys("^{ESC}")
WScript.Sleep(500)
'// Search for UAC applet
WshShell.SendKeys("change uac")
WScript.Sleep(2000)
'// Open the applet (assuming second result)
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{ENTER}")
WScript.Sleep(2000)
'// Set UAC level to lowest (assuming out-of-box Default setting)
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
'// Save our changes
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{ENTER}")
'// TODO: Add code to handle installation of rebound
'// process to continue exploitation, i.e. place something
'// evil in Startup folder
'// Reboot the system
'// WshShell.Run "shutdown /r /f"
残念ながら、システムで実行されているこの悪意のあるコードをどのように取り除くことができるかはわかりません。
編集3：昨夜、実行中のSQLタスクのためにラップトップを開いたままにしました。朝来たとき、UACがオフになっているのを見ました。だから、私は問題が起動に関連していないと思う。マシンがリブートされたかどうかに関係なく、確実に1日に1回発生します。
編集4：今日は、Windowsが有罪者を捕まえ始めるとすぐに「プロセスモニタ」をすぐに開始しました（アイデアを@harrymcに感謝します）。9:17に、UACスライダーが下部にスライドしました（Windows 7アクションセンターが警告を出しました）。9:16から9:18までのすべてのレジストリアクションを調査しました。プロセスモニターのログファイル（その2分間隔のみを含む70MB）を保存しました。多くのEnableLUA = 0（および他の）エントリがあります。以下の最初の4つのプロパティウィンドウのスクリーンショットを投稿しています。これを実行していると言われsvchost.exe、いくつかのスレッドとPID番号を提供します。私はそれらについて何を推測すべきかわかりません：
1
追加の調査として、これはドメインコントローラからグループポリシーによって適用されている設定である可能性があります。彼らは（何らかの理由で）毎日UACをリセットするように設定している可能性があります。もちろん、彼らがグループポリシーを使用してそれを有効にし、マルウェアがそれを無効にしている場合、それは悪いことです。IT担当者とおしゃべりをします。つまり、おしゃべりな人です。
—
木梅
@木梅：ご提案ありがとうございます。私は社内の他の同僚と話をしましたが、誰もそのような問題を抱えていません。私たちのITはUACを無効にしていないと確信しています。UACはセキュリティの問題に非常に敏感だからです。興味深いのは、その（可能性のある）ルートキットが、ITによって導入されたウイルス対策またはその他のセキュリティ対策をどのように欺いたのかということです。
—
Mehper C. Palavuzlar
そもそもこの可能性のある感染をどのようにして得たのかについては、最も簡単なのは、マルウェア保護が一般的に本質的に事後対応であるということですが、予防的な検出は可能ですが、信頼性はありません。誰かがシステムに侵入する方法を夢見た後、会社はそれを見つけて、それを検出または削除する方法、アクション、および反応を書き留めます。実際に感染している場合、それは非常によく、まだAV企業によって見られていない完全に新しい株である可能性があります。あなたがそれをどうやって手に入れたかについては、あなたがどんな考えも与えるとは思わない場所にあまりにも多くのセキュリティホールがあります...
—
木梅
HijackThisはクリーンです。ファイルウォールを取得することを検討してください。Harryの説明に従って、AutorunsとProcess Monitorを試してください。
—
タマラWijsman
タスクスケジューラを調べてみましたか？（[スタート]-> [コントロールパネル]-> [管理ツール]-> [タスクスケジューラ]）[タスクスケジューラライブラリ]をクリックして、Googleアップデータなどによって設定されたタスクを表示します。タスクが特定の時間に設定され、その時間が既に経過している場合はログイン後X分実行するように設定できるため、毎日のUACリセットがどこかにある可能性があります...そこにある何千ものアイテムを検索する長くて骨の折れる作業である。
—
Mokubai
