Ошибка avz guard c0000061

Здравствуйте, форумчане!
Работаю на компьютере с установленной на нем системой Windows 7.
Сегодня возникло подозрение на заражение системы руткитом (возможно, что ложное, а возможно, и нет) и решил немножко ее проверить антивирусами.
Попробовал запустить 2 антивирусные программы: Rootkit Revealer из набора Sysinternals от М. Руссиновича и AVZ (антивирус Зайцева). Обе программы запустить толком не удалось. Rootkit Revealer при запуске вылетел с ошибкой, а AVZ, как удалось выяснить из ее лога, не смогла загрузить в ядро драйверы, которые как раз и выявляют руткиты и перехватчики — попытка загрузки драйверов закончилась ошибкой и самую интересную для меня часть проверки AVZ выполнить не смогла. Вот фрагмент лога:

1.2 Поиск перехватчиков API, работающих в KernelMode
 Ошибка загрузки драйвера - проверка прервана [C000036B]
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
1.5 Проверка обработчиков IRP
 Ошибка загрузки драйвера - проверка прервана [C000036B]

При попытке включить режим AVZ Guard также выдается ошибка:

Ошибка AVZ Guard: C000036B

Т. е., как я понял, AVZ не может загрузить ни одного драйвера в ядро.

С чем связано такое поведение обеих программ? Вообще-то Rootkit Revealer — программа довольно старая, я посмотрел, она в последний раз обновлялась в 2006 году. Я подумал, может быть причина именно в этом, просто она не совместима с Windows 7, т. к. не обновлялась для работы с этой системой? Или же программа несмотря на возраст вполне работоспособна в семерке и проблема в чем-то другом?

Тот же вопрос по поводу AVZ. Это какая-то несовместимость этой утилиты с Windows 7, или же проблема в настройках Windows, допустим, система настроена так, что AVZ не хватает прав доступа для запуска нужных драйверов?

Или, у меня уже и такая мысль возникла, невозможность нормально запустить обе утилиты, может, это признак заражения ядра руткитом: руткит распознает обе программы при их попытке внедрить драйверы в ядро и не позволяет им это сделать?

Помогите, пожалуйста, разобраться с проблемой.

Антивирус отключали перед включением AVZGuard?

Каким антивирусом пользуетесь?Если KIS,то AVZ стоит в группе «Доверенные» в Контроле программ?

как видно на скриншоте AVZ входит в доверенные , Антивирус установлен KIS 2011, пробовал отключать и такая же песня , AVZGuard не включается

как видно на скриншоте AVZ входит в доверенные , Антивирус установлен KIS 2011, пробовал отключать и такая же песня , AVZGuard не включается

Попробовал по совету уважаемого alexyv запустить командную строку с правами администратора под ограниченным пользователем. Т.е. надо запустить командную строку, редактор реестра или программу настройки системы (msconfig) с правами администратора. С помощью ярлычка или сочетания клавиш. Эти СМС-вымогатели меняют права пользователей в реестре и блокируют выполнение команд. Но с помощью сочетания клавиш (например из совета О.Зайцева: Win+U, или какого-то другого (не все ж они блокируют?)) можно попробовать запустить что-либо с правами администратора. Или запустить отредактированный ярлычок через проводник, браузер, диспетчер и пр..

Сразу, что не получилось:
— Запустить от имени встроенного администратора;
— От имени системы. Не понял, что написано тут: ссылка
— Отредактировать свойства ярлычка из-под LiveCD Ubuntu.

Материалы:
http://virusinfo.info/showthread.php?s=04fd399d72aaea55e54d99c2181a1003&t=54311
http://www.osp.ru/pcworld/2006/03/318152/
http://www.winblog.ru/2007/02/27/27020702.html
http://www.windowsfaq.ru/content/category/3/19/57/

Получилось:

Сначала попробовал в ограниченной учетке отредактировать Свойства ярлычка (командной строки — cmd.exe). Путь: C:Documents and Settingsник_ограниченной_учеткиГлавное менюПрограммыСтандартные. В поле «Объект» стер и вставил:

runas.exe /user:НИК «%SystemRoot%system32cmd.exe /k»

(НИК — ник пользователя с административными правами).
Получилось, ввел пароль администратора и командная строка запустилась от имени администратора.

Потом попробовал добавить клавишу быстрого пуска — в поле «Быстрый вызов», в свойствах ярлычка, написал H, получилось: Ctrl+Alt+H. Попробовал нажать сочетание клавиш — опять ввод пароля и запуск командной строки с правами пользователя-администратора. Ога!

Попробовал создать новый ярлык (правой мышкой на Рабочем столе (или в какой папке) — Создать — Ярлык). В поле «Укажите размещение объекта» вставил этот же ключ (runas.exe /user:НИК «%SystemRoot%system32cmd.exe /k») и запустил. Получилось. Потом можно и добавить букву для запуска сочетанием клавиш.

Дальше запустил Ubuntu как LiveCD и попробовал — ноль. Ни-и-ичего не понятно. Потом запустил RusLive_RAM — тут все повеселей.
Сначала попробовал отредактировать свойства ярлычка для командной строки (лежит в папке: C:Documents and Settingsник_ограниченной_учеткиГлавное менюПрограммыСтандартные). Относительные (runas.exe)  пути не принялись, добавил абсолютные:

C:WINDOWSsystem32runas.exe /user:НИК «%SystemRoot%system32cmd.exe /k»
или
C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSsystem32cmd.exe /k»

(чтобы вернуть, как было, в Windows XP, в поле «Объект»: %SystemRoot%system32cmd.exe)

Заработало. С LiveCD можно добавить и букву для запуска сочетанием клавиш. Совсем хорошо.

Попробовал создавать новые ярлыки — ничего не получилось. Но выход есть — отредактировать уже существующие. Например Блокнота (находится в той же папке, что и ярлык для cmd.exe. Изначальная запись в поле «Объект»: %SystemRoot%system32notepad.exe). Получилось.  Еще некоторые команды для вставки в поле «Объект» Блокнота (не забудьте потом вернуть на изначальную):
— для командной строки:
C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSsystem32cmd.exe /k»
— для редактора реестра:
C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSregedit.exe»
— для программы настройки системы:
C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSServicePackFilesi386msconfig.exe»

В принципе, таким макаром, можно попробовать запускать не только системные утилиты, но и программы.
Кроме возвращения изначальной команды запуска Блокнота после лечения удалите все созданные ярлыки и отредактируйте измененные ярлыки назад. Программа runas.exe весьма опасна!

UPD: — Документация AVZ
— Утилиты ЛК

UPD 2: Идея автоматизации мне очень понравилась. Понашлепал ярлычков с клавишами запуска и положил в папку «112» в C:Documents and SettingsAll UsersДокументы:

1. Как видно из постов в разделе «Помогите» ВирусИнфо, некоторые вирусы оставляют возможность запустить программу лечения/исправления. Т.е. блокируют не все. Можно, например, нажать сочетание клавиш Win+U (это запустит «Дополнительные возможности», приоритет у нее большой. Если не видно окна сразу, то, возможно, оно появится при выключении/перезагрузке. А уж через него, можно добраться до запуска программы (через справку — браузер — проводник). Или еще вариант — некоторые вымогатели позволяют запускать программы (в безопасном режиме, предположим) и тут же завершают работу системы. Это тоже можно остановить. Так, чисто теоретически — нажать Win+U, потом попробовать нажать сочетание клавиш для ярлыка остановки перезагрузки системы. Или из трюка с Win+U, описанном О.Зайцевым, попытаться запустить этот ярлык. Поэтому первый:
(клавиши добавляются в поле «Быстрый вызов» свойств ярлыка.)
Z (т.е. Ctrl+Alt+Z) — остановка завершения работы системы:

«C:WINDOWSsystem32shutdown.exe» -a

2. С — запуск командной строки от имени пользователя с административными правами:

C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSsystem32cmd.exe /k»

3.R — запуск редактора реестра от имени пользователя с административными правами:

C:WINDOWSsystem32runas.exe /user:НИК «C:WINDOWSregedit.exe»

4. 3  — запуск 3-го стандартного скрипта AVZ (Файл — Стандартные скрипты) из командной строки:

«C:WINDOWSsystem32cmd.exe» /c «C:Program Filesavz4avz.exe» Script=ExecuteStdScr(3) Run=Y

Этот ярлык, вернее исполнение команд в AVZ требует уточнения. Авира его напрочь блокирует даже с отключенным Guard_ом. Проверил со 2-ым стандартным — фунциклирует:)

UPD 3: Сочетания клавиш совсем не работают, но можно, с помощью LiveCD перенести нужный ярлык в папку C:Documents and SettingsНикГлавное менюПрограммыАвтозагрузка — при старте системы срабатывает. Или использовать в качестве шаблона для редактирования работающих от сочетания клавиш ярлыков, Блокнота, например.
Еще наделал ярлыков и разложил их в папки с короткими названиями, чтоб не путаться. Т.е. буква — это название папки в папке «112». Убрал все сочетания клавиш и перенес всю папку «112» из All Users в НИК_администратора:

5. Р — запуск AVZ в скрытом режиме (HiddenMode=3) с командной строки:

C:WINDOWSsystem32cmd.exe /c «C:Program Filesavz4avz.exe» ScanDrive=HDD DelVir=Y HiddenMode=3 Run=Y

6. А — запуск AVZ в скрытом режиме от имени пользователя с административными правами:

C:WINDOWSsystem32runas.exe /user:НИК «C:Program Filesavz4avz.exe» ScanDrive=HDD DelVir=Y HiddenMode=3 Run=Y

UPD 4: Еще почитал документацию по AVZ. Нашел способы запуска с защитой: http://z-oleg.com/secur/avz_doc/ в «Параметрах командгой строки» — «Специализированные ключи»:

«AG=[Y|N] — включение AVZGuard в момент запуска AVZ. Этот ключ допустим только во командной строке, в скриптах он не поддерживается. Обработка ключа AG производится в момент запуска AVZ, до его инициализации и создания рабочих окон.

 AM=[Y|N] — включает базовую защиту от троянских программ, посылающих сообщения окнам с характерными заголовками. Задание AM=Y приводит к удалению текста из заголовка главного окна AVZ, удаляет смысловое имя приложения. В данном режиме окно AVZ не подчиняется команде закрытия, выйти из AVZ можно только через меню «ФайлВыход» или по команде скрипта. Поддерживается в AVZ начиная с версии 4.32″

Попробовал создать ярлыки и запустить под ограниченным пользователем:

C:WINDOWSsystem32cmd.exe /c «C:Program Filesavz4avz.exe» am=y — сработало, выйти из AVZ можно только через меню «ФайлВыход» или по команде скрипта
C:WINDOWSsystem32cmd.exe /c «C:Program Filesavz4avz.exe» ag=y — Ошибка AVZ Guard: C0000061

«C:Program Filesavz4avz.exe» am=y
«C:Program Filesavz4avz.exe» ag=y — Ошибка AVZ Guard: C0000061

Ошибка AVZ Guard: C0000061 — прочитал, возникает из-за того, что AVZ Guard работает только в х32 и под администратором.

Т.е. смысл запуска понятем, можно пробовать: из-под виндоподобных LiveCD (если из-под линуксов, то надо готовится заранее) скачать AVZ, архив с сайта или полиморфный, распаковать в папку, например в C:Documents and SettingsAll UsersДокументы (если полиморфный, то создать папку), переименовать ее в Internet Explorer, переименовать avz.exe в iexplore.exe (при слете языка: «Профиль локализации — это INI файл, лежащий в папке на одном уровне с avz.exe с расширением loc. По умолчанию это avz.loc, но если avz.exe переименовывается скажем в gluck.exe, то профиль локализации должен симметрично переименоваться в gluck.loc.» Или:
«Скажите пожалуйста,почему при запуске AVZ у меня вместо текста цифры?
Проблема с кодировкой в виндоус, решить можно использовав английский интерфейс- будут английские буковки вместо цифр.
Что нужно:
— создать ярлык к исполняемому файлу avz
— нажать правой кнопкой по созданному ярлыку, выбрать вторую ячейку(ярлык) в верхнем окошке( цель=target)заполнить Путь к папке с avz и добавить /avz.exe lang=en
-запускать avz, нажимая на данный ярлык«).

Далее: скопировать ярлык Блокнота, предположим, из папки: C:Documents and SettingsИмя_пострадавшегоГлавное менюПрограммыСтандартные и вставить в папку C:Documents and SettingsИмя_пострадавшегоГлавное менюПрограммыАвтозагрузка — при старте системы AVZ запуститься в защищенном режиме. Отредактировать скопированный ярлык. Какой из методов защиты сработает — надо пробовать. Стартовать с жесткого диска. Не получится — менять ключи старта в ярлыке.
Примеры:
— AM=[Y|N] — включает базовую защиту от троянских программ:
Через командную строку: C:WINDOWSsystem32cmd.exe /c «Путьavz.exe» ag=y
Просто: «Путьavz.exe» ag=y

— AG=[Y|N] — включение AVZGuard в момент запуска AVZ:
Через командную строку: C:WINDOWSsystem32cmd.exe /c «Путьavz.exe» ag=y
Просто: «Путьavz.exe» ag=y

При переименовании avz.exe надо писать придуманное имя. Если в меню будут цифры или кракозябры, то можно попробовать так:
«Путьavz.exe» lang=en am=y

После лечения следует убрать ярлык запуска AVZ из папки Автозагрузка. А то так и будет стартовать — антивирус может обидиться.

Очень красивое решение:) Так можно запускать и другие программы.