Quick Talk

Eu acredito que já comentei antes, aqui mesmo ou no Buzz, sobre como malware vem bloqueando a execução de antivirus através da corrupção dos descritores de segurança (NTFS) do diretório. Ontem eu esbarrei em um método mais sutil mas igualmente eficaz: aplicar uma diretiva de segurança no Registro que impeça o software de rodar.

É claro que isso só é possivel se o malware estiver rodando com privilégios de administrador, o que é a situação da grande maioria dos usuários no Windows XP e depende de um descuido do usuário no Vista em diante. Coisa muito fácil ocorrer.

Eu já havia eliminado manualmente a infecção da máquina quando esbarrei nesse problema. Se você não remover o malware antes, fazer o que está explicado aqui pode ser perda de tempo.

Sintomas

O ícone do Avast não aparecia na barra de tarefas mas o diretório estava lá, com aparentemente todos os arquivos e acessível para inspeção. Uma checagem com o Autoruns mostrou que o Avast estava configurado para ser executado, mas não rodava.

O HDD do cliente era FAT32, logo o problema dos descritores de segurança NTFS não se aplicava.

Desinstalei o Avast. Toda a desinstalação correu bem exceto por uma estranha mensagem dizendo que regsrv32.exe, no diretório do Avast, não podia ser executado devido a uma diretiva de restrição de software. Fui olhar o diretório e este estava vazio. Até esse ponto eu ainda não havia entendido o que estava ocorrendo.

Por precaução, rodei também o desinstalador completo do Avast. Nenhum erro foi exibido.

Mas depois de reinstalar o Avast o problema persistiu. O programa não rodou após a instalação, mesmo após reiniciar o PC. Nenhuma mensagem de erro era exibida.

Decidi executar manualmente e foi somente então que eu descobri o que estava ocorrendo. Assim que eu tentei rodar AvastUI.exe, foi exibida a mesma mensagem que eu havia visto antes a respeito de regsrv32.exe, mas indicando que desta vez AvastUI.exe é que estava bloqueado por uma diretiva de restrição de software. O diretório inteiro devia estar bloqueado.

“O Windows não pode abrir este programa devido a uma diretiva de restrição de software”

A mensagem também dizia que eu olhasse no log de eventos para mais informações. Eu olhei e não vi nada que parecesse útil.

Executei secpol.msc (é um programa nativo do Windows XP professional) e procurei por uma diretiva bloqueando o Avast. Não achei nada. Pior que isso, secpol.msc dizia “Nenhuma diretiva de restrição de software definida”.

Ou eu estava procurando no lugar errado ou era mais um caso onde o malware consegue fazer algo e esconder isso da GUI do Windows.

A solução

Então eu fui olhar manualmente no Registro. Depois de procurar onde eu supunha que ia achar as diretivas e não achar nada, decidi fazer uma busca por todas as referências a AvastUI.exe. Encontrei algo suspeito em

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths

Veja o conteúdo completo do backup que fiz antes de fazer modificações:

Apesar de não haver nenhuma indicação nessa chave de que se tratava de um bloqueio, achei suspeito que existisse referência aos dois antivirus que estavam instalados na máquina (eu já havia desinstalado o Norton por também não estar funcionando). Fiz o backup, apaguei todas as chaves exceto a última (a que não faz referência a nenhum diretório) e reiniciei o PC. Problema resolvido.

Note que uma das chaves faz referência a todos os executáveis do diretório Avast através de coringa (*.exe). Então eu tive sorte de encontrar procurando por AvastUI.exe.

A razão para isso não aparecer em secpol.msc? Eu fiz um pequeno teste aqui e constatei que, para decidir o que bloquear, o Windows somente olha as chaves sob a chave indicada aqui. Mas na hora de listar, ele começa por outra chave onde ele espera encontrar “links” para essas. Como o malware somente cria as mostradas aqui, as diretivas ficam “invisíveis” para a ferramenta nativa.