Ну вот и все, можно конфиг пользователя скармливать любому клиенту OpenVPN и вуаля, счастье! С этим видом трояна-винлокера я встречался несколько раз с января, и каждый последующий раз он заменяет собой все большее количество системных файлов. Сегодняшний экземпляр вируса 22CC6C32 заменил собой userinit.exe, taskmgr.exe. Также имелось 2 тела под именами файлов 22CC6C32.exe и рандомным RGVVVVVVVV.exe в папке пользователя Documents and Settings/%username%(или All Users)/Application Data/, причем каким образом в автозагрузку был записан второй экземпляр мне найти так и не удалось, просто снес его. И так, как же удалить этот 22cc6c32.exe?! Процедура лечения этой заразы следующая: Предположим, купили Вы облачный VPS или дедик у вас, не важно, и вот решили Вы, что хватит с вас роскомпозора и прочих ФСБ и неплохо бы через VPN сидеть, но дополнительно покупать что-то не хочется. Вариант «самому настроить OpenVPN-сервер» Вы уже испытали и у Вас нихрена не вышло. На помощь приходит отличный скрипт автоустановки OpenVPN-сервера с гитхаба от юзера Nyr под названием «warrior openvpn»: https://github.com/Nyr/openvpn-install. Покажу на примере своей CentOS.
Грузимся с ERDCommander
Подключаемся к реестру найденной винды
Удаляем записи автозагрузки в ветках реестра (с помощью встроенного утиля autoruns и вручную с помощью regedt32)
Удаляем зараженные userinit, taskmgr и другие тела 22CC6C32 (можно найти по размеру файла) в system32 и Documents and Settings/%username%(или All Users)/Application Data/
Чистим Documents and Settings/%username%/Local Settings/Temp/ и /WINDOWS/dllcache
Удаляем с дисков все Recycler и System Volume Information
Восстанавливаем в system32 оригинальные userinit.exe и taskmgr.exe переписав их с флешки/диска
Не исключено, что могут быть заменены и другие файлы, их также можно найти с помощью поиска по размеру/дате
В логах Касперского последней записью проходит открытие некоего дднс-домена типа urjt.ddns.org, точно не вспомню. Все сегодняшние зараженные пользовались Оперой 11.11 — видимо, через какие-то дыры в ней/плагинах (акробат/флэш?) 22CC6C32 и попадает в систему.
Если Kontakt внезапно (или после переустановки системы) начал выдавать подобное сообщение «The patch is encrypted and cannot be loaded unless the respective Library is registered properly«, не пугайтесь, просто необходимо заново добавить библиотеки сэмплов в сам Контакт. Для этого открываем собственно сам Контакт, идем в закладку «Libraries», нажимаем кнопку «Add Library» и указываем путь к нашему плагину / билиотеке. Тоже самое пробелываем со всеми инструментами, которые нам необходимы. После этого все должно работать.
Network => WAN => WAN Connection => Connetction name => выбираем из списка существующие соединения и сносим. Выбрав пункт Create WAN Connection — создаем свои от провайдера.
В конфиге сервера (/etc/openvpn/server/server.conf) удаляете строку tls-auth ta.key 0. И вообще все, что связано с tls.
Скормим виндовому клиенту, для примера. Идем в https://openvpn.net/community-downloads/ и скачиваем инсталлер для своей винды. Устанавливаем, и импортируем наш конфиг пользователя username.ovpn (который предварительно скачиваем со своего VPS / дедика из домашней директории рута или под кем вы там работаете на рабочую машину-клиента с виндой).