В связи с нашествием ботов, ломящихся в админку Joomla по адресу /administrator/ и забивающих все логи, было решено прикрутить дополнительную авторизацию: средствами веб-сервера Apache. Для этого в директории /administrator/ создаем файл .htaccess следующего содержания: AuthType Basic AuthName «Administation Zone! Restricted Access» AuthUserFile /var/www/папка_пользователя/data/etc/.htpasswd Require valid-user Загружаемся с LiveCD с WinPE (например, ERDCommander) При загрузке подключаем реестр найденной Windows XP системы Запускаем из меню утилиту autoruns и смотрим где блокер прописался в пользователях System и своем собственном У блокера as.exe может быть несколько тел, поэтому внимательно изучаем содержимое /Windows/Temp, /Documents and Settings/*/ApplicationData, и прочие директории на предмет наличия файлов (можно искать по размеру в том же Total Commander). Удаляем все эти файлы, заодно чистим темпы, дллкэш Запускаем утилиту regedit: ищем по названию файла ветки, где он может быть. Как правило это замена Shell, в разделе HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon, добавление своего тела as.exe в отладчики к исполняемому системному фалу userinit.exe в разделе HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Image File Execution/userinit.exe (если не удалить этот раздел, то вход в систему пользователя будет невозможен и будет выкидывать обратно на окно логона) Стоит добавить, что все зараженные as.exe пользователи, которые мне попадались (9 человек), были рьяными сторонниками браузера Mozzilla Firefox (последней версии, кстати). 🙂 Делайте выводы.
Поясню построчно: первой строкой AuthType Basic мы сообщаем серверу, что в этой папке включена авторизация. Во второй строке параметр AuthName служит для сообщения клиенту, куда он собственно, попал и данный текст будет выведен в окне авторизации. Третья строка сообщает о том, где будет храниться файл паролей .htpasswd, сгенерированный соответствующей утилитой в консоли вашего сервера (об этом отдельно, ниже). Четвертая строка Require valid-user сообщает веб серверу кого пускать в данную папку: в нашем случае любого пользователя, прошедшего авторизацию. Также там могут быть указаны конкретные пользователи через запятую.
Добавка: еще заметил при этом «зависании» панели в трее, что координаты по Х при клике мыши, как будто смещаются влево. Тыкая по значкам, расположенным левее объединенных значков громкости и сети, видно, что клик происходит и по значкам сети / громкости, но панель не появляется. Возможно, глюк связан с мультимониторной конфигурацией (мониторов у меня три, разного разрешения), и комп увожу в спящий режим, вместо выключения.
Грузимся с ERDCommander
Подключаемся к реестру найденной винды
Удаляем записи автозагрузки в ветках реестра (с помощью встроенного утиля autoruns и вручную с помощью regedt32)
Удаляем зараженные userinit, taskmgr и другие тела 22CC6C32 (можно найти по размеру файла) в system32 и Documents and Settings/%username%(или All Users)/Application Data/
Чистим Documents and Settings/%username%/Local Settings/Temp/ и /WINDOWS/dllcache
Удаляем с дисков все Recycler и System Volume Information
Восстанавливаем в system32 оригинальные userinit.exe и taskmgr.exe переписав их с флешки/диска
Не исключено, что могут быть заменены и другие файлы, их также можно найти с помощью поиска по размеру/дате
В логах Касперского последней записью проходит открытие некоего дднс-домена типа urjt.ddns.org, точно не вспомню. Все сегодняшние зараженные пользовались Оперой 11.11 — видимо, через какие-то дыры в ней/плагинах (акробат/флэш?) 22CC6C32 и попадает в систему.
При попытке залезть в веб-морду и что-то там настроить вручную оно категорически не давало, показывая то «Автоматическая настройка» при подключенном кабеле, то «Подключите кабель к WAN-порту» при отключенном. Решил засунуть туда обычный кабель от второго ноута, чтобы он учуял линк, но настраиваться там как бы было не на что, и о чудо! Появилась кнопка «Настроить вручную». Эти роутеры интересны тем, что оно периодически стучит про себя в телеком и любой сотрудник может поковыряться в нем удаленно. Штука эта называется протокол CWMP и описывается в TR-069. Так вот, оказывается в нем допом идет крутейший бэкдор: в веб-интерфейсе по логину superadmin и паролю Fn@ztE118zTE оно позволяет без палева настроить все, что требуется.
Значит, первое, что мы делаем, это удаляем неудачно установленный OpenVPN (если устанавливали) и вычищаем остатки: