По пунктам для чайников: 1) Жмем Ctrl + Alt + Delete, 2) «Диспетчер задач», жмем «Подробнее» для фулл диспетчера, 3) Жмем правой кнопкой мыши на заголовке столбцов (Имя, Состояние, и т.д.), 4) Выбираем отображать столбец «Имя процесса», 5) Жмем на столбец «Имя процесса» -> все процессы отсоритруются по имени, 6) Ищем в списке «explorer.exe» («Проводник») 7) Жмем на нем правой кнопкой мыши и выбираем «Перезапустить» Далее, в конфиге юзера (/домашняя папка/username.ovpn) удаляете строку remote-cert-tls server и удаляете последний блок с ключом tls-auth. Также добавляете строку auth SHA512. Попался тут экземпляр наглухо залоченного роутера от Ростелеком (что удивительно, по договору ты его постепенно выкупаешь, и у тебя потом остается эта железяка) — ZTE ZXHN H118N с версией железа HW: 2.3 и ростелекомовской прошивкой V2.1.3_ROSCNT4. Т.к. попытки поиска прошивки под любого провайдера (или от производителя) не увенчались успехом, решено было попробовать настроить как есть и получилось, однако!
По пунктам для чайников:
1) Жмем Ctrl + Alt + Delete,
2) «Диспетчер задач», жмем «Подробнее» для фулл диспетчера,
3) Жмем правой кнопкой мыши на заголовке столбцов (Имя, Состояние, и т.д.),
4) Выбираем отображать столбец «Имя процесса»,
5) Жмем на столбец «Имя процесса» -> все процессы отсоритруются по имени,
6) Ищем в списке «explorer.exe» («Проводник»)
7) Жмем на нем правой кнопкой мыши и выбираем «Перезапустить»
Network => WAN => WAN Connection => Connetction name => выбираем из списка существующие соединения и сносим. Выбрав пункт Create WAN Connection — создаем свои от провайдера.
Грузимся с ERDCommander
Подключаемся к реестру найденной винды
Удаляем записи автозагрузки в ветках реестра (с помощью встроенного утиля autoruns и вручную с помощью regedt32)
Удаляем зараженные userinit, taskmgr и другие тела 22CC6C32 (можно найти по размеру файла) в system32 и Documents and Settings/%username%(или All Users)/Application Data/
Чистим Documents and Settings/%username%/Local Settings/Temp/ и /WINDOWS/dllcache
Удаляем с дисков все Recycler и System Volume Information
Восстанавливаем в system32 оригинальные userinit.exe и taskmgr.exe переписав их с флешки/диска
Не исключено, что могут быть заменены и другие файлы, их также можно найти с помощью поиска по размеру/дате
В логах Касперского последней записью проходит открытие некоего дднс-домена типа urjt.ddns.org, точно не вспомню. Все сегодняшние зараженные пользовались Оперой 11.11 — видимо, через какие-то дыры в ней/плагинах (акробат/флэш?) 22CC6C32 и попадает в систему.
Ну вот и все, можно конфиг пользователя скармливать любому клиенту OpenVPN и вуаля, счастье!
В поледнее время участились случаи заражения вирусом-блокером под названием «as.exe». Представляет собой блокер с заголовком «Internet Security» и обвинениями в просмотре гей-порно и соответствующей картинкой. 🙂 Он тоже не имеет кодов разблокировки, как и 22CC6C32, но в отличие от 22CC6C32.exe не заражает/удаляет/заменяет системные файлы userinit и taskmgr. Блокер убирается следующим образом: