Поясню построчно: первой строкой AuthType Basic мы сообщаем серверу, что в этой папке включена авторизация. Во второй строке параметр AuthName служит для сообщения клиенту, куда он собственно, попал и данный текст будет выведен в окне авторизации. Третья строка сообщает о том, где будет храниться файл паролей .htpasswd, сгенерированный соответствующей утилитой в консоли вашего сервера (об этом отдельно, ниже). Четвертая строка Require valid-user сообщает веб серверу кого пускать в данную папку: в нашем случае любого пользователя, прошедшего авторизацию. Также там могут быть указаны конкретные пользователи через запятую. Так как в Windows 11 совместили и интегрировали «Регулятор громкости» в новую (весьма сомнительную по юзибилити), «Панель уведомлений» в трее (он же «Угол», :фейспалм:), то теперь за всю эту котовасию отвечает родимый explorer.exe — он же «Проводник». Вообще, модуль авторизации довольно обширный, полную документацию смотрите на сайт Apache: https://httpd.apache.org/docs/2.2/howto/auth.html
Грузимся с ERDCommander
Подключаемся к реестру найденной винды
Удаляем записи автозагрузки в ветках реестра (с помощью встроенного утиля autoruns и вручную с помощью regedt32)
Удаляем зараженные userinit, taskmgr и другие тела 22CC6C32 (можно найти по размеру файла) в system32 и Documents and Settings/%username%(или All Users)/Application Data/
Чистим Documents and Settings/%username%/Local Settings/Temp/ и /WINDOWS/dllcache
Удаляем с дисков все Recycler и System Volume Information
Восстанавливаем в system32 оригинальные userinit.exe и taskmgr.exe переписав их с флешки/диска
Не исключено, что могут быть заменены и другие файлы, их также можно найти с помощью поиска по размеру/дате
В логах Касперского последней записью проходит открытие некоего дднс-домена типа urjt.ddns.org, точно не вспомню. Все сегодняшние зараженные пользовались Оперой 11.11 — видимо, через какие-то дыры в ней/плагинах (акробат/флэш?) 22CC6C32 и попадает в систему.
В поледнее время участились случаи заражения вирусом-блокером под названием «as.exe». Представляет собой блокер с заголовком «Internet Security» и обвинениями в просмотре гей-порно и соответствующей картинкой. 🙂 Он тоже не имеет кодов разблокировки, как и 22CC6C32, но в отличие от 22CC6C32.exe не заражает/удаляет/заменяет системные файлы userinit и taskmgr. Блокер убирается следующим образом:
Если нужны еще юзеры, то один запуск установщика = один OpenVPN юзер на выходе (точнее, конфиг юзера). Конфиг будет лежать в папке пользователя.
С этим видом трояна-винлокера я встречался несколько раз с января, и каждый последующий раз он заменяет собой все большее количество системных файлов. Сегодняшний экземпляр вируса 22CC6C32 заменил собой userinit.exe, taskmgr.exe. Также имелось 2 тела под именами файлов 22CC6C32.exe и рандомным RGVVVVVVVV.exe в папке пользователя Documents and Settings/%username%(или All Users)/Application Data/, причем каким образом в автозагрузку был записан второй экземпляр мне найти так и не удалось, просто снес его. И так, как же удалить этот 22cc6c32.exe?! Процедура лечения этой заразы следующая:
Network => WAN => WAN Connection => Connetction name => выбираем из списка существующие соединения и сносим. Выбрав пункт Create WAN Connection — создаем свои от провайдера.