В связи с нашествием ботов, ломящихся в админку Joomla по адресу /administrator/ и забивающих все логи, было решено прикрутить дополнительную авторизацию: средствами веб-сервера Apache. Для этого в директории /administrator/ создаем файл .htaccess следующего содержания: Загружаемся с LiveCD с WinPE (например, ERDCommander) При загрузке подключаем реестр найденной Windows XP системы Запускаем из меню утилиту autoruns и смотрим где блокер прописался в пользователях System и своем собственном У блокера as.exe может быть несколько тел, поэтому внимательно изучаем содержимое /Windows/Temp, /Documents and Settings/*/ApplicationData, и прочие директории на предмет наличия файлов (можно искать по размеру в том же Total Commander). Удаляем все эти файлы, заодно чистим темпы, дллкэш Запускаем утилиту regedit: ищем по названию файла ветки, где он может быть. Как правило это замена Shell, в разделе HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon, добавление своего тела as.exe в отладчики к исполняемому системному фалу userinit.exe в разделе HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Image File Execution/userinit.exe (если не удалить этот раздел, то вход в систему пользователя будет невозможен и будет выкидывать обратно на окно логона) Стоит добавить, что все зараженные as.exe пользователи, которые мне попадались (9 человек), были рьяными сторонниками браузера Mozzilla Firefox (последней версии, кстати). 🙂 Делайте выводы. После недели-двух использования виндоус 11 выясняется, что эта панель любит просто зависать / пропадать / не открываться — назовите как угодно. Вместе с календарем, регулятором громкости, конечно.
Добавка: еще заметил при этом «зависании» панели в трее, что координаты по Х при клике мыши, как будто смещаются влево. Тыкая по значкам, расположенным левее объединенных значков громкости и сети, видно, что клик происходит и по значкам сети / громкости, но панель не появляется. Возможно, глюк связан с мультимониторной конфигурацией (мониторов у меня три, разного разрешения), и комп увожу в спящий режим, вместо выключения.
С этим видом трояна-винлокера я встречался несколько раз с января, и каждый последующий раз он заменяет собой все большее количество системных файлов. Сегодняшний экземпляр вируса 22CC6C32 заменил собой userinit.exe, taskmgr.exe. Также имелось 2 тела под именами файлов 22CC6C32.exe и рандомным RGVVVVVVVV.exe в папке пользователя Documents and Settings/%username%(или All Users)/Application Data/, причем каким образом в автозагрузку был записан второй экземпляр мне найти так и не удалось, просто снес его. И так, как же удалить этот 22cc6c32.exe?! Процедура лечения этой заразы следующая:
В поледнее время участились случаи заражения вирусом-блокером под названием «as.exe». Представляет собой блокер с заголовком «Internet Security» и обвинениями в просмотре гей-порно и соответствующей картинкой. 🙂 Он тоже не имеет кодов разблокировки, как и 22CC6C32, но в отличие от 22CC6C32.exe не заражает/удаляет/заменяет системные файлы userinit и taskmgr. Блокер убирается следующим образом:
Для отображения значков приходится либо тыкаться в настройку «Персонализация» -> «Панель задач» -> «Переполнение угла панели задач» (о, боже! кто это придумал?!!) и тыкать принудительно КАЖДЫЙ тубмлер на Вкл. около нужной программы (а если она еще не установлена? Ну да, ну да, пошел я на @#$)…
Для отображения значков приходится либо тыкаться в настройку «Персонализация» -> «Панель задач» -> «Переполнение угла панели задач» (о, боже! кто это придумал?!!) и тыкать принудительно КАЖДЫЙ тубмлер на Вкл. около нужной программы (а если она еще не установлена? Ну да, ну да, пошел я на @#$)…