По пунктам для чайников: 1) Жмем Ctrl + Alt + Delete, 2) «Диспетчер задач», жмем «Подробнее» для фулл диспетчера, 3) Жмем правой кнопкой мыши на заголовке столбцов (Имя, Состояние, и т.д.), 4) Выбираем отображать столбец «Имя процесса», 5) Жмем на столбец «Имя процесса» -> все процессы отсоритруются по имени, 6) Ищем в списке «explorer.exe» («Проводник») 7) Жмем на нем правой кнопкой мыши и выбираем «Перезапустить» htpasswd -cm .htpasswd barakobama Сегодня какое-то нашествие блокера под именем 22CC6C32.exe — попались три заблокированных компьютера, причем на всех из них стоял лицензионный Касперский Интернет Секьюрити 2010/2011. Сегодняшний троян оказался размером 26 624 байт. Как раз размером с оригинальный userinit.exe. На этот троян вообще не существует кодов разблокировки (т.е. из вообще не может быть, так задумано :)), поэтому, не пытайтесь отправлять деньги мошенникам! Вычищать 22CC6C32 придется вручную. Для этого запаситесь LiveCD (типа ERDCommander) и дистрибутивом винды… Зачем? Расскажу далее. 🙂
Скормим виндовому клиенту, для примера. Идем в https://openvpn.net/community-downloads/ и скачиваем инсталлер для своей винды. Устанавливаем, и импортируем наш конфиг пользователя username.ovpn (который предварительно скачиваем со своего VPS / дедика из домашней директории рута или под кем вы там работаете на рабочую машину-клиента с виндой).
Вообще, модуль авторизации довольно обширный, полную документацию смотрите на сайт Apache: https://httpd.apache.org/docs/2.2/howto/auth.html
Далее, в конфиге юзера (/домашняя папка/username.ovpn) удаляете строку remote-cert-tls server и удаляете последний блок с ключом tls-auth. Также добавляете строку auth SHA512.
Поясню построчно: первой строкой AuthType Basic мы сообщаем серверу, что в этой папке включена авторизация. Во второй строке параметр AuthName служит для сообщения клиенту, куда он собственно, попал и данный текст будет выведен в окне авторизации. Третья строка сообщает о том, где будет храниться файл паролей .htpasswd, сгенерированный соответствующей утилитой в консоли вашего сервера (об этом отдельно, ниже). Четвертая строка Require valid-user сообщает веб серверу кого пускать в данную папку: в нашем случае любого пользователя, прошедшего авторизацию. Также там могут быть указаны конкретные пользователи через запятую.
С этим видом трояна-винлокера я встречался несколько раз с января, и каждый последующий раз он заменяет собой все большее количество системных файлов. Сегодняшний экземпляр вируса 22CC6C32 заменил собой userinit.exe, taskmgr.exe. Также имелось 2 тела под именами файлов 22CC6C32.exe и рандомным RGVVVVVVVV.exe в папке пользователя Documents and Settings/%username%(или All Users)/Application Data/, причем каким образом в автозагрузку был записан второй экземпляр мне найти так и не удалось, просто снес его. И так, как же удалить этот 22cc6c32.exe?! Процедура лечения этой заразы следующая: