什么是機(jī)械狗病毒
此病毒采用hook系統(tǒng)的磁盤(pán)設(shè)備棧來(lái)達(dá)到穿透目的的，危害極大，這個(gè)病毒沒(méi)有名字，圖標(biāo)是SONY的機(jī)器狗阿寶，就像前輩熊貓燒香一樣，大家給它起了個(gè)名字叫機(jī)器狗。下面由學(xué)習(xí)啦小編給你做出詳細(xì)的機(jī)械狗病毒介紹!希望對(duì)你有幫助!
機(jī)械狗病毒介紹：
機(jī)器狗是一個(gè)木馬下載器，感染后會(huì)自動(dòng)從網(wǎng)絡(luò)上下載木馬、病毒，危及用戶帳號(hào)的安全。機(jī)器狗運(yùn)行后會(huì)釋放一個(gè)名為PCIHDD.SYS的驅(qū)動(dòng)文件，與原系統(tǒng)中還原軟件驅(qū)動(dòng)進(jìn)行硬盤(pán)控制權(quán)的爭(zhēng)奪，并通過(guò)替換userinit.exe文件，實(shí)現(xiàn)開(kāi)機(jī)啟動(dòng)。
機(jī)械狗病毒工作原理
機(jī)器狗本身會(huì)釋放出一個(gè)pcihdd.sys到drivers目錄，pcihdd.sys是一個(gè)底層硬盤(pán)驅(qū)動(dòng)，提高自己的優(yōu)先級(jí)接替還原卡或冰點(diǎn)的硬盤(pán)驅(qū)動(dòng)，然后訪問(wèn)指定的網(wǎng)址，這些網(wǎng)址只要連接就會(huì)自動(dòng)下載大量的病毒與惡意插件。然后修改接管啟動(dòng)管理器，最可怕的是，會(huì)通過(guò)內(nèi)部網(wǎng)絡(luò)傳播，一臺(tái)中招，能引發(fā)整個(gè)網(wǎng)絡(luò)的電腦全部自動(dòng)重啟。
重點(diǎn)是，一個(gè)病毒，如果以hook方式入侵系統(tǒng)，接替硬盤(pán)驅(qū)動(dòng)的方式效率太低了，而且毀壞還原的方式這也不是最好的，還有就是這種技術(shù)應(yīng)用范圍非常小，只有還原技術(shù)廠商范圍內(nèi)有傳播，在這方面國(guó)際上也只有中國(guó)在用，所以，很可能就是行業(yè)內(nèi)杠。
對(duì)于網(wǎng)吧而言，機(jī)器狗就是劍指網(wǎng)吧而來(lái)，針對(duì)所有的還原產(chǎn)品設(shè)計(jì)，可預(yù)見(jiàn)其破壞力很快會(huì)超過(guò)熊貓燒香。好在現(xiàn)在很多免疫補(bǔ)丁都以出現(xiàn)，發(fā)稿之日起，各大殺毒軟件都以能查殺。
機(jī)械狗病毒如何識(shí)別：
是否中了機(jī)器狗的關(guān)鍵就在 Userinit.exe 文件，該文件在系統(tǒng)目錄的 system32 文件夾中，右鍵點(diǎn)擊一個(gè)應(yīng)用程序，后綴為dll或exe的(記事本格式的屬性沒(méi)有版本)單看屬性。如果在屬性窗口中看不到該文件的版本標(biāo)簽的話，說(shuō)明已經(jīng)中了機(jī)器狗。如果有版本標(biāo)簽則正常。
機(jī)械狗病毒免疫補(bǔ)?。?/strong>
現(xiàn)在的免疫補(bǔ)丁之?dāng)?shù)是疫苗形式，以無(wú)害的樣本復(fù)制到drivers下，欺騙病毒以為本身以運(yùn)行，起到阻止危害的目的。這種形式的問(wèn)題是，有些用戶為了自身安全會(huì)在機(jī)器上運(yùn)行一些查毒程序(比如QQ醫(yī)生之類)。這樣疫苗就會(huì)被誤認(rèn)為是病毒，又要廢很多口舌。
解決之道
方案1
解決方案是將system32/drivers目錄單獨(dú)分配給一個(gè)用戶，而不賦予administror修改的權(quán)限。雖然這樣能解決，但以后安裝驅(qū)動(dòng)就是一件頭疼的事了。
徹底清除該病毒，處理后重啟一下電腦就可以了，之前要打上補(bǔ)丁!
或者這樣：
1注冊(cè)表，組策略中禁止運(yùn)行userinit.exe 進(jìn)程
2 在啟動(dòng)項(xiàng)目中加入批處理
A : 強(qiáng)制結(jié)束userinit.exe進(jìn)程 Taskkill /f /IM userinit.exe (其中“/IM”參數(shù)后面為進(jìn)程的圖像名，這命令只對(duì)XP用戶有效)
B : 強(qiáng)制刪除userinit.exe文件 DEL /F /A /Q %SystemRoot%\system32\userinit.exe
C : 創(chuàng)建userinit.exe免疫文件到%SystemRoot%\system32\
命令：md %SystemRoot%\system32\userinit.exe >nul 2>nul
或者 md %SystemRoot%\system32\userinit.exe
attrib +s +r +h +a %SystemRoot%\system32\userinit.exe
D : reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe" /v debugger /t reg_sz /d debugfile.exe /f
userinit1.exe是正常文件改了名字，多加了一個(gè)1，你也可以自己修改，不過(guò)要手動(dòng)修改這4個(gè)注冊(cè)表，并導(dǎo)出，這個(gè)批處理才能正常使用。
方案2
1、首先在系統(tǒng)system32下復(fù)制個(gè)無(wú)毒的userinit.exe，文件名為FUCKIGM.exe(文件名可以任意取)，這就是下面批處理要指向執(zhí)行的文件!也就是開(kāi)機(jī)啟動(dòng)userinit.exe的替代品!而原來(lái)的userinit.exe保留!其實(shí)多復(fù)制份的目的只是為了多重保險(xiǎn)!可能對(duì)防止以后變種起到一定的作用。
2、創(chuàng)建個(gè)文件名為userinit.bat的批處理(文件名也可任意取，但要和下面說(shuō)到的注冊(cè)表鍵值保持一致即可)，內(nèi)容如下：
start FUCKIGM.exe (呵呵，夠簡(jiǎn)單吧?)
3、修改注冊(cè)表鍵值，將userinit.exe改為userinit.bat。內(nèi)容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.bat,"
就這3步，讓這條狗再也兇不起來(lái)!這是在windows 2003測(cè)試的，雙擊機(jī)器狗后，沒(méi)什么反應(yīng)，對(duì)比批處理也是正常，即這狗根本沒(méi)改動(dòng)它!開(kāi)關(guān)機(jī)游戲均無(wú)異常!但唯一美中不足的是，采用經(jīng)典模式開(kāi)機(jī)的啟動(dòng)時(shí)會(huì)出現(xiàn)個(gè)一閃而過(guò)的黑框!
如果嫌麻煩，也不要緊。上面三條批處理網(wǎng)友已搞好了，直接復(fù)制下面的這個(gè)存為批處理執(zhí)行就OK了。三步合二為一
@echo off
:::直接復(fù)制系統(tǒng)system32下的無(wú)毒userinit.exe為FUCKIGM.exe
cd /d %SystemRoot%\system32
copy /y userinit.exe FUCKIGM.exe >nul
:::創(chuàng)建userinit.bat
echo @echo off >>userinit.bat
echo start FUCKIGM.exe >>userinit.bat
:::注冊(cè)表操作
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit / t REG_SZ /d "C:\WINDOWS\system32\userinit.bat," /f >nul
:::刪掉自身(提倡環(huán)保)
del /f /q %0
當(dāng)然，如果實(shí)在不行，下載程序killigm。然后直接解壓運(yùn)行里面的程序:機(jī)器狗免疫補(bǔ)丁.bat 執(zhí)行就可以了.
網(wǎng)上流傳的另一種新的變種的防止方法 :
開(kāi)始菜單運(yùn)行.輸入CMD
cd ……到drivers
md pcihdd.sys
cd pcihdd.sys
md 1…\
可防止最新變種。請(qǐng)注意：此法只能是防止，對(duì)于殺機(jī)器狗還得靠最新的殺毒程序才行。
臨時(shí)解決辦法：
一是在路由上封IP：
ROS腳本,要的自己加上去
/ ip firewall filter
add chain=forward content=yu.8s7.net action=reject comment="DF6.0"
add chain=forward content=www.tomwg.com action=reject
二是在c:\windows\system32\drivers下建立免疫文件： pcihdd.sys ，
三是把他要修改的文件在做母盤(pán)的時(shí)候，就加殼并替換。
在%systemroot%\system32\drivers\目錄下 建立個(gè) 明字 為 pcihdd.sys 的文件夾 設(shè)置屬性為 任何人禁止批處理
md %systemroot%\system32\drivers\pcihdd.sys
cacls %systemroot%\system32\drivers\pcihdd.sys /e /p everyone:n
cacls %systemroot%\system32\userinit.exe /e /p everyone:r
exit
看了“什么是機(jī)械狗病毒”文章的還看了：
什么是機(jī)械狗病毒
