“机器狗”病毒

渔家乐

机器狗是一个木马下载器，感染后会自动从网络上下载木马、病毒，危及用户帐号的安全。

如果判别自已是否中此病毒？

通过对病毒样本的分析，我们发现此病毒启动后就会修改userinit.exe 这个文件，在系统目录system32文件中，找到userinit.exe 点击右键查看属性，如果在属性窗口中看不到该文件的＜版本＞标签的话，说明已经中了“机器狗”病7。如果有＜版本＞标签则正常。

机器狗的生前身后  
曾经有很多人说有穿透还原卡、冰点的病毒，但是在各个论坛都没有样本证据，直到2007年8月29日终于有人在社区里贴出了一个样本。这个病毒没有名字，图标是SONY的机器狗阿宝，就像前辈熊猫烧香一样，大家给它起了个名字叫机器狗。  

工作原理
机器狗本身会释放出一个pcihdd.sys到drivers目录，pcihdd.sys是一个底层硬盘驱动，提高自己的优先级接替还原卡或冰点的硬盘驱动，然后访问指定的网址，这些网址只要连接就会自动下载大量的病毒与恶意插件。然后修改接管启动管理器，最可怕的是，会通过内部网络传播，一台中招，能引发整个网络的电脑全部自动重启。  

重点是，一个病毒，如果以hook方式入侵系统，接替硬盘驱动的方式效率太低了，而且毁坏还原的方式这也不是最好的，还有就是这种技术应用范围非常小，只有还原技术厂商范围内有传播，在这方面国际上也只有中国在用，所以，很可能就是行业内杠。  

对于网吧而言，机器狗就是剑指网吧而来，针对所有的还原产品设计，可预见其破坏力很快会超过熊猫烧香。好在现在很多免疫补丁都以出现，发稿之日起，各大杀毒软件都以能查杀。  

免疫补丁之争  
现在的免疫补丁之数是疫苗形式，以无害的样本复制到drivers下，欺骗病毒以为本身以运行，起到阻止危害的目的。这种形式的问题是，有些用户为了自身安全会在机器上运行一些查毒程序（比如QQ医生之类）。这样疫苗就会被误认为是病毒，又要废很多口舌。  

解决之道  
最新的解决方案是将system32/drivers目录单独分配给一个用户，而不赋予administror修改的权限。虽然这样能解决，但以后安装驱动就是一件头疼的事了。  

最新动向  
好像机器狗的开发以停止了，从样本放出到现在也没有新的版本被发现，这到让我们非常担心，因为虽着研究的深入，现在防御的手段都是针对病毒工作原理的，一但机器狗开始更新，稍加改变工作原理就能大面积逃脱普遍的防御手段，看来机器狗的爆发只是在等待，而不是大家可以高枕了。

目前网上流传一种叫做机器狗的病毒，此病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害极大，可穿透目前技术条件下的任何软件硬件还原！基本无法靠还原抵挡。目前已知的所有还原产品，都无法防止这种病毒的穿透感染和传播。
          机器狗运行后会释放一个名为PCIHDD.SYS的驱动文件，与原系统中还原软件驱动进行硬盘控制权的争夺，并通过替换userinit.exe文件，实现开机启动。

临时解决办法：
一是在路由上封IP：
ROS脚本,要的自己加上去
/ ip firewall filter
add chain=forward content=yu.8s7.net action=reject comment="DF6.0"
add chain=forward content=www.tomwg.com action=reject

二是在c:\windows\system32\drivers下建立免疫文件： pcihdd.sys ，

三是把他要修改的文件在做母盘的时候，就加壳并替换。

在%systemroot%\system32\drivers\目录下 建立个 明字 为 pcihdd.sys 的文件夹   设置属性为 任何人禁止

批处理

md %systemroot%\system32\drivers\pcihdd.sys

cacls %systemroot%\system32\drivers\pcihdd.sys /e /p everyone:n

cacls %systemroot%\system32\userinit.exe /e /p everyone:r

exit

http://www.0451163.cn/bbs/dispbbs.asp?boardid=3&id=7575

该病毒为一个木马下载器，病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害极大，可穿透目前技术条件下的任何软件硬件还原！基本无法靠还原抵挡，可通过以下几方面查看是否已中毒.
激发病毒后会在SYSTEM32下修改userinit.exe ，可通过查看版本信息看出，查看DRVERS目录下产生pcihdd.sys驱动文件，会在启动项加载“cmdbcs,mppds,upxdnd,winform,msccrt,avpsrv,msimms32,dbghlp32,diskman32"启动项，并在windows目录会产生以上相应文件，机器重启后以上设置都会真实保存.
问：我们是怎么来防御的？
通过禁止文件访问的形式来禁止病毒的运行，可自由设置配置文件并方便的加入到客户机启动运行列表项，具体操作如下:
一、驱动内核层防御：( 从原理上防御 )
.. 针对机器狗病毒对网吧业带来的巨大影响，强者公司经过日夜奋战，终于反编译了该木马大部分代码，提供机器狗病毒的终级解决方案，本着对用户负责的态度，现维护系统免费加入“驱动内核级”机器狗病毒防御，彻底杜绝机器狗病毒包括其变种的破坏.
关键它是完全免费的.
二、禁止文件访问法：( 初级防御)
1．下载 "机器狗病毒防御补丁点击下载" , 把UnCracker.exe和UnCracker.ini两个文件放在服务端的一个共享目录下,（如：\\qzse\netgame1），并保证在客户机可以正常访问这个路径；
2．打开服务端主控制器在随意哪台客户机上点右键-à运行工作站命令,加上如上形象图中所设置的工作站每次启动运行列表:

3．编辑UnCracker.ini文件，如下所述：
[system]
1=c:\windows\hh.exe
2=…
[nosystem]
1=C:\WINDOWS\system32\drivers\pcihdd.sys(可防机器狗病毒)
2=d:\command.com
3=d:\Iexplores.exe
以上内容可以根据用户需求自由添加,如防止arp运行时可在配置中加入"c:\windows\system32\drivers\npf.sys","c:\windows\system32\packet.dll",
"c:\windows\system32\pthreadVC.dll","c:\windows\system32\wpcap.dll".

08月30号接到迅闪用户反馈，网络出现一种专门针对网吧还原产品进行破坏的病毒。此病毒运行后会释放一个PCIHDD.SYS 的驱动文件，通过特定的端口在系统盘system32下替换userinit.exe 文件，实现开机自启动，并能自动从网络上获取最新的病毒来感染用户的计算机系统。

如果判别自已是否中此病毒？

通过对病毒样本的分析，我们发现此病毒启动后就会修改userinit.exe 这个文件，在系统目录system32文件中，找到userinit.exe 点击右键查看属性，如果在属性窗口中看不到该文件的＜版本＞标签的话，说明已经中了“机器狗”病7。如果有＜版本＞标签则正常。

怎样预防“机器狗”病毒？

对于检查确认没有中病毒的用户，强烈建议你立即升级迅闪还原版本为 迅闪还原 V3.0 build 0905 版本，可以彻底免疫此病毒及其变种。

升级方法如下：

1、因为本次升级的内容较大，请务必卸载原驱动后再安装新的驱动程序。
2、升级方法有两种：逐台升级和批量升级
逐台升级：逐台卸载老版本迅闪还原（在卸载还原驱动后，使用原安装包进行反安装），然后安装新版本还原，并且在安装成功后登录还原控制界面 选择《免疫病毒》 ，在提示免疫成功后，你的计算机将具有最新病毒的免疫能力。效果如下图：

此主题相关图片如下：

批量升级：通过远程运行批处理或借助其它工具，通过客户机远程运行服务器批处理文件来完成升级。如使用迅闪的启动批处理功能：

1. C:\Recover\RecoverSetup.exe /UNINSTALL /PWD:123 /RBOOT　
   

此主题相关图片如下：

注：如果路径有中文、空格或特殊字符 请用“”符号括起 如：
“C:\Recover还原\RecoverSetup.exe” /UNINSTALL “/PWD:123!!!”

2.执行新版本还原安装，命令如下：
Copy \\server\update\*.* c:\Recover\ /Y 从共享目录拷贝新还原文件到客户机
Start c:\Recover\RecoverSetup.exe /INSTALL /SAFE:cde /PWD:123 /RBOOT

此主题相关图片如下：

3.在确认所有机器都已经安装最新版本后，再添加如下命令进行病毒免疫
Start c:\Recover\RecoverSetup.exe /PWD:123 /IVIRUS
此主题相关图片如下：

更多 机器狗 病毒 参考 天下网吧联盟http://www.txwm.com/special/mathinedog/专题