【轉貼】注意防止機器狗病毒

smith

機器狗的生前身后
曾經有很多人說有穿透還原卡、冰點的病毒，但是在各個論壇都沒有樣本證據，直到2007年8月29日終于有人貼出了一個樣本。這個病毒沒有名字，圖標是SONY的機器狗阿寶，就像前輩熊貓燒香一樣，大家給它起了個名字叫機器狗。

傳說中的機器狗

工作原理
機器狗本身會釋放出一個pcihdd.sys到drivers目錄，pcihdd.sys是一個底層硬盤驅動，提高自己的優先級接替還原卡或冰點的硬盤驅動，然后訪問指定的網址，這些網址只要連接就會自動下載大量的病毒與惡意插件。然后修改接管啟動管理器，最可怕的是，會通過內部網絡傳播，一臺中招，能引發整個網絡的電腦全部自動重啟。

重點是，一個病毒，如果以hook方式入侵系統，接替硬盤驅動的方式效率太低了，而且毀壞還原的方式這也不是最好的，還有就是這種技術應用范圍非常小，只有還原技術廠商范圍內有傳播，在這方面國際上也只有中國在用，所以，很可能就是行業內杠。

對于網吧學校而言，機器狗就是劍指網吧學校而來，針對所有的還原產品設計，可預見其破壞力很快會超過熊貓燒香。好在現在很多免疫補丁都以出現，發稿之日起，各大殺毒軟件都以能查殺。

免疫補丁之爭
現在的免疫補丁之數是疫苗形式，以無害的樣本復制到drivers下，欺騙病毒以為本身以運行，起到阻止危害的目的。這種形式的問題是，有些用戶為了自身安全會在機器上運行一些查毒程序（比如QQ醫生之類）。這樣疫苗就會被誤認為是病毒，又要廢很多口舌。

解決之道
最新的解決方案是將system32/drivers目錄單獨分配給一個用戶，而不賦予administror修改的權限。雖然這樣能解決，但以后安裝驅動就是一件頭疼的事了。

最新動向
好像機器狗的開發以停止了，從樣本放出到現在也沒有新的版本被發現，這到讓我們非常擔心，因為雖著研究的深入，現在防御的手段都是針對病毒工作原理的，一但機器狗開始更新，稍加改變工作原理就能大面積逃脫普遍的防御手段，看來機器狗的爆發只是在等待，而不是大家可以高枕了。目前我己發現機器狗病毒與各類arp病毒結合起來,威金病毒都包含!可以說ARP病毒，大大的推動了ROS應用，機械狗，可能會大大的推動無盤的應用!
機器狗是一個木馬下載器，感染后會自動從網絡上下載木馬、病毒，危及用戶帳號的安全。
機器狗運行后會釋放一個名為PCIHDD.SYS的驅動文件，與原系統中還原軟件驅動進行硬盤控制權的爭奪，并通過替換userinit.exe文件，實現開機啟動。

那么如何識別是否已中毒呢？

是否中了機器狗的關鍵就在 Userinit.exe 文件，該文件在系統目錄的 system32 文件夾中，點擊右鍵查看屬性，如果在屬性窗口中看不到該文件的版本標簽的話，說明已經中了機器狗。如果有版本標簽則正常。

　　目前，網絡流行以下解決方法，或者可以在緊急情況下救急：
　　1、首先在系統system32下復制個無毒的userinit.exe，文件名為FUCKIGM.exe(文件名可以任意取)，這就是下面批處理要指向執行的文件！也就是開機啟動userinit.exe的替代品！而原來的userinit.exe保留！其實多復制份的目的只是為了多重保險！可能對防止以后變種起到一定的作用。
　　2、創建個文件名為userinit.bat的批處理（文件名也可任意取，但要和下面說到的注冊表鍵值保持一致即可），內容如下：
　　 start FUCKIGM.exe (呵呵，夠簡單吧？)
　　 3、修改注冊表鍵值，將userinit.exe改為userinit.bat。內容如下：
　　
　　 Windows Registry Editor Version 5.00
　　 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
　　 "Userinit"="C:\\WINDOWS\\system32\\userinit.bat,"
　　就這3步，讓這條狗再也兇不起來！這是在windows 2003測試的，雙擊機器狗后，沒什么反應，對比批處理也是正常，即這狗根本沒改動它！開關機游戲均無異常！但唯一美中不足的是，采用經典模式開機的啟動時會出現個一閃而過的黑框！

狗再也兇不起來了


　　如果嫌麻煩，也不要緊。上面三條批處理網友已搞好了，直接復制下面的這個存為批處理執行就OK了。三步合二為一
　　 @echo off
　　 :::直接復制系統system32下的無毒userinit.exe為FUCKIGM.exe
　　 cd /d %SystemRoot%\system32
　　 copy /y userinit.exe FUCKIGM.exe >nul
　　 :::創建userinit.bat
　　 echo @echo off >>userinit.bat
　　 echo start FUCKIGM.exe >>userinit.bat
　　 :::注冊表操作
　　 reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit / t REG_SZ /d "C:\WINDOWS\system32\userinit.bat," /f >nul
　　
　　 :::刪掉自身（提倡環保）
　　 del /f /q %0
　　當然，如果實在不行，下載程序killigm。然后直接解壓運行里面的程序:機器狗免疫補丁.bat 執行就可以了.
　　網上流傳的另一種新的變種的防止方法 :
　　 開始菜單運行.輸入CMD
　　cd ……到drivers
　　md pcihdd.sys
　　cd pcihdd.sys
　　md 1...\
　　可防止最新變種。請注意：此法只能是防止，對于殺機器狗還得靠最新的殺毒程序才行。
　　針對該病毒，反病毒專家建議廣大用戶及時升級殺毒軟件病毒庫，補齊系統漏洞，上網時確保打開“網頁監控”、“郵件監控”功能；禁用系統的自動播放功能，防止病毒從U盤、MP3、移動硬盤等移動存儲設備進入到計算機；登錄網游賬號、網絡銀行賬戶時采用軟鍵盤輸入賬號及密碼。

[ 本帖最后由 smith 于 2007-12-4 23:54 編輯 ]

smith

去年年底的是熊貓燒香，今年年底很可能是機器狗+ARP，尤其是網吧類、學校類機器更容易中招，病毒夠狠！！！
機器狗現在還好防，怕的是一旦變種，問題就大了。俺覺得Windows系統防病毒（包括機器狗病毒）很重要的一環就是權限，權限弄好了，很大程度能起到防病毒的作用，建議分區格式一定要NTFS，上網時盡量用user權限，平時也盡量少用Administrators組權限（能不用就不用）。

smith

千萬不要小瞧Administrators權限，有時可能會出麻煩。感興趣的自己做個試驗，看下面的圖


已經把該文件夾的權限設為不允許任何人訪問，可fastcopy依然可以輕松把這個文件夾刪除掉。它是怎么繞過NTFS權限實現刪除的？

第二次實驗：把所有權限都設為拒絕，fastcopy依舊可以刪除數據。

這里，關鍵在于權限！！！fastcopy軟件具有提升自身權限的代碼，fastcopy.cpp 25行開始：

1. 
   
2. BOOL SetPrivilege(LPTSTR pszPrivilege, BOOL bEnable)
   
3. {
   
4.     HANDLE           hToken;
   
5.     TOKEN_PRIVILEGES tp;
   
6. 
   
7.     if (!::OpenProcessToken(::GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
   
8.         return FALSE;
   
9. 
   
10.     if (!::LookupPrivilegeValue(NULL, pszPrivilege, &tp.Privileges[0].Luid))
    
11.         return FALSE;
    
12. 
    
13.     tp.PrivilegeCount = 1;
    
14. 
    
15.     if (bEnable)
    
16.          tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
17.     else
    
18.          tp.Privileges[0].Attributes = 0;
    
19. 
    
20.     if (!::AdjustTokenPrivileges(hToken, FALSE, &tp, 0, (PTOKEN_PRIVILEGES)NULL, 0))
    
21.          return FALSE;
    
22. 
    
23.     if (!::CloseHandle(hToken))
    
24.          return FALSE;
    
25. 
    
26.     return TRUE;
    
27. }
    

復制代碼

而要想提升自身權限，條件必須是Administrators組用戶即管理員組，當然，SYSTEM組權限更高。如果在User組，Fastcopy則不能提升權限。