您现在的位置: 范文先生网 >> 理工论文 >> 服务器安全及应用 >> 正文

userinit病毒原理及其清除和预防方法

时间:2007-11-19栏目:服务器安全及应用

userinit病毒原理及其清除和预防方法
最近有一个极其恶劣的病毒替换系统中的用户userinit.exe文件,网上一般称其为“机器狗”病毒或“IMG病毒”,下面就对这个病毒的原理和清除方法进行说明。
Userinit.exe是Windows操作系统一个关键进程。用于管理不同的启动顺序,例如在建立网络链接和Windows壳的启动。进程文件为userinit或者userinit.exe,进程名称是UserInitProcess。
正因为是一个操作系统的关键进程,所有许多人能够鉴别出该进程为病毒并删除该病毒文件,可是windows重启之后蓝屏。
该病毒一般会配合其它木马病毒一起出现,该病毒的目的是利用uesinit.exe的目的是实现隐藏启动。动作流程并不复杂,比起熊猫烧香,AV终结者来说要简单不少,运行后首先会替换系统的Userinit.exe文件,病毒接着在windows/system32/drivers文件夹中生成一个名为pcihdd.sys的驱动文件,病毒正是借助这个驱动文件来实现还原软件和还原卡的^^的。我们知道还原软件和还原卡之所以能够保护硬盘数据,是因为它具有很高的权限,能够夺取硬盘的控制权,在系统启动之前,将硬盘中的数据还原,而pcihdd,sys这个文件会和还原软件或还原卡抢夺硬盘的控制权,大部分还原软件和还原卡的控制权都会被pcihdd.sys夺取,它们就失去了还原数据的能力,这样病毒就可以避开还原卡的在硬盘中安营扎寨了。

理解了这个病毒的原理,那么清除这个病毒就比较简单了。
1,用正常的userinit.exe文件替换被修改的userinit.exe文件。首先新建个文本,输入内容:
@echo off
taskkill /f /im userinit.exe
del userinit.exe /f/q/a
将这个记事本保存为kill.bat双击运行。然后从其它干净的电脑拷贝一份userinit.exe文件,将它放到system32目录中。
2,册除pcihdd.sys文件,该文件们于windows/system32/drivers文件夹中。用记事本打开们于windows/system32/drviers/etc的hosts文件,在最后添加这样一行127.0.0.1 www.fwsir.com,修改完后保存文件
3,用360安全卫士配合杀软清除系统中残留的盗号木马病毒。
4,为了更好的预防机器狗病毒,我们可以用批处理将pcihdd.sys的文件夹设置为禁止修改。批处理
md %systemroot%\system32\drivers\pcihdd.sys
cacls %systemroot%\system32\drivers\pcihdd.sys/e/p everyone:n
cacls %systemroot%\system32\userinit /e/p erveryone:r

网上流传的各种清除工具原理亦基本如上。

对这个病毒的预防基本就是不让其修改Userinit.exe文件,二是禁止修改pcihdd.sys,三是开启windows文件保护(这其实也是网吧中毒较多的原因,网吧大多用精减修改过的windows操作系统,系统文件保护功能被关闭)。

下页更精彩:1 2 3 4 下一页