文档编号:98
浏览:8136 评分:649
最后更新于:2008-08-15

       近期，一种可以穿透还原软件与硬件还原卡的机器狗病毒异常肆虐。此病毒通过pcihdd.sys驱动文件抢占还原软件的硬盘控制权。并修改用户初始化文件userinit.exe来实现隐藏自身的目的。此病毒为一个典型的网络架构木马型病毒，病毒穿透还原软件后将自己保存在系统中，定期从指定的网站下载各种木马程序来截取用户的帐号信息。
【故障现象】
机器狗病毒为一个木马下载器，病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害极大，可穿透目前技术条件下的任何软件硬件还原！基本无法靠还原抵挡，可通过以下几方面查看是否已中毒：
1、激发病毒后会在SYSTEM32下修改userinit.exe，可通过查看版本信息看出，该文件在系统目录的 system32 文件夹中，点击右键查看属性，如果在属性窗口中看不到该文件的版本标签的话，说明已经中了机器狗，如果有版本标签则正常。
2、查看DRVERS目录下产生pcihdd.sys驱动文件，会在启动项加载“cmdbcs,mppds,upxdnd,winform,msccrt,avpsrv,msimms32,dbghlp32,diskman32”启动项，并在windows目录会产生以上相应文件，机器重启后以上设置都会真实保存。

【运行原理】
机器狗是一个木马下载器，感染后会自动从网络上下载木马、病毒，危及用户帐号的安全。机器狗运行后会释放一个名为PCIHDD.SYS的驱动文件，与原系统中还原软件驱动进行硬盘控制权的争夺，并通过替换userinit.exe文件，实现开机启动。

【HiPER上的快速查找】
从HiPER的WebUI--上网监控的“外网地址”中可以看到有内网主机和以下的IP地址发生连接，相关网站及IP地址：
tomwg.com
8s7.net
58.221.254.103
218.30.64.194
60.190.118.211
60.191.124.236

【PC上的解决办法】
对于已中毒的用户，建议将病毒主机断网杀毒、恢复系统镜像或重做系统。

【VSRTAT软件版本及之前HiPER上的解决办法】
艾泰路由器可以在艾泰设备的“高级配置”-“业务管理”中，配置策略禁止下列域名和IP抵制，防止中毒主机上网下载其他病毒。
tomwg.com
8s7.net
58.221.254.103
218.30.64.194
60.190.118.211
60.191.124.236
1)假设用户户局域网段为 192.168.0.0/24，在WebUI--高级配置--组管理作如下配置（用户应该根据实际使用的 IP地址段进行组 IP地址段指定）：
 
2)WebUI--高级配置--业务管理--业务策略配置，建立url过滤策略“f_1”（可以自定义名称），屏蔽目的地址为tomwg.com的域名，按照下图进行配置，保存。

 
   3）WebUI 高级配置 业务管理 业务策略列表中，可以查看到上一步建立的“f_1”的策略（“dns”、“dhcp”为系统自动生成的允许 dns 和 dhcp 数据包的策略，不必修改），同时系统自动生成一条名称为“grp1_other”的策略，该策略屏蔽了所有外出的数据包，为了保障其他上网的正常进行，需要将此策略动作编辑为“允许” 。

 
4）在上表中，单击策略名“grp1_other”，在下面的表项中，将动作由“禁止” 编辑为“ 允许”，保存。

 
5)重复步骤 2），将其他病毒链接URL和IP 等关闭（网站域名详见上文提到的相关网站和IP地址）。

 
 
 
6）WebUI--高级配置--业务管理--全局配置中，取消“允许其他用户”的选中，选中“启用业务管理”，保存。

注意：
1） 配置之前不能有命令生成的业务管理策略存在，否则可能导致 Web 界面生成的业务管理策略工作异常或者不生效。
2） 如果，已经有工作组存在，并且在业务管理中配置了策略，必须在 WebUI 高级配置-组管理中，将该网段所有用户分配在相关的组中，然后在 WebUI-高级配置-业务管理中将每个组的外网相关病毒链接url或IP地址设为禁止访问。

【ReOS2008软件版本HiPER上的解决办法】
艾泰路由器可以在艾泰设备的“防火墙”中，配置访问控制策略禁止下列域名和IP抵制，防止中毒主机上网下载其他病毒。
tomwg.com
8s7.net
58.221.254.103
218.30.64.194
60.190.118.211
60.191.124.236
1)假设用户户局域网段为 192.168.0.0/24，10.10.10.1/24两个网段，在WebUI—防火墙—地址组作如下配置（用户应该根据实际使用的 IP地址段进行组 IP地址段指定）：

 
2)WebUI—服务组做如下配置，建立机器狗病毒的网站服务组。保存。

 
3)WebUI—地址组做如下配置，建立机器狗病毒的IP地址组。保存。
 

   4）WebUI-防火墙-访问控制策略建立两条策略。

A、禁止访问机器狗病毒的链接网站tomwg.com和8s7.net。

 
B、禁止访问机器狗病毒的链接外网IP。

 
5）WebUI—防火墙—访问控制策略-全局配置中，选中“启用访问控制策略”，保存。