userinit病毒原理及其清除和預(yù)防方法

userinit病毒原理及其清除和預(yù)防方法
最近有一個極其惡劣的病毒替換系統(tǒng)中的用戶userinit.exe文件，網(wǎng)上一般稱其為“機(jī)器狗”病毒或“IMG病毒”，下面就對這個病毒的原理和清除方法進(jìn)行說明。
Userinit.exe是Windows操作系統(tǒng)一個關(guān)鍵進(jìn)程。用于管理不同的啟動順序，例如在建立網(wǎng)絡(luò)鏈接和Windows殼的啟動。進(jìn)程文件為userinit或者userinit.exe，進(jìn)程名稱是UserInitProcess。
正因?yàn)槭且粋�操作系統(tǒng)的關(guān)鍵進(jìn)程，所有許多人能夠鑒別出該進(jìn)程為病毒并刪除該病毒文件，可是windows重啟之后藍(lán)屏。
該病毒一般會配合其它木馬病毒一起出現(xiàn)，該病毒的目的是利用uesinit.exe的目的是實(shí)現(xiàn)隱藏啟動。動作流程并不復(fù)雜,比起熊貓燒香,AV終結(jié)者來說要簡單不少,運(yùn)行后首先會替換系統(tǒng)的Userinit.exe文件，病毒接著在windows/system32/drivers文件夾中生成一個名為pcihdd.sys的驅(qū)動文件，病毒正是借助這個驅(qū)動文件來實(shí)現(xiàn)還原軟件和還原卡的^^的。我們知道還原軟件和還原卡之所以能夠保護(hù)硬盤數(shù)據(jù)，是因?yàn)樗�具有很高的�?quán)限，能夠奪取硬盤的控制權(quán)，在系統(tǒng)啟動之前，將硬盤中的數(shù)據(jù)還原，而pcihdd,sys這個文件會和還原軟件或還原卡搶奪硬盤的控制權(quán)，大部分還原軟件和還原卡的控制權(quán)都會被pcihdd.sys奪取，它們就失去了還原數(shù)據(jù)的能力，這樣病毒就可以避開還原卡的在硬盤中安營扎寨了。

理解了這個病毒的原理，那么清除這個病毒就比較簡單了。
1，用正常的userinit.exe文件替換被修改的userinit.exe文件。首先新建個文本，輸入內(nèi)容：
@echo off
taskkill /f /im userinit.exe
del userinit.exe /f/q/a
將這個記事本保存為kill.bat雙擊運(yùn)行。然后從其它干凈的電腦拷貝一份userinit.exe文件，將它放到system32目錄中。
2，冊除pcihdd.sys文件，該文件們于windows/system32/drivers文件夾中。用記事本打開們于windows/system32/drviers/etc的hosts文件，在最后添加這樣一行127.0.0.1 m.panasonaic.com，修改完后保存文件
3，用360安全衛(wèi)士配合殺軟清除系統(tǒng)中殘留的盜號木馬病毒。
4，為了更好的預(yù)防機(jī)器狗病毒，我們可以用批處理將pcihdd.sys的文件夾設(shè)置為禁止修改。批處理
md %systemroot%\system32\drivers\pcihdd.sys
cacls %systemroot%\system32\drivers\pcihdd.sys/e/p everyone:n
cacls %systemroot%\system32\userinit /e/p erveryone:r

網(wǎng)上流傳的各種清除工具原理亦基本如上。

對這個病毒的預(yù)防基本就是不讓其修改Userinit.exe文件，二是禁止修改pcihdd.sys，三是開啟windows文件保護(hù)（這其實(shí)也是網(wǎng)吧中毒較多的原因，網(wǎng)吧大多用精減修改過的windows操作系統(tǒng)，系統(tǒng)文件保護(hù)功能被關(guān)閉）。

【userinit病毒原理及其清除和預(yù)防方法】相關(guān)文章：

電解原理及其應(yīng)用08-17

原電池原理及其應(yīng)用08-17

淺論“內(nèi)化”原理及其德育意義08-17

鍵盤事件的掛鉤監(jiān)控原理及其應(yīng)用08-19

學(xué)習(xí)的原理與方法：學(xué)習(xí)的遷移08-16

學(xué)習(xí)的原理與方法：學(xué)習(xí)策略08-16

學(xué)習(xí)的原理與方法：學(xué)習(xí)的動機(jī)08-16

化學(xué)教案－原電池原理及其應(yīng)用08-17

傳染病及其預(yù)防教學(xué)反思08-24

傳染病及其預(yù)防教學(xué)反思04-03