「機器狗」病毒（圖標為索尼機器狗阿寶）屬木馬下載器，感染後自動下載木馬病毒，威脅帳號安全。2007年8月29日首現樣本，此前論壇無證據。可穿透目前所有軟/硬件還原產品（還原卡、冰點），基本無法靠還原抵擋。

工作原理

• 釋放 pcihdd.sys 到 drivers 目錄，作為底層硬盤驅動提高優先級，接管還原卡/冰點的硬盤控制權。
• 替換 userinit.exe 實現開機啟動。
• 訪問指定網址自動下載大量病毒與惡意插件。
• 修改啟動管理器，內網傳播導致全網電腦自動重啟。

技術點評：Hook 方式接管硬盤驅動效率低、破壞還原非最優、應用範圍極窄（僅國內還原廠商範圍），疑為行業內鬥。對網吧針對性極強，破壞力可超「熊貓燒香」。目前各大殺軟已能查殺，免疫補丁多為疫苗形式（無害樣本佔位 drivers 欺騙病毒），但可能被查毒工具誤殺。

識別關鍵

查看 C:\Windows\system32\userinit.exe 屬性：無「版本」標簽即中毒；有版本標簽則正常。

免疫與徹底清除方案

方案一（批處理自動化）：

@echo off
cd /d %SystemRoot%\system32
copy /y userinit.exe FUCKIGM.exe >nul
echo @echo off >>userinit.bat
echo start FUCKIGM.exe >>userinit.bat
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "C:\WINDOWS\system32\userinit.bat," /f >nul
del /f /q %0

原理：備份正常 userinit.exe 為 FUCKIGM.exe，創建 userinit.bat 調用它，修改註冊表 Winlogon\Userinit 指向批處理，病毒無法修改批處理，開機正常運行。缺點：經典模式啟動會一閃黑框。

方案二（權限鎖定）：

md %systemroot%\system32\drivers\pcihdd.sys
cacls %systemroot%\system32\drivers\pcihdd.sys /e /p everyone:n
cacls %systemroot%\system32\userinit.exe /e /p everyone:r

創建同名目錄佔位防病毒寫入驅動，鎖定 userinit.exe 僅讀。

臨時封網方案（路由層）： 封鎖病毒下載域名 yu.8s7.net、www.tomwg.com。

徹底清除後重啟並打補丁，否則易再中招。