病毒标签: 病毒名称: Backdoor.Win32.Hupigon.apu 中文名称: 灰鸽子 病毒类型: 后门 文件 MD5: D09111AA995D9CF2FED255D5AF9E1246 公开范围: 完全公开 危害等级: 3 文件长度: 893,952字节 感染系统: windows98以上版本 开发工具: Borland Delphi 6.0 - 7.0 加壳类型: SVKP 1.3x 命名对照: Symentec[无] BitDefender [无] 病毒描述: 该病毒为后门类,病毒运行后删除自身,衍生病毒文件%Windir%\hacker.com.cn.exe和%System%\svkp.sys,病毒文件hacker.com.cn.exe属性为隐藏,修改注册表,启动服务,以达到随机启动的目的,用以在远程控制用户计算机。 行为分析: 1、病毒运行后释放病毒文件并且删除自身:
%Windir%\hacker.com.cn.exe %System%\svkp.sys
2、修改注册表:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY _GRAYPIGEON_HACKER.COM.CN\0000\Control\ 键值:字串:”ActiveService”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY _GRAYPIGEON_HACKER.COM.CN\0000\ 键值:字串:”DeviceDesc”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY _GRAYPIGEON_HACKER.COM.CN\0000\ 键值:字串:”Service”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVKP\0000\Control\ 键值:字串:”ActiveService”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVKP\0000\ 键值:字串:”DeviceDesc”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVKP\0000\ 键值:字串:”Service”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn\ 键值:字串:”Description”=”灰鸽子服务端程序。远程监控管理.” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn\ 键值:字串:”DisplayName”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn\ 键值:字串:”ImagePath”=”C:\WINNT\Hacker.com.cn.exe” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn\Enum\ 键值:字串:”0”=”Root\LEGACY_GRAYPIGEON_HACKER.COM.CN\0000” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\ 键值:字串:”DisplayName”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\ 键值:字串:”ImagePath”=” \??\C:\WINNT\system32\SVKP.sys” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\Enum\ 键值:字串:”0”=”Root\LEGACY_SVKP\0000”
3、病毒运行后启动服务:
显示名称:GrayPigeon_Hacker.com.cn 描述:灰鸽子服务端程序。远程监控管理. 可执行文件的路径:C:\WINNT\Hacker.com.cn.exe
注:% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32,windows95/98/me中默认的安装路径是C:\Windows\System,windowsXP中默认的安装路径是C:\Windows\System32。
-------------------------------------------------------------------------------- 清除方案: 1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程 (2) 删除病毒文件:
%Windir%\hacker.com.cn.exe %System%\svkp.sys
(3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root \LEGACY_GRAYPIGEON_HACKER.COM.CN\0000\Control\ 键值:字串:”ActiveService”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root \LEGACY_GRAYPIGEON_HACKER.COM.CN\0000\ 键值:字串:”DeviceDesc”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root \LEGACY_GRAYPIGEON_HACKER.COM.CN\0000\ 键值:字串:”Service”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root \LEGACY_SVKP\0000\Control\ 键值:字串:”ActiveService”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVKP\0000\ 键值:字串:”DeviceDesc”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVKP\0000\ 键值:字串:”Service”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \GrayPigeon_Hacker.com.cn\ 键值:字串:”Description”=”灰鸽子服务端程序。远程监控管理.” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \GrayPigeon_Hacker.com.cn\ 键值:字串:”DisplayName”=” GrayPigeon_Hacker.com.cn” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \GrayPigeon_Hacker.com.cn\ 键值:字串:”ImagePath”=”C:\WINNT\Hacker.com.cn.exe” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \GrayPigeon_Hacker.com.cn\Enum\ 键值:字串:”0”=”Root\LEGACY_GRAYPIGEON_HACKER.COM.CN\0000” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\ 键值:字串:”DisplayName”=” SVKP” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\ 键值:字串:”ImagePath”=” \??\C:\WINNT\system32\SVKP.sys” HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SVKP\Enum\ 键值:字串:”0”=”Root\LEGACY_SVKP\0000”
|