Backdoor.Win32.GrayBird.ph

病毒名称： Backdoor.Win32.GrayBird.ph

中文名称： 灰鸽子（风云版）

病毒类型： 后门

文件 MD5： F1AC04CD0556855B1A0153E71AFAF31B

公开范围： 完全公开

危害等级： 4

文件长度： 280,183 字节

感染系统： Win9X以上系统

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： nSpack V2.9

UPolyX v0.5

命名对照： 驱逐舰 [Backdoor.Pigeon.775]

AVG [Backdoor.GrayBird.ma]

病毒描述：

该病毒属后门类，是灰鸽子（风云版）的变种，计算机中此病毒后会被远程控制。该病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身。修改注册表，新建服务，并以服务的方式达到随机启动的目的。

行为分析：

1 、病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身：

%WINDIR%klylgz.com.cn.exe

2 、修改注册表，新建服务，并以服务的方式达到随机启动的目的：

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe

bbs.bitsCN.com国内最早的网管论坛

键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 "

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe

键值 : 字串 : "DisplayName"="conminec.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_CONMINEC.EXE000Control

键值 : 字串 : " ActiveService "= "conminec.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe

键值 : 字串 : " ImagePath "= "C:WINDOWSklylgz.com.cn.exe"

3 、新建服务，并以服务的方式达到随机启动的目的：

服务名称： conminec.exe

显示名称： conminec.exe

描述：维护网络上计算机的更新列表

可执行文件的路径： C:WINDOWSklylgz.com.cn.exe

启动方式：自动

4 、该病毒运行后创建 IEXPLORER.EXE 进程。

5 、该病毒属灰鸽子变种，中此病毒后会被黑客远程控制用户计算机。

bitsCN.com中国网管联盟

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:WinntSystem32 ， windows95/98/me 中默认的安装路径是 C:WindowsSystem ， windowsXP 中默认的安装路径是 C:WindowsSystem32 。

--------------------------------------------------------------------------------

清除方案：

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程

IEXPLORER.EXE

(2) 删除病毒文件

%WINDIR%klylgz.com.cn.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

conminec.exe

键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 "

HKEY_LOCAL_MACHINESYSTEMControlSet001Services blog.bitsCN.com网管博客等你来搏

conminec.exe

键值 : 字串 : "DisplayName"="conminec.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_CONMINEC.EXE000Control

键值 : 字串 : " ActiveService "= "conminec.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

conminec.exe

键值 : 字串 : " ImagePath "= "C:WINDOWSklylgz.com.cn.exe"

关闭并禁止服务： conminec.exe