病毒名称： Backdoor.Win32.Hupigon.gs
病毒类型： 后门
文件 MD5： 3525931484CC6EA6F62D4EADB92F99AB
公开范围： 完全公开
危害等级： 中
文件长度： 284,686 字节
感染系统： Windows98以上版本
开发工具： Borland Delphi 5.0 – 6.0
加壳类型： 未知壳
命名对照： Symentec[]
Mcafee[]
病毒描述：
该病毒属后门类，是灰鸽子的变种。该病毒运行后衍生病毒文件%WINDIR%system.ini.exe，修改注册表，启动W32Time服务。该病毒在用户机器上开启后门，病毒作者可以随时进入用户机器，盗取用户的敏感信息和拷贝、删除等操作。
行为分析：
1、病毒运行后衍生病毒文件：
%WINDIR%system.ini.exe
2、修改注册表：
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG
键值: 字串: "@"="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG
键值: 字串: "0000"="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG 000
键值: 字串: " Class "="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG 000
键值: 字串: "ClassGUID "=""
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG 000Control
键值: 字串: "ActiveService "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG 000
键值: 字串: "DeviceDesc "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_OLG 000
键值: 字串: "Service "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "DisplayName"="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesolgEnum
键值: 字串: "0"="RootLEGACY_OLG 000"
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "ImagePath "="C:WINDOWSsystem.ini.exe. "
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "ObjectName "="LocalSystem"
3、启动W32Time服务：
启动W32Time服务：维护在网络上的所有客户端和服务器的时间和日期同步。如果此服务被停止，时间和日期的同步将不可用。如果此服务被禁用，任何明确依赖它的服务都将不能启动。
注：%WINDIR%是一个可变路径。病毒通过查询操作系统来决定当前windir文件夹的位置。Windows2000/NT中默认的安装路径是C:Winnt，windows95/98/me/XP中默认的安装路径是C:Windows。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%system.ini.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINESYSTEMControlSet001
EnumRootLEGACY_OLG
键值: 字串: "@"="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001
EnumRootLEGACY_OLG
键值: 字串: "0000"="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001
EnumRootLEGACY_OLG 000
键值: 字串: " Class "="LegacyDriver"
HKEY_LOCAL_MACHINESYSTEMControlSet001
EnumRootLEGACY_OLG 000
键值: 字串: "ClassGUID "="{8ECC055D-047F-11D1
-A537-0000F8753ED1}"
HKEY_LOCAL_MACHINESYSTEMControlSet001Enum
RootLEGACY_OLG 000Control
键值: 字串: "ActiveService "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001Enum
RootLEGACY_OLG 000
键值: 字串: "DeviceDesc "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001Enum
RootLEGACY_OLG 000
键值: 字串: "Service "="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "DisplayName"="olg"
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesolgEnum
键值: 字串: "0"="RootLEGACY_OLG 000"
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "ImagePath "="C:WINDOWSsystem.ini.exe. "
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesolg
键值: 字串: "ObjectName "="LocalSystem"
专家建议:
1.注意系统安装的杀毒软件是否运行正常。
2.在任务管理器中查看是否有陌生的比较可疑的进程存在。
3.尽快安装杀毒软件并开启实时监控功能。
手动查杀方法:
1.在任务管理器中看一下是否有iexplore.exe（在没有开启IE浏览器的情况下查看），有则将其结束。
2.将C:Documents and Settings（登陆系统的用户名）Local SettingsTemp文件夹清空。
3.在注册表中删除 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicessmss项和 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOncewextract_cleanup0项 。
