当前位置: 王朝网络 >> 百科 >> Backdoor.Win32.Hupigon.cot

Backdoor.Win32.Hupigon.cot

王朝百科·作者佚名 2010-02-19

窄屏简体版字體: 小|中|大|超大

病毒名称： Backdoor.Win32.Hupigon.cot

中文名称：灰鸽子

病毒类型：后门

文件 MD5： E30502E5768329F3F5C52B8BDA2B7643

公开范围：完全公开

危害等级： 3

文件长度： 486,912 字节

感染系统： windows98以上版本

开发工具： Borland Delphi 6.0-7.0

加壳类型： ASProtect 1.2x [New Strain]

命名对照：驱逐舰[BackDoor.Pigeon.377]

BitDefender [无

病毒描述：

该病毒属后门类，病毒运行后衍生病毒文件到系统目录下，并删除自身，修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的，该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。

行为分析：

1、病毒运行后衍生病毒文件到系统目录下，并删除自身：

%WINDIR%lsass.exe

2、修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的：

删除的注册表项：

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

NtmsSvcParameters

键值: 字串: "ServiceDll"=" %SystemRoot%system32

tmssvc.dll"

修改的注册表项：

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesNtmsSvc

新建键值: 字串: " ImagePath "="C:WINDOWSlsass.exe"

原键值: 字串: " ImagePath "=" %SystemRoot%system32

svchost.exe -k netsvcs"

新建的注册表项：

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_NTMSSVC000Control

键值: 字串: *NewlyCreated*""="0"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_NTMSSVC000Control

键值: 字串: "ActiveService "="NtmsSvc"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_NTMSSVC000

键值: 字串: "DeviceDesc "="Removable Storage"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_NTMSSVC000

键值: 字串: "Service "="NtmsSvc"

创建服务：

服务名称：NtmsSvc

显示名称：Removable Storage

描述：管理可移动媒体、驱动程序和库。

可执行文件的路径：C:WINDOWSlsass.exe

启动类型：自动

4、该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%lsass.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

删除的注册表项：

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

NtmsSvcParameters

键值: 字串: "ServiceDll"=" %SystemRoot%system32