传说中进程守护的灰鸽子(Backdoor.Win32.Hupigon)
来源:互联网 发布:苹果禁止删除软件 编辑:程序博客网 时间:2024/05/16 08:18
文件名称:Time.exe
文件大小:486400 bytes
AV命名:Backdoor.Win32.Hupigon.fel
中文别名:灰鸽子
加壳方式:SVKP 1.3x
编写语言:Borland Delphi 6.0 - 7.0
病毒类型:后门
文件MD5:f4b4eb6a158e575d33a18f6c1303e52a
文件SHA1:3faa0f93a0a12361fb556c842d30d8fa18a3a420
行为分析:
1、释放病毒文件:
C:/Program Files/Common Files/Microsoft Shared/MSInfo/paramstr.txt 45 字节
C:/Program Files/Common Files/Microsoft Shared/MSInfo/time.exe 486400 字节
C:/Windows/system32/_time.exe 486400 字节
还有个壳释放的驱动SVKP.sys,忽略```
2、调用并控制IE,利用Hook技术隐藏进程。
3、并控制系统自带计算器(calc.exe)出现在进程,实现进程守护。
(这点比较恶心,calc.exe本身并没有问题)
4、注册系统服务,为Windows。指向的是time.exe。
解决方法:
下载冰刃和SREng(点击进入下载页面):
SREng2.5冰刃
1、下载的东西直接放桌面,断开网络。
2、打开冰刃,设置禁止线程创建,确定。
3、打开进程管理,看到IE和calc.exe进程关闭掉(红色显示)
4、点冰刃“文件”选项,删除:
C:/Program Files/Common Files/Microsoft Shared/MSInfo/paramstr.txt 45 字节
C:/Program Files/Common Files/Microsoft Shared/MSInfo/time.exe 486400 字节
C:/Windows/system32/_time.exe 486400 字节
5、重启并监视,重启后打开SREng,删除:
服务项:
[WINDOWS / WINDOWS][Stopped/Auto Start]
<C:/Program Files/Common Files/Microsoft Shared/MSINFO/time.exe><N/A>
- 传说中进程守护的灰鸽子(Backdoor.Win32.Hupigon)
- 一个下载灰鸽子Backdoor.Win32.Hupigon.cge的网站
- 顽固的灰鸽子 Backdoor.Gpigeon.uql 变种 Backdoor.Win32.Hupigon.cda
- 某县政府网下载的文件变成灰鸽子 Backdoor.Win32.Hupigon.aku 了
- 斩杀灰鸽子Backdoor.Gpigeon.gqs/Backdoor.Win32.Hupigon.cce等
- 抓住一只“肥”灰鸽子Backdoor.Win32.Hupigon.cpf(第2版)
- Backdoor.Win32.Hupigon.cj[AVP]
- 免费刷会员和六钻工具?小心通过QQ传播的灰鸽子Backdoor.Win32.Gpigeon.gem
- 遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等1
- 遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等2
- 某雅思培训网站被挂 server.exe / Dropper.Win32.BlackHole.a / Backdoor.Win32.Hupigon.jmq
- 又收到关于灰鸽子Backdoor.Gpigeon.uql的问题
- 续:又收到关于灰鸽子Backdoor.Gpigeon.uql的问题
- 一位网友的电脑中了灰鸽子Backdoor.Gpigeon.iir
- 类似灰鸽子的木马的清除 Backdoor.Gpigeon.bhv Backdoor.Gpigeon.cdd
- [2006-04-15]明修栈道、暗渡陈仓的灰鸽子BackDoor.Gpigeon.5.dq(第3版)
- [07-28] 一个下载灰鸽子Backdoor.Gpigeon.2006等病毒的网站(第2版)
- 某论坛被加入下载灰鸽子Backdoor.Gpigeon.2006.bbe等恶意程序的代码
- Force Windows spool file use jobid as its name
- 记帐系统从需求到实现 ----需求的捕获
- 关于 "CS0016: 未能写入输出文件" 的解决办法 编译器错误信息: CS0016: 未能写入输出文件“c:/WINDOWS/Microsoft.NET/Framework/v1.1.4322/Temporary ASP.NET Files/liste
- 用来读取QQwry.dat的java代码
- 分层中数据库的简单操作?
- 传说中进程守护的灰鸽子(Backdoor.Win32.Hupigon)
- PictureAlbum2007.zip(Trojan.Win32.Delf.ads )
- Javascript数组及其操作
- Xiaohao.exe(Virus.Win32.Agent.o)
- msconfig32.exe(Dropper.Win32.Agent.nzi)
- GOTO 语句的魅力
- 无法以main为入口运行C++程序
- 试验网站#1搜索引擎优化收录情况记录(断续运行)2007-8-15
- 试验网站#3搜索引擎优化收录情况记录2007-8-15