Backdoor.Win32.Hupigon.cax

該病毒屬後門類，是灰鴿子變種。病毒運行後複製自身到%system32%下，修改註冊表，新建服務，並以服務的方式添加啟動項，以達到隨機啟動的目的。該病毒掃描用戶系統信息，插入進程Internet Explore和Explorer，可以遠程控制用戶計算機，上傳、下載檔案，如果用戶計算機有視頻設備則進行視頻監控，使用HTTP代理命令進行傳輸檔案。

基本介紹

• 中文名：灰鴿子變種
• 外文名：Backdoor.Win32.Hupigon.cax
• 公開範圍：完全公開
• 危害等級：4

簡介

病毒名稱： Backdoor.Win32.Hupigon.cax

中文名稱： 灰鴿子變種

病毒類型： 後門

檔案 MD5： 3E3B7B399AB7F2ECF1A4514A7D004B92

檔案長度： 258,048 位元組

感染系統： windows98以上版本

開發工具： Borland Delphi 6.0 - 7.0

加殼類型： UPX 0.89.6 - 1.02 / 1.05 - 1.22

命名對照： 驅逐艦[Backdoor.Pigeon.396]

日月光華 [Hupigon.cax]

行為分析

1、病毒運行後複製自身到%system32%下：

%system32%\su.exe

2、修改註冊表，新建服務，並以服務的方式添加啟動項，以達到隨機啟動的目的：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet

\Services\Remote SQL\

鍵值: 字串: " ImagePath "="C:\WINDOWS\system32\su.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet

\Services\Remote SQL\

鍵值: 字串: " Description "="在區域網路以及廣域網環境中為企業提供路由服務。"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum

\Root\LEGACY_REMOTE_SQL\0000\Control\

鍵值: 字串: " ActiveService "="Remote SQL"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum

\Root\LEGACY_REMOTE_SQL\0000\

鍵值: 字串: " DeviceDesc "="Routing and Remote SqlServer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum

\Root\LEGACY_REMOTE_SQL\0000\

鍵值: 字串: " Legacy "="1"

新建服務

服務名稱：remote SQL

顯示名稱：Routing and Remote SqlServer

描述：在區域網路以及廣域網環境中為企業提供路由服務。

執行檔的路徑：C:\WINDOWS\system32\su.exe

啟動類型：自動

3、該病毒掃描用戶系統信息，插入進程Internet Explorer和Explorer。

4、可以遠程控制用戶計算機，上傳、下載檔案，如果用戶計算機有視頻設備則進行視頻監控，使用HTTP代理命令進行傳輸檔案。

註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

(2) 刪除病毒檔案

%system32%\su.exe

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet

\Services\Remote SQL\

鍵值: 字串: " ImagePath "="C:\WINDOWS\system32\su.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Remote SQL\

鍵值: 字串: " Description "="在區域網路以及廣域網環境中為企業提供路由服務。"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root

\LEGACY_REMOTE_SQL\0000\Control\

鍵值: 字串: " ActiveService "="Remote SQL"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root

\LEGACY_REMOTE_SQL\0000\

鍵值: 字串: " DeviceDesc "="Routing and Remote SqlServer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root

\LEGACY_REMOTE_SQL\0000\

鍵值: 字串: " Legacy "="1"

終止服務：Routing and Remote SqlServer

啟動類型改為：已禁止