Backdoor.Win32.Hupigon.cbs

該病毒屬後門類，是黑防灰鴿子變種，病毒圖示偽裝成播放器realplayer的圖示，用以迷惑用戶。病毒運行後複製自身到%WINDIR%下，修改註冊表，新建服務，並以服務的方式添加啟動項，以達到隨機啟動的目的。該病毒掃描用戶系統信息，插入進程IExplore，可以遠程控制用戶計算機，上傳、下載檔案，如果用戶計算機有視頻設備則進行視頻監控。

基本介紹

• 中文名：灰鴿子變種
• 外文名：Backdoor.Win32.Hupigon.cbs
• 病毒類型：後門
• 公開範圍：完全公開

基本概況

病毒名稱： Backdoor.Win32.Hupigon.cbs

中文名稱： 灰鴿子變種

病毒類型： 後門

檔案 MD5： 7A4E4C52FE778DD80C068A3E2C7752A9

公開範圍： 完全公開

危害等級： 4

檔案長度： 302,592 位元組

感染系統： windows98以上版本

開發工具： Borland Delphi 6.0 - 7.0

加殼類型： UPX 0.89.6 - 1.02 / 1.05 - 1.22

命名對照： 驅逐艦[Backdoor.Pigon.610]

BitDefender [Backdoor.]

行為分析

1、該病毒灰鴿子變種，病毒圖示偽裝成播放器realplayer的圖示，用以迷惑用戶。

2、病毒運行後複製自身到%WINDIR%下：

%WINDIR%\hacker.com.cn.exe

3、修改註冊表，新建服務，並以服務的方式添加啟動項，以達到隨機啟動的目的：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " Description "="systm"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " DisplayName "="systm"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: "0"="Root\LEGACY_SYSTM\0000"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: " Count "="1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: " NextInstance "="1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " ErrorControl "="0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " ImagePath "="C:\WINDOWS\Hacker.com.cn.exe."

新建服務：

服務名稱：systm

顯示名稱：systm

描述：systm

執行檔的路徑：C:\WINDOWS\Hacker.com.cn.exe

啟動類型：自動

4、該病毒掃描用戶系統信息，插入進程IExplore。

5、該病毒可以遠程控制用戶計算機，上傳、下載檔案，如果用戶計算機有視頻設備則進行視頻監控。

註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

(2) 刪除病毒檔案

%WINDIR%\hacker.com.cn.exe

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " Description "="systm"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " DisplayName "="systm"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: "0"="Root\LEGACY_SYSTM\0000"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: " Count "="1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\Enum\

值: 字元串: " NextInstance "="1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " ErrorControl "="0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\systm\

值: 字元串: " ImagePath "="C:\WINDOWS\Hacker.com.cn.exe."

關閉服務：

服務名稱：systm

顯示名稱：systm

描述：systm

執行檔的路徑：C:\WINDOWS\Hacker.com.cn.exe

啟動類型改為：已禁止