Backdoor.win32.hupigon.x

該病毒屬“灰鴿子”的一個變種，感染該病毒後，會釋放出5個檔案，分別位於%windir%、%windir%\TEMP和系統盤根目錄下，感染後在根目錄下釋放 UNINSTAL.BAT 檔案，該批處理檔案用於刪除原病毒體。註冊系統服務，從而以服務的方式啟動自身。

基本介紹

• 中文名：Backdoor.win32.hupigon.x
• 病毒類型：後門
• 危害等級：高
• 檔案長度：472

病毒簡介

感染系統： windows 98 以上版本

開發工具： Delphi

加殼類型： ASProtect

行為分析

1 、創建互斥量“ Gpigeon_Shared_MUTEX ”。

2 、將自身複製為 %windir%\system.exe ，並在同位置釋放病毒的 DLL 檔案：

system.dll 、 system_hook.dll 、 systemkey.dll 。

在 %windir%\TEMP\ 下釋放 System0.DLL 檔案 屬性：隱藏。

3 、 根目錄下釋放 UNINSTAL.BAT 檔案，用於刪除原病毒體。

4 、修改註冊表

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable

Media Serial Number S HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv

\ImagePath

鍵： %windir%\TEMP\MC21.TMP HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion

\Internet Settings\ProxyEnable

鍵： DWORD: 0 (0)

5 、通過修改註冊表的鍵達到隨系統啟動的目的，修改如下鍵值：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S

6 、收集受感染主機的一些信息，並傳送給遠程連線者。