|
|
楼主 |
发表于 2007-4-17 09:03:45
|
显示全部楼层
俺认为还是有必要转发一下
Win32.Hack.Hupigon.j: U2 ? \" M- ~7 B- R
4 W$ w/ w, ^1 X* w; a; D8 E, B
+ d; o& N& Q! K+ t7 }4 g
病毒别名：Backdoor.Win32.Hupigon.j[AVP]8 @2 c: u8 N5 q- c% V( T
处理时间：
9 {& _: V. ]+ i- S威胁级别：★★
7 K) K' B& s# @8 q K" K中文名称：灰鸽子变种J0 V7 d7 [9 u( `* Q# U" s4 ^
病毒类型：黑客程序! R3 m. u5 ?) y( k t$ s2 y; j
影响系统：Win9x / WinNT
! c, ^. l1 q4 v0 D$ E p病毒行为:
% ^" ^. f' R) P0 q这是“灰鸽子”后门病毒的一个变种。病毒将释放两个DLL文件Pmsns.DLL和Pmsns_Hook.DLL，通过创建远程进程的方式将Pmsns_Hook.DLL并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩某些API，从而隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务、阻止病毒进程并关闭。用户无法使用常规的方式发现病毒的踪影：使用资源管理器无法看到病毒文件，使用任务管理器查看不到病毒进程。病毒运行后，以创建服务、远程注入、挂钩API等方式隐秘启动浏览器“IEXPLORE.EXE”，在防火墙看来，访问网络的进程都是“IEXPLORE.EXE”，而且是80端口，都会认为是正常访问，从而可以穿越防火墙远程控制用户机器。“灰鸽子”病毒使用了多种方式隐藏自己的踪迹，普通用户难以发现并杀除。
7 |/ f+ |) w9 E b1 o s
# i) Q7 z; b0 O- x
& b3 A2 G/ L0 q+ Y1.创建互斥量“Gpigeon_Shared_MUTEX”，防止自身重复运行。
7 u3 g+ G9 W" G$ q/ v1 L0 Q" q* H7 W# i" M6 D
2.将自身复制为%SystemRoot%\Pmsns.exe，并释放病毒DLL文件：
7 i- M; m) }' K3 k# e%SystemRoot%\Pmsns.DLL （Win32.Hack.Hupigon.j） & }/ X: p' K; `% d: C! ]/ f: m; D9 L
%SystemRoot%\Pmsns_Hook.DLL （Win32.Hack.Hupigon.j）
: _0 s" \' `' b0 t( h V3 m3 D) M# m, v# Y* g3 w
使用批处理文件“C:\uninstal.bat”，删除原始文件。, x' \) y9 w3 E
! N- N9 J6 p' f' d4 B. C' D8 J5 q5 y4 a3.将病毒主程序注册为系统服务“Portable Media Serial Number S”，以服务的方式启动病毒，并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩以下API：3 f9 T/ m; _; v2 ~! R
FindNextFileA2 _; k' x# W+ I6 Y& `
FindNextFileW
" P9 F3 _' x: b' ~* INtQuerySystemInformation; P! _+ |1 @' g0 Q$ L
NtTerminateProcess9 s- Q: T+ k" g" e4 g# ^; K
EnumServicesStatusW+ {+ Z8 L: i. H1 u1 [5 K3 q5 g
EnumServicesStatusA 6 y- h! z% p! K2 A" E/ q0 g% i
4 H) M5 Q/ o1 _以隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务，并且阻止病毒进程并关闭。
, F* P$ ^* y- t! T将IEXPLORE.EXE进程创建为临时服务“mchInjDrv”，然后将Pmsns.DLL注入到IEXPLORE.EXE进程，用来穿透防火墙，与外界控制端通信。. R W2 h9 T# y0 Q$ F
使用文件映射名“GPigeon5_Shared”、“Pigeon5_Shared_HIDE”来进行病毒间的数据交换。" F- l5 t. v$ T( |* g
2 @6 Q2 l5 {# Z9 c! q% v* t9 B5 M4.修改注册表，与服务相关，使得病毒能够以服务的方式启动病毒。7 w; X+ D; F& v8 n( O) A+ y
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S]
' }+ I- [& M0 F, P5 ` C! K0 E"Type"=dword:00000110
3 i* l# D0 g/ ]4 y; Y"Start"=dword:00000002
$ W' g* t4 h7 W1 m3 G' O/ y+ h/ m5 Z"ErrorControl"=dword:00000000( x- y- h2 | p& t2 ~! G% V; r
"ImagePath"="%SystemRoot%\Pmsns.exe"4 a( e, i' C. y G+ C G
"DisplayName"="Pmsns"0 U% t9 u1 I( g
"ObjectName"="LocalSystem"- ^- Q# f' B1 A7 w% O) y' i
"Description"="Rtrieves the serial number of any "* W! R: @) B# R/ r* X
6 M1 P) ?# O F- L
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Security]
" r; T0 P' M a. s! t* }3 z"Security"="<系统相关>"
- t5 F, G- c4 u4 d9 i$ N* E8 v. R; H2 K( j7 j; K
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Enum]. H1 T1 a, K# w; ~/ i) i
"0"="Root\\LEGACY_PORTABLE_MEDIA_SERIAL_NUMBER_S\\0000"
- t& }1 s* J- H, x) ?- t"Count"=dword:00000001
% M7 }) ?! i5 K"NextInstance"=dword:00000001
6 s$ w8 J% H& }9 ~
: |- q2 W' D! g1 r
2 I9 @+ }; v) B* i9 P* K1 N0 c[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv]
3 x5 E5 ~6 V4 C- p+ p; s"Type"=dword:00000001
: n$ B* h3 F9 P, N; q"ErrorControl"=dword:000000009 ~$ v1 x0 J2 a$ \1 n; c
"Start"=dword:00000004
) G6 i2 M1 O9 C1 Z+ B0 R"ImagePath"="\\??\\%SystemRoot%\\<随机文件名>"
' T. Z! L5 e3 k1 ^2 `/ C3 E"DeleteFlag"=dword:00000001
* G7 F" V' Q$ t1 y$ Y7 l- L! k
6 r; Y$ X1 U8 O: a f$ @ `[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv\Enum]% `4 q9 h+ A! Z2 B" x, s
"0"="Root\\LEGACY_MCHINJDRV\\0000"
* N9 m* ?9 X: m5 z0 V5 W"Count"=dword:00000001( @: f) G' y# C" Z
"NextInstance"=dword:00000001% X7 W: _$ W% q( ? k
. z# g [/ X0 [( H" ]( M
删除键值：4 w6 v! y! r' l2 M
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp
- X& |/ [5 H, I; W# Z“NoRealMode”，禁止用户在DOS下察看病毒文件。 + y8 ]8 f1 e/ n' V0 P
$ q' k: C& G% \$ ?8 |5.病毒模块Pmsns.DLL每隔一定时间向远程主机发送本机信息：
& s* }% i3 R; B1 G5 _6 ]" b系统芯片
7 F' F! S" b i! k! S/ m3 @物理内存
) S0 j) O2 k6 I9 l% d" EWindows版本1 h/ ~9 J8 }8 O2 J2 ]5 Z
Windows目录
/ ?5 U2 D' t: @& V0 x. ?注册公司
0 E5 A( A0 @! D7 M& ^注册用户
* s& Z- j4 x% s! p2 C1 C) Y8 T当前用户" B$ u5 x! ]8 k2 t a' h
当前日期! f) n. E9 i& P- y* g+ }
开机时间- i5 S' {- q: V! j- Q
计算机名称$ G, f: }. F6 B. f8 F
计算机分辨率
3 v' g7 [5 M$ C/ g( I服务端版本
/ ]5 @3 H2 q, H6 b! ]8 x* N! I剪切板内容
/ Q" W) w: e- p T本地IP地址
% t0 A, V6 y- K4 m" W+ e
7 ^. O3 {2 \! Q当控制端连接到中毒计算机以后，病毒可以执行以下远程控制命令：
& L' J0 z p4 [: K6 R/ W" j# R) D更新病毒
( P# S( y1 `9 O t* U启动键盘记录
: [, ^0 ]! A9 Z3 J停止键盘记录 6 e) o& p# A9 F( a9 e8 [8 w2 V. j
结束指定的进程 $ y5 ^1 ]: |$ }
重启计算机
1 G0 e0 D& U2 \% x) f启动命令行程序
5 E6 Y6 N' }4 F+ }执行系统命令
4 M) p8 g0 x/ H- q# c获取系统信息 . }! M( l* z# Q& S# K' i$ J( ?
共享文件夹 ; e) i/ N, W$ j' u9 P
从指定的IP下载文件。 |
|
雷达卡
发表于 2007-4-17 08:58:39
提升卡
抢沙发