|
|
楼主 |
发表于 2007-4-17 09:03:45
|
显示全部楼层
俺认为还是有必要转发一下
Win32.Hack.Hupigon.j
7 Y% h, k* P- X
9 W! s3 X v9 D3 [" [+ v$ P4 l. b( F; S& j+ \' R5 @4 y
病毒别名：Backdoor.Win32.Hupigon.j[AVP]! H' k3 w3 `/ T% v$ q$ h: b3 z# T4 l; m3 p
处理时间：
% n/ _' h( k% J2 p! Y3 N威胁级别：★★9 ~3 g1 J2 {2 G! Q0 r
中文名称：灰鸽子变种J0 h) ?7 d" X$ U# F5 K) x) h
病毒类型：黑客程序
6 \/ ~7 }0 W- h7 a影响系统：Win9x / WinNT7 N7 ]2 b' I2 O& ~
病毒行为:
4 w& u3 L. G3 F8 k这是“灰鸽子”后门病毒的一个变种。病毒将释放两个DLL文件Pmsns.DLL和Pmsns_Hook.DLL，通过创建远程进程的方式将Pmsns_Hook.DLL并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩某些API，从而隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务、阻止病毒进程并关闭。用户无法使用常规的方式发现病毒的踪影：使用资源管理器无法看到病毒文件，使用任务管理器查看不到病毒进程。病毒运行后，以创建服务、远程注入、挂钩API等方式隐秘启动浏览器“IEXPLORE.EXE”，在防火墙看来，访问网络的进程都是“IEXPLORE.EXE”，而且是80端口，都会认为是正常访问，从而可以穿越防火墙远程控制用户机器。“灰鸽子”病毒使用了多种方式隐藏自己的踪迹，普通用户难以发现并杀除。
* ^7 C# U1 w/ @5 C( [! C2 Q+ f5 w/ G2 G3 i
% _6 y9 R* Z* e- D! _, G' t0 I& h1.创建互斥量“Gpigeon_Shared_MUTEX”，防止自身重复运行。* {8 e. g: |0 a7 R
' L; w" G3 U4 m3 U( d
2.将自身复制为%SystemRoot%\Pmsns.exe，并释放病毒DLL文件：! n! t4 a' g! M# S' F% y$ `& K# Y
%SystemRoot%\Pmsns.DLL （Win32.Hack.Hupigon.j）
/ o7 v! x8 G. m4 C7 H9 P%SystemRoot%\Pmsns_Hook.DLL （Win32.Hack.Hupigon.j）
4 s2 Z' b8 J2 p
1 b1 r! z5 J" G; ~* g使用批处理文件“C:\uninstal.bat”，删除原始文件。
j. u0 |5 A# b$ c" \# p. j4 q- P- V8 i: i3 _
3.将病毒主程序注册为系统服务“Portable Media Serial Number S”，以服务的方式启动病毒，并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩以下API：
& c7 F* `- _! {: t4 ?; |: @FindNextFileA
) J$ k9 F; ] K% @" E9 UFindNextFileW# m9 ^: R# l* s
NtQuerySystemInformation
# O) s0 ~+ }3 l- B5 }4 [NtTerminateProcess) j1 F& T0 x; L Z* @8 ]
EnumServicesStatusW" N5 ?1 S7 ?& w4 y* T! ?- m& D: j
EnumServicesStatusA 3 G# h- F+ `' w7 T W
, p3 Q0 D- U8 T) @8 O以隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务，并且阻止病毒进程并关闭。
; A9 m- N& @% U, Q+ V+ s将IEXPLORE.EXE进程创建为临时服务“mchInjDrv”，然后将Pmsns.DLL注入到IEXPLORE.EXE进程，用来穿透防火墙，与外界控制端通信。. G) ?$ |8 E# G# m6 f2 G
使用文件映射名“GPigeon5_Shared”、“Pigeon5_Shared_HIDE”来进行病毒间的数据交换。
$ g D. K" i5 n! C5 p0 G R! {. c! N/ j' ?5 P1 I
4.修改注册表，与服务相关，使得病毒能够以服务的方式启动病毒。
! X. n. G Q. n8 E9 G[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S]
]/ D5 L- p- J, r3 q0 `"Type"=dword:00000110
5 e+ N9 _% Y& z! L/ ?/ a' {"Start"=dword:00000002
; q; ~2 f5 w( i( v' t& J"ErrorControl"=dword:000000009 h+ Y7 a1 J6 u9 e2 U0 o5 A
"ImagePath"="%SystemRoot%\Pmsns.exe"
R) l$ y/ w, \5 p( {"DisplayName"="Pmsns"
* \0 r- M1 x5 x* `; Y"ObjectName"="LocalSystem"
! r. A+ F8 p! r$ ^& v& N"Description"="Rtrieves the serial number of any "+ X$ x4 c/ r0 |9 A6 c$ i* d/ x
* Q" L2 I r! {" x- E
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Security]
2 s9 c8 b/ D5 v8 X"Security"="<系统相关>"1 n! Y: B$ ~. \6 t
# i; K9 j7 y5 i9 s, s; {
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Enum]# d- A4 {9 g" r
"0"="Root\\LEGACY_PORTABLE_MEDIA_SERIAL_NUMBER_S\\0000"% \( [% p3 y+ q6 H$ u4 W
"Count"=dword:00000001
; u5 e( }. G" ^ m) _, M$ h"NextInstance"=dword:00000001" H) U& D9 z! a' n
4 w- _1 d0 @! _( i' L5 r! c, `1 @
5 f R; i" b% I# P; Z[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv]6 C) Q6 w* [2 ^, v- b: O
"Type"=dword:00000001
9 z9 n0 K7 C' r3 f, N3 \"ErrorControl"=dword:00000000
! W1 s1 F3 \4 x"Start"=dword:000000043 Z+ E; x6 a/ U9 b& |7 H
"ImagePath"="\\??\\%SystemRoot%\\<随机文件名>"
# d1 ]% d& J4 S, p"DeleteFlag"=dword:000000015 \3 S# F& ?8 C1 T1 g R
2 O8 f3 x8 m0 T& B$ t$ e
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv\Enum]1 t3 n$ b$ W! H7 |& v' h6 q
"0"="Root\\LEGACY_MCHINJDRV\\0000"
! h4 `+ `* ~/ g* D"Count"=dword:000000018 f$ G [ u) y
"NextInstance"=dword:00000001! N2 F0 @2 D: a2 r% F& ?
" G- s4 w r" h b! A2 j9 W# g
删除键值：: i! R* I/ B1 B/ \
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp( t/ D* a% e" H& X# e' O. ?
“NoRealMode”，禁止用户在DOS下察看病毒文件。
8 p: n/ S) b- I( U, y. X; i( U$ `% k9 T( H T# L5 f
5.病毒模块Pmsns.DLL每隔一定时间向远程主机发送本机信息：$ j: ?: H7 l3 `/ a
系统芯片 & V3 h$ v6 l" p3 r+ h
物理内存
9 q* O. J& ^* H* R+ X2 ~Windows版本
: p6 ]& t# o6 l9 aWindows目录9 ]0 S) h ~+ M7 w$ r% Z
注册公司" h" ]# }9 V: U1 ?* Z
注册用户! c* [5 E2 T6 Y4 E5 O5 j& ]
当前用户
- K, r9 S9 X7 g) C9 | u3 z' z当前日期
+ B w" O( y) k8 ^开机时间# R- {2 b. R+ `
计算机名称' P i+ Q* ~; j2 u4 s5 T& h
计算机分辨率+ D1 O9 z6 k9 ^, ^+ _/ ?" S
服务端版本
9 ]9 H! w2 c( c& c, s6 O剪切板内容
! B6 Z* m/ d/ u3 y# X1 c# G' H/ Y( G3 R6 C本地IP地址6 l' Q4 B0 y! S& V$ i! c
( G" Y+ B o! h0 O7 \; m+ y
当控制端连接到中毒计算机以后，病毒可以执行以下远程控制命令：% I# e* f# P- B2 q+ C, h% N
更新病毒
3 }# O _8 E# {7 G( w% q% |启动键盘记录 : q: |, V. A& W$ V, h) u
停止键盘记录 1 r5 M: U4 f0 N8 m. i0 A* B' m! C
结束指定的进程
9 E; ]: k& y' r9 C Z7 }+ G重启计算机
8 M" O5 k9 s0 ]$ |. W& I$ J启动命令行程序
( I' [7 ]2 \6 S6 q( _' Q执行系统命令
. O( a& M* w0 K0 x1 D获取系统信息 ) T1 {: ?, E! \7 b$ z9 S" e
共享文件夹
* P$ B. n4 w8 L从指定的IP下载文件。 |
|
雷达卡
发表于 2007-4-17 08:58:39
提升卡
抢沙发