|
|
楼主 |
发表于 2007-4-17 09:03:45
|
显示全部楼层
俺认为还是有必要转发一下
Win32.Hack.Hupigon.j
( p1 \4 q/ o8 ~. c: t9 | . n+ Q! E. I0 h; W0 k' m+ A5 N
# t, O+ _' H; ~, G病毒别名：Backdoor.Win32.Hupigon.j[AVP]( {9 G' i9 q+ F5 ^
处理时间：
V4 q( R: e) l6 s# g威胁级别：★★" U2 a) K9 h* A4 t, g- w& E
中文名称：灰鸽子变种J: L9 w) r( v& ~& I8 _7 _
病毒类型：黑客程序, ^) B" m' u$ u' ?$ h* J$ } W
影响系统：Win9x / WinNT. D5 V( L8 a* H! F. ~
病毒行为:/ b) d8 X- H1 M8 A3 q) r% O
这是“灰鸽子”后门病毒的一个变种。病毒将释放两个DLL文件Pmsns.DLL和Pmsns_Hook.DLL，通过创建远程进程的方式将Pmsns_Hook.DLL并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩某些API，从而隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务、阻止病毒进程并关闭。用户无法使用常规的方式发现病毒的踪影：使用资源管理器无法看到病毒文件，使用任务管理器查看不到病毒进程。病毒运行后，以创建服务、远程注入、挂钩API等方式隐秘启动浏览器“IEXPLORE.EXE”，在防火墙看来，访问网络的进程都是“IEXPLORE.EXE”，而且是80端口，都会认为是正常访问，从而可以穿越防火墙远程控制用户机器。“灰鸽子”病毒使用了多种方式隐藏自己的踪迹，普通用户难以发现并杀除。
: X) Y0 D s8 ]( r" u
6 |2 S/ s$ e9 n# u
+ i8 i( Z1 Z4 ^1.创建互斥量“Gpigeon_Shared_MUTEX”，防止自身重复运行。/ Z$ _- g* \0 \' N0 w
9 j \6 b E8 S, }: P* S8 f) K0 H
2.将自身复制为%SystemRoot%\Pmsns.exe，并释放病毒DLL文件：% q8 c" M L0 u8 L
%SystemRoot%\Pmsns.DLL （Win32.Hack.Hupigon.j）
; c8 H, L' K$ i# W8 K; V%SystemRoot%\Pmsns_Hook.DLL （Win32.Hack.Hupigon.j）
7 o. J C% ~5 }, ?
5 ]" \1 v/ t4 V8 K使用批处理文件“C:\uninstal.bat”，删除原始文件。- t6 h) T; T5 p' i
2 Y* w( _- T. E& H3 O9 q2 L' [; y
3.将病毒主程序注册为系统服务“Portable Media Serial Number S”，以服务的方式启动病毒，并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩以下API：2 u+ h# ~: n& C- w: U2 ]( ]
FindNextFileA
1 b2 L- W" w! @4 a& qFindNextFileW
8 c3 u% Z9 v" ?" x! X) kNtQuerySystemInformation
. _# N% m% Y0 `7 r- ]! a' aNtTerminateProcess& N. d- W$ V; [
EnumServicesStatusW
l% ?+ ~8 n; ^& f: F2 g W- { O; WEnumServicesStatusA
& K# _7 L! D9 Z# C Y! y; W o) G
/ B' q2 W6 x2 B; i5 U; P/ a' Q以隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务，并且阻止病毒进程并关闭。/ H# t3 U2 D" o, F1 U( F4 C1 E Y
将IEXPLORE.EXE进程创建为临时服务“mchInjDrv”，然后将Pmsns.DLL注入到IEXPLORE.EXE进程，用来穿透防火墙，与外界控制端通信。- v: e! c5 u) n6 I
使用文件映射名“GPigeon5_Shared”、“Pigeon5_Shared_HIDE”来进行病毒间的数据交换。4 d0 s7 h7 b- U- j0 M* X
( H6 k" R. Y, Z% T3 [! H4.修改注册表，与服务相关，使得病毒能够以服务的方式启动病毒。
# _5 q- n0 U- E7 r0 v[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S]& V0 p% a( c' Y. S; j9 @5 \( `
"Type"=dword:00000110* C' ]1 r; d- X5 M
"Start"=dword:00000002
, G+ D! o" ]* x4 q9 A"ErrorControl"=dword:00000000
# Q- Z% L& D8 Y; C7 y5 s' T# y"ImagePath"="%SystemRoot%\Pmsns.exe"
/ O% l3 o% ~4 U# R8 y! _1 D"DisplayName"="Pmsns"0 I% D3 `; g6 q
"ObjectName"="LocalSystem"
' c1 k* n; C$ S! ]- n4 d"Description"="Rtrieves the serial number of any "
0 B, I( S2 u. z+ ^. ^; W
/ p+ X% [6 r0 f5 T1 N+ P[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Security]/ |7 S- e. [ L6 v* d* v
"Security"="<系统相关>"
' Q! g" p8 g- i+ g
5 K9 @; O# G- ?7 R( j[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Enum]- D! Y o' D9 w/ L; E9 D3 ]
"0"="Root\\LEGACY_PORTABLE_MEDIA_SERIAL_NUMBER_S\\0000"% c. W t1 x7 ]0 d8 |! _- |
"Count"=dword:000000011 T3 R" O/ X5 \
"NextInstance"=dword:00000001& N( Q$ r. @6 e- T& R
$ E% |, L; e+ F4 T) p
2 E- R! c' w3 ]3 S[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv]# z0 L+ {0 \" t: K1 f# j! Q
"Type"=dword:000000012 i* d( t$ i, T( p- c; l& c( ?
"ErrorControl"=dword:00000000
. C9 T* ]! K4 r1 P4 B8 o( P"Start"=dword:00000004
- D$ e2 }. ]' K" A"ImagePath"="\\??\\%SystemRoot%\\<随机文件名>"
( P( J# w/ \1 S3 ? u+ x/ n" T* T5 A"DeleteFlag"=dword:00000001# {7 _5 t9 X1 y, Y J# U" T
: _% L! Z d1 ^. |* l0 X+ x[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv\Enum] U6 z2 y6 B- ?- A# e
"0"="Root\\LEGACY_MCHINJDRV\\0000") S& Q* i3 }6 M/ B @- O
"Count"=dword:00000001% f, _! V" d+ K1 n
"NextInstance"=dword:00000001
: B2 q8 C- G) R, J% h: d4 o0 S( p4 }7 m" P) A9 u/ ~0 E
删除键值：
$ \8 J# W `+ n3 b" b2 D. u0 SHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp( p4 T! H) V9 l* @- T
“NoRealMode”，禁止用户在DOS下察看病毒文件。 1 D% r( a! i# e0 J x! }
5 U' P4 w5 s5 t, {( g7 ]
5.病毒模块Pmsns.DLL每隔一定时间向远程主机发送本机信息：
, F5 V. D( Z7 r2 [' D; d8 m+ x系统芯片 9 l, a1 T& N- C
物理内存
, k4 Q& x6 Q# n5 kWindows版本
! T7 w. M) m# W8 f" e! _7 lWindows目录
8 i, b+ r5 P& N2 Y注册公司# o4 t% f3 a4 @1 P c) |4 y
注册用户9 G( b8 Z+ P, ]6 }! e
当前用户
* f% e3 X0 g* g" i5 c X当前日期' k1 Q K! Z; ?/ ?+ s- A1 E
开机时间9 X* n, ~) a' |+ s! e
计算机名称
- }- @; ]) m% w8 z5 l! e7 g# x计算机分辨率
1 M$ S3 p# c: h, S9 ~服务端版本
3 ]3 p9 ~' a' z! c, l9 c6 W' |. o6 r/ p0 j剪切板内容$ K6 a6 x2 F$ N* c) u( V2 A" i, K
本地IP地址
# d3 g2 g9 K9 F( f7 g0 |# ~' x( Q' J0 \* i3 U0 }
当控制端连接到中毒计算机以后，病毒可以执行以下远程控制命令：
y2 e [5 L% \更新病毒 5 L, ~/ X2 C/ ?/ Z8 D4 D
启动键盘记录
9 i6 ^7 x5 ~- W& s- i停止键盘记录
5 k* l( u+ Y- y' j" j结束指定的进程 " v9 ?0 ]4 ? U6 @! D, Q0 x6 q
重启计算机 2 l; B& q- p) X
启动命令行程序
% \* t- K, T% e- W) A: R4 _执行系统命令
Z; _( a* f) z: ^; v) n) C" s8 S获取系统信息
7 [( h1 v3 o+ v7 i+ @共享文件夹 4 C' U M: l& l* S1 K% V
从指定的IP下载文件。 |
|
雷达卡
发表于 2007-4-17 08:58:39
提升卡
抢沙发