|
|
楼主 |
发表于 2007-4-17 09:03:45
|
显示全部楼层
俺认为还是有必要转发一下
Win32.Hack.Hupigon.j. _0 e+ D# s6 Q/ n; ~3 U% k1 F
! E T! v! k7 G0 Q5 Q
, R0 k. k( e$ H$ C! J) }8 a$ N1 F
病毒别名：Backdoor.Win32.Hupigon.j[AVP]
' N$ T) t" C- U( [处理时间：
& o2 n' G5 R, {$ A' y2 i. I; R威胁级别：★★
% J5 `5 G5 j4 Z5 @中文名称：灰鸽子变种J
3 t5 n- T) Z% i6 C, u病毒类型：黑客程序# g0 i' N; }- s8 u! B8 g
影响系统：Win9x / WinNT7 {% h% O) s- |! i3 G
病毒行为:
1 E3 I1 E( m3 D! l- k这是“灰鸽子”后门病毒的一个变种。病毒将释放两个DLL文件Pmsns.DLL和Pmsns_Hook.DLL，通过创建远程进程的方式将Pmsns_Hook.DLL并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩某些API，从而隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务、阻止病毒进程并关闭。用户无法使用常规的方式发现病毒的踪影：使用资源管理器无法看到病毒文件，使用任务管理器查看不到病毒进程。病毒运行后，以创建服务、远程注入、挂钩API等方式隐秘启动浏览器“IEXPLORE.EXE”，在防火墙看来，访问网络的进程都是“IEXPLORE.EXE”，而且是80端口，都会认为是正常访问，从而可以穿越防火墙远程控制用户机器。“灰鸽子”病毒使用了多种方式隐藏自己的踪迹，普通用户难以发现并杀除。5 ^2 t5 a' [( B" R6 V6 C% S
9 d/ j8 V0 ^ H6 u( m/ m$ B2 k6 m- l$ z% c9 q
1.创建互斥量“Gpigeon_Shared_MUTEX”，防止自身重复运行。/ T/ E* e- t9 T1 C1 ]
! C$ [& \0 n- b
2.将自身复制为%SystemRoot%\Pmsns.exe，并释放病毒DLL文件：* u7 ?, x/ n( j7 \1 B
%SystemRoot%\Pmsns.DLL （Win32.Hack.Hupigon.j） 5 P3 y( v9 P6 l' H4 z
%SystemRoot%\Pmsns_Hook.DLL （Win32.Hack.Hupigon.j）* n- e+ N+ D" d, A: o; S6 L& o
" |% f. I8 T1 a* n! g s- g+ _
使用批处理文件“C:\uninstal.bat”，删除原始文件。9 V; M2 w D7 p6 {
3 C8 e6 w: }5 X3 p) l3.将病毒主程序注册为系统服务“Portable Media Serial Number S”，以服务的方式启动病毒，并将病毒文件Pmsns_Hook.DLL注入到除少数几个无法注入（比如“smss.exe”）以外的所有进程，然后挂钩以下API：) L% R6 J, K5 F) u; n
FindNextFileA# Q8 p/ |5 Z% L; J- F* J) _/ h
FindNextFileW
2 A$ ]* N! j$ s$ S& O! d) ]% X2 KNtQuerySystemInformation
* f) B/ @. m: i1 J( ANtTerminateProcess
+ z4 t/ ^3 G7 cEnumServicesStatusW
3 q, |) f( @! \- P6 f8 Z6 ?( GEnumServicesStatusA
: n* w4 i U- C. m7 h
1 x% d9 q$ s. q3 w) |; e" v( I以隐藏病毒文件、病毒进程和IEXPLORE.EXE进程、病毒服务，并且阻止病毒进程并关闭。3 H/ s. M. ]: T
将IEXPLORE.EXE进程创建为临时服务“mchInjDrv”，然后将Pmsns.DLL注入到IEXPLORE.EXE进程，用来穿透防火墙，与外界控制端通信。8 n# G; p2 { H3 c, s. g/ C! t
使用文件映射名“GPigeon5_Shared”、“Pigeon5_Shared_HIDE”来进行病毒间的数据交换。9 {" T+ ^/ c+ @& V; z5 e0 K
. u3 o% |6 j* j4.修改注册表，与服务相关，使得病毒能够以服务的方式启动病毒。0 U' M/ D4 @. E+ @
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S]
7 \. o i# @' e/ K"Type"=dword:00000110
2 v) Q. r$ A5 B1 I3 i$ W+ o- X"Start"=dword:00000002/ [. l' W& w& |5 L* d
"ErrorControl"=dword:000000004 G1 c2 L: s2 @; G+ b" ^9 Q
"ImagePath"="%SystemRoot%\Pmsns.exe"- Q P* k, E# ^
"DisplayName"="Pmsns"
5 {5 F% u3 i- C. J"ObjectName"="LocalSystem"
) @" j6 `& h9 o6 f% `"Description"="Rtrieves the serial number of any "
3 d1 k/ I: W% {8 G/ R( I( a/ ?$ S- b; G" C
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Security]
/ Q+ U* S6 k: s6 J( c2 m# Q: u"Security"="<系统相关>"
* t% f2 Z0 ]. S2 N4 |8 R F6 Q$ G9 R% G m0 K& G
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Portable Media Serial Number S\Enum]
6 Q4 M. Q r, H# A"0"="Root\\LEGACY_PORTABLE_MEDIA_SERIAL_NUMBER_S\\0000"- M' u: z8 {4 P0 C% A% W* \
"Count"=dword:00000001* |, t, }# F* ~; d- N+ X9 \
"NextInstance"=dword:00000001. E k2 Y! L3 m
& {& ]% v& L( S) k) G) _2 c/ |: y
' f. o; }& Q! j1 ?
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv]
; b% B* g. U8 x6 N/ Z( {# B9 \, S- W"Type"=dword:00000001
' a# z( M$ d* h8 T"ErrorControl"=dword:00000000. v3 [0 M; @* T/ B' [
"Start"=dword:00000004% X$ \( m" e9 U
"ImagePath"="\\??\\%SystemRoot%\\<随机文件名>"/ g L( _$ `4 \% I
"DeleteFlag"=dword:00000001
# C z3 A" M7 ]* q- x9 H, ~! T
2 X: z3 r! F; G! }[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mchInjDrv\Enum]/ |0 s; K: v% S7 ?+ A3 G1 z
"0"="Root\\LEGACY_MCHINJDRV\\0000". r# E1 C; P6 E/ D& @
"Count"=dword:00000001
+ K) j0 d1 {8 i- g" l# R* X"NextInstance"=dword:000000014 S& @9 Q) m/ ~' o( C
0 e; w4 O/ x' {. Q
删除键值：" r. S/ j% k( i/ l. E! \' Z
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp
$ k* N1 U* O I“NoRealMode”，禁止用户在DOS下察看病毒文件。 * G& E4 L, ^3 Z5 S9 s
- E: f8 o, l) {$ N) U& B
5.病毒模块Pmsns.DLL每隔一定时间向远程主机发送本机信息：
" K% s1 p3 K4 ]; T系统芯片 ; u) v2 Y, c o: w9 }
物理内存; d8 m& ]' ^% E
Windows版本
+ u+ X" Y ~$ j) V& k7 p: xWindows目录
; f& Q D* _" g0 B) w( j注册公司6 z& R$ |# f& ^) [' d! V1 w
注册用户
L, l( q/ {" u8 i/ J+ S; n3 m当前用户
2 [: [5 ]" u' n; z" N& O7 A( _当前日期/ c/ M: p2 f! U
开机时间
) `4 d1 I3 m; ~! w- G7 ]计算机名称
8 r* `7 a; f3 |, c计算机分辨率: P. T, X8 ]/ {: k/ L; ], |
服务端版本
* r: p2 \/ w9 C, g/ T1 y% n剪切板内容- v$ V- O/ S' Y8 v9 ]
本地IP地址
3 N5 z( I/ P: O' G/ \9 H |. {) x8 \2 g7 N+ s
当控制端连接到中毒计算机以后，病毒可以执行以下远程控制命令：
7 G" G0 _3 `- }: e更新病毒
; V) h" V# G# C# \- r8 ~% ]8 D5 i$ @启动键盘记录
& G3 p( x5 `0 K" _( |停止键盘记录 " i2 _9 t* ^& \( Y& ~" P
结束指定的进程
, |$ O$ d2 r, i. y7 O重启计算机
% _# H9 F7 N u9 a+ G/ W0 ]/ P启动命令行程序
5 _/ ?" k. P- n) y H执行系统命令 9 h1 Q! G! [7 R5 J5 n
获取系统信息
% F6 v3 O$ Y0 ?( W2 r) a$ g共享文件夹
2 ~, Y0 K0 }" B) p8 a从指定的IP下载文件。 |
|
雷达卡
发表于 2007-4-17 08:58:39
提升卡
抢沙发