传说中进程守护的灰鸽子（Backdoor.Win32.Hupigon)

记得某个杀软公司说过有进程守护的灰鸽子``没想到自己有幸遇到只```HOHO~``

 

文件名称：Time.exe

文件大小：486400 bytes

AV命名：Backdoor.Win32.Hupigon.fel

中文别名：灰鸽子

加壳方式：SVKP 1.3x

编写语言：Borland Delphi 6.0 - 7.0

病毒类型：后门

文件MD5：f4b4eb6a158e575d33a18f6c1303e52a

文件SHA1：3faa0f93a0a12361fb556c842d30d8fa18a3a420

 

行为分析：

 

1、释放病毒文件：

 

C:\Program Files\Common Files\Microsoft Shared\MSInfo\paramstr.txt   45 字节

C:\Program Files\Common Files\Microsoft Shared\MSInfo\time.exe   486400 字节

C:\Windows\system32\_time.exe   486400 字节

 

还有个壳释放的驱动SVKP.sys，忽略```

 

2、调用并控制IE，利用Hook技术隐藏进程。

 

3、并控制系统自带计算器（calc.exe）为傀儡出现在进程，实现进程守护。

 

（这点比较恶心，calc.exe本身并没有问题）

 

4、注册系统服务，为Windows。指向的是time.exe。

 

解决方法：

 

[url]http://free.ys168.com/?gudugengkekao[/url]下载冰刃和SREng：

 

冰刃.zip 2,121KB

 

sreng2.5.zip 780KB

 

1、下载的东西直接放桌面，断开网络。

 

2、打开冰刃，设置禁止线程创建，确定。

 

3、打开进程管理，看到IE和calc.exe进程关闭掉（红色显示）

 

4、点冰刃“文件”选项，删除：

 

C:\Program Files\Common Files\Microsoft Shared\MSInfo\paramstr.txt   45 字节

C:\Program Files\Common Files\Microsoft Shared\MSInfo\time.exe   486400 字节

C:\Windows\system32\_time.exe   486400 字节

 

5、重启并监视，重启后打开SREng，删除：

 

服务项：

 

[WINDOWS / WINDOWS][Stopped/Auto Start]
   <C:\Program Files\Common Files\Microsoft Shared\MSINFO\time.exe><N/A>