Backdoor.win32.Huigezi.mfz
Backdoor.win32.Huigezi.mfz
Backdoor.win32.Huigezi.mfz是一种电脑病毒，属后门类，病毒运行后删除自身，衍生病毒文件到系统目录下，修改注册表，添加服务，并以服务的方式达到随机启动的目的。该病毒为灰鸽子变种，可以远程控制用户机器，连接网络。
病毒名称：
Backdoor.win32.Huigezi.mfz
中文名称： 灰鸽子变种
病毒类型： 后门
文件 MD5： 950E3DE708431E787B528D39C59399DF
公开范围： 完全公开
危害等级： 3
文件长度： 311,572 字节
感染系统： windows98以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： 未知壳
病毒描述：
这是一个未知壳，未脱壳时不能在虚拟机中运行，脱壳后可以运行。未脱壳运行后会生成以下文件：
%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS
而脱壳后运行无上述文件。说明上述文件是壳释放的文件。
行为分析：
1、病毒运行后衍生病毒文件到系统目录下：
%Program Files%\\WinRAR\\RarFiles
%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS
%system32%\\winsusrm.dll
2、病毒运行后修改注册表，添加服务，并以服务的方式达到随机启动的目的：
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Description
键值: 字符串: "Windows 程序管理."
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\DisplayName
键值: 字符串: "Pigeon_Server"
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\0
键值: 字符串: "Root\\LEGACY_PIGEONSERVER\\0000"
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\Count
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\NextInstance
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\ErrorControl
键值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\ImagePath
键值: C:\\Program Files\\winrar\\RarFiles
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Start
键值: DWORD: 2 (0x2)
3、创建服务：
服务名称：PigeonServer
显示名称：Pigeon_Server
描述：Windows 程序管理.
可执行文件的路径：C:\\Program Files\\winrar\\RarFiles
启动方式：自动
4、该病毒为灰鸽子变种，可以远程控制用户机器。
5、连接网络：
IP：58.5*5.4.2*1：8889
地址：湖北省孝感市电信
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%Program Files%\\WinRAR\\RarFiles
%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS
%system32%\\winsusrm.dll
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Description
键值: 字符串: "Windows 程序管理."
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\DisplayName
键值: 字符串: "Pigeon_Server"
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\0
键值: 字符串: "Root\\LEGACY_PIGEONSERVER\\0000"
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\Count
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Enum\\NextInstance
键值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\ErrorControl
键值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\ImagePath
键值: C:\\Program Files\\winrar\\RarFiles
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer
\\Start
键值: DWORD: 2 (0x2)
结束服务：PigeonServer，并把其启动类型改为：已禁止。