传说中进程守护的灰鸽子（Backdoor.Win32.Hupigon)

文件名称：Time.exe

文件大小：486400 bytes

AV命名：Backdoor.Win32.Hupigon.fel

中文别名：灰鸽子

加壳方式：SVKP 1.3x

编写语言：Borland Delphi 6.0 - 7.0

病毒类型：后门

文件MD5：f4b4eb6a158e575d33a18f6c1303e52a

文件SHA1：3faa0f93a0a12361fb556c842d30d8fa18a3a420

行为分析：

1、释放病毒文件：

C:/Program Files/Common Files/Microsoft Shared/MSInfo/paramstr.txt   45 字节

C:/Program Files/Common Files/Microsoft Shared/MSInfo/time.exe 486400 字节

C:/Windows/system32/_time.exe   486400 字节

还有个壳释放的驱动SVKP.sys，忽略```

2、调用并控制IE，利用Hook技术隐藏进程。

3、并控制系统自带计算器（calc.exe）出现在进程，实现进程守护。

（这点比较恶心，calc.exe本身并没有问题）

4、注册系统服务，为Windows。指向的是time.exe。

解决方法：

下载冰刃和SREng(点击进入下载页面)：

SREng2.5

冰刃

1、下载的东西直接放桌面，断开网络。

2、打开冰刃，设置禁止线程创建，确定。

3、打开进程管理，看到IE和calc.exe进程关闭掉（红色显示）

4、点冰刃“文件”选项，删除：

C:/Program Files/Common Files/Microsoft Shared/MSInfo/paramstr.txt   45 字节

C:/Program Files/Common Files/Microsoft Shared/MSInfo/time.exe   486400 字节

C:/Windows/system32/_time.exe   486400 字节

5、重启并监视，重启后打开SREng，删除：

服务项：

[WINDOWS / WINDOWS][Stopped/Auto Start]
   <C:/Program Files/Common Files/Microsoft Shared/MSINFO/time.exe><N/A>