Backdoor.win32.huigezi.gen

病毒名称： Backdoor.win32.huigezi.gen

病毒类型： 后门

文件 MD5： 132EB480CD95753826C8A709784B832C

公开范围： 完全公开

危害等级： 4

文件长度： 820,224 字节

感染系统： windows98 以上系统

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： SVKP 1.3x -> Pavol Cerven

命名对照： Symentec[无]

Mcafee[ 无 ]

病毒描述：

该病毒属于后门类病毒。病毒运行后删除自身，衍生病毒文件到系统目录下，修改注册表，开启 Gray sever process launcher服务，插入iexplore.exe进程以达到随机启动的目的，并连接网络，该病毒开启后门服务可以使病毒利用者连接并控制中毒的机器。

行为分析：

1、 衍生和下载的病毒文件：

%system32%svkp.sys

%windir%system3key.log

2、 添加的注册表项：

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000Class

值 : 字符串: "LegacyDriver"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000ClassGUID

值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000ConfigFlags

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000Control

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000Control*NewlyCreated*

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000ControlActiveService

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000DeviceDesc

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000Legacy

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER000Service

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_GRAY_SERVER_PROCESS_LAUNCHERNextInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000Class

值 : 字符串: "LegacyDriver"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000ClassGUID

值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000ConfigFlags

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000Control

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000Control*NewlyCreated*

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000ControlActiveService

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000DeviceDesc

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000Legacy

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKP000Service

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_SVKPNextInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPDisplayName

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPEnum

值 : 字符串: "RootLEGACY_SVKP000"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPEnumCount

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPEnumNextInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPErrorControl

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPStart

值 : DWORD: 2 (0x2)

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SVKPType

值 : DWORD: 1 (0x1)

4、 开起 Gray sever process launcher服务：

服务描述：为gray服务提供加载功能。

5、连接网络：

IP：222.187.247.79

端口：3256

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。

Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的

安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程

(2) 删除病毒文件

%system32%svkp.sys

%windir%system3key.log

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

(4) 禁止 Gray sever process launcher服务。