Backdoor.Win32.Hupigon.cot
病毒名称： Backdoor.Win32.Hupigon.cot
中文名称： 灰鸽子
病毒类型： 后门
文件 MD5： E30502E5768329F3F5C52B8BDA2B7643
公开范围： 完全公开
危害等级： 3
文件长度： 486,912 字节
感染系统： windows98以上版本
开发工具： Borland Delphi 6.0-7.0
加壳类型： ASProtect 1.2x [New Strain]
命名对照： 驱逐舰[BackDoor.Pigeon.377]
BitDefender [无
病毒描述：
该病毒属后门类，病毒运行后衍生病毒文件到系统目录下，并删除自身，修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的，该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。
行为分析：
1、病毒运行后衍生病毒文件到系统目录下，并删除自身：
%WINDIR%lsass.exe
2、修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的：
删除的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
NtmsSvcParameters
键值: 字串: "ServiceDll"=" %SystemRoot%system32
tmssvc.dll"
修改的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesNtmsSvc
新建键值: 字串: " ImagePath "="C:WINDOWSlsass.exe"
原键值: 字串: " ImagePath "=" %SystemRoot%system32
svchost.exe -k netsvcs"
新建的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000Control
键值: 字串: *NewlyCreated*""="0"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000Control
键值: 字串: "ActiveService "="NtmsSvc"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000
键值: 字串: "DeviceDesc "="Removable Storage"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000
键值: 字串: "Service "="NtmsSvc"
创建服务：
服务名称：NtmsSvc
显示名称：Removable Storage
描述：管理可移动媒体、驱动程序和库。
可执行文件的路径：C:WINDOWSlsass.exe
启动类型：自动
4、该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%lsass.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
删除的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
NtmsSvcParameters
键值: 字串: "ServiceDll"=" %SystemRoot%system32
tmssvc.dll"
修改的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
NtmsSvc
新建键值: 字串: " ImagePath "="C:WINDOWSlsass.exe"
原键值: 字串: " ImagePath "=" %SystemRoot%system32
svchost.exe -k netsvcs"
新建的注册表项：
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000Control
键值: 字串: *NewlyCreated*""="0"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000Control
键值: 字串: "ActiveService "="NtmsSvc"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000
键值: 字串: "DeviceDesc "="Removable Storage"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_NTMSSVC 000
键值: 字串: "Service "="NtmsSvc"