病毒名稱：
Backdoor.win32.Huigezi.mfz中文名稱： 灰鴿子變種
病毒類型： 後門
檔案 MD5： 950E3DE708431E787B528D39C59399DF
公開範圍： 完全公開
危害等級： 3
檔案長度： 311,572 位元組
感染系統： windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： 未知殼
病毒描述：
這是一個未知殼，未脫殼時不能在虛擬機中運行，脫殼後可以運行。未脫殼運行後會生成以下檔案：%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
而脫殼後運行無上述檔案。說明上述檔案是殼釋放的檔案。
行為分析：
1、病毒運行後衍生病毒檔案到系統目錄下：%Program Files%\WinRAR\RarFiles
%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
%system32%\winsusrm.dll
2、病毒運行後修改註冊表，添加服務，並以服務的方式達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Description
鍵值: 字元串: "Windows 程式管理."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\DisplayName
鍵值: 字元串: "Pigeon_Server"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\0
鍵值: 字元串: "Root\LEGACY_PIGEONSERVER\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\Count
鍵值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\NextInstance
鍵值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\ErrorControl
鍵值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\ImagePath
鍵值: C:\Program Files\winrar\RarFiles
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Start
鍵值: DWORD: 2 (0x2)
3、創建服務：
服務名稱：PigeonServer
顯示名稱：Pigeon_Server
描述：Windows 程式管理.
執行檔的路徑：C:\Program Files\winrar\RarFiles
啟動方式：自動
4、該病毒為灰鴿子變種，可以遠程控制用戶機器。
5、連線網路：
IP：58.5*5.4.2*1：8889
地址：湖北省孝感市電信
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%Program Files%\WinRAR\RarFiles
%WINDIR%5359-8621-2429-7641-5702\ActiveUser.SLS
%WINDIR%5359-8621-2429-7641-5702\CheckOut.SLS
%WINDIR%5359-8621-2429-7641-5702\Licence.SLS
%system32%\winsusrm.dll
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Description
鍵值: 字元串: "Windows 程式管理."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\DisplayName
鍵值: 字元串: "Pigeon_Server"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\0
鍵值: 字元串: "Root\LEGACY_PIGEONSERVER\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\Count
鍵值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Enum\NextInstance
鍵值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\ErrorControl
鍵值: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\ImagePath
鍵值: C:\Program Files\winrar\RarFiles
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PigeonServer
\Start
鍵值: DWORD: 2 (0x2)
結束服務：PigeonServer，並把其啟動類型改為：已禁止。
