设为首页
收藏本站
开启辅助访问
切换到窄版
登录
立即注册
中问网首页
我的收藏
站长博客
搜索
搜索
本版
帖子
用户
第一问答网
»
论坛
›
中问网
›
问答
›
木马backdoor.win32.hupiqon.efc
返回列表
发新帖
木马backdoor.win32.hupiqon.efc
[复制链接]
11
|
0
|
2007-4-4 16:42:04
|
显示全部楼层
|
阅读模式
灰鸽子的运行原理
灰鸽子木马分两部分:客户端和服务端。黑客(姑且这么称呼吧)操纵着客户端,利用客户端配置生成出一个服务端程序。服务端文件的名字默认为G_Server.exe,然后黑客通过各种渠道传播这个木马(俗称种木马或者开后门)。种木马的手段有很多,比如,黑客可以将它与一张图片绑定,然后假冒成一个羞涩的MM通过QQ把木马传给你,诱骗你运行;也可以建立一个个人网页,诱骗你点击,利用IE漏洞把木马下载到你的机器上并运行;还可以将文件上传到某个软件下载站点,冒充成一个有趣的软件诱骗用户下载……
G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录,2k/NT下为系统盘的Winnt目录),然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端,有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意,G_Server.exe这个名称并不固定,它是可以定制的,比如当定制服务端文件名为A.exe时,生成的文件就是A.exe、A.dll和A_Hook.dll。
Windows目录下的G_Server.exe文件将自己注册成服务(9X系统写注册表启动项),每次开机都能自动运行,运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能,与控制端客户端进行通信;G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此,中毒后,我们看不到病毒文件,也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同,G_Server_Hook.dll有时候附在Explorer.exe的进程空间中,有时候则是附在所有进程中。 灰鸽子(Backdoor.Huigezi)作者现在还没有停止对灰鸽子的开发,再加上有些人为了避开杀毒软件的查杀故意给灰鸽子加上各种不同的壳,造成现在网络上不断有新的灰鸽子变种出现。尽管瑞星公司一直在不遗余力地收集最新的灰鸽子样本,但由于变种繁多,还会有一些"漏网之鱼"。如果您的机器出现灰鸽子症状但用瑞星杀毒软件查不到,那很可能是中了还没有被截获的新变种。这个时候,就需要手工杀掉灰鸽子。 手工清除灰鸽子并不难,重要的是我们必须懂得它的运行原理。 灰鸽子的手工检测
由于灰鸽子拦截了API调用,在正常模式下木马程序文件和它注册的服务项均被隐藏,也就是说你即使设置了"显示所有隐藏文件"也看不到它们。此外,灰鸽子服务端的文件名也是可以自定义的,这都给手工检测带来了一定的困难。
但是,通过仔细观察我们发现,对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出,无论自定义的服务器端文件名是什么,一般都会在操作系统的安装目录下生成一个以"_hook.dll"结尾的文件。通过这一点,我们可以较为准确手工检测出灰鸽子木马。
由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键(或者在启动计算机时按住Ctrl键不放),在出现的启动选项菜单中,选择"Safe Mode"或"安全模式"。 1、由于灰鸽子的文件本身具有隐藏属性,因此要设置Windows显示所有文件。打开"我的电脑",选择菜单"工具"-》"文件夹选项",点击"查看",取消"隐藏受保护的操作系统文件"前的对勾,并在"隐藏文件和文件夹"项中选择"显示所有文件和文件夹",然后点击"确定"。 2、打开Windows的"搜索文件",文件名称输入"_hook.dll",搜索位置选择Windows的安装目录(默认98/xp为C:\windows,2k/NT为C:\Winnt)。 3、经过搜索,我们在Windows目录(不包含子目录)下发现了一个名为Game_Hook.dll的文件。 4、根据灰鸽子原理分析我们知道,如果Game_Hook.DLL是灰鸽子的文件,则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录,果然有这两个文件,同时还有一个用于记录键盘操作的GameKey.dll文件。 经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了,下面就可以进行手动清除。 灰鸽子的手工清除 经过上面的分析,清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作,主要有两步:1、清除灰鸽子的服务;2删除灰鸽子程序文件。 注意:为防止误操作,清除前一定要做好备份。 一、清除灰鸽子的服务 2000/XP系统: 1、打开注册表编辑器(点击"开始"-》"运行",输入"Regedit.exe",确定。),打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 2、点击菜单"编辑"-》"查找","查找目标"输入"game.exe",点击确定,我们就可以找到灰鸽子的服务项(此例为Game_Server)。 、删除整个Game_Server项。 98/me系统: 在9X下,灰鸽子启动项只有一个,因此清除更为简单。运行注册表编辑器,打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项,我们立即看到名为Game.exe的一项,将Game.exe项删除即可。 二、删除灰鸽子程序文件 删除灰鸽子程序文件非常简单,只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件,然后重新启动计算机。至此,灰鸽子已经被清除干净。 目前江民、金山、瑞星以及安全网都有这只鸽子的专杀工具下载,你可以到他们的网站上去下载使用。 建议你全部下载回来,交叉使用查杀下
回复
使用道具
举报
返回列表
发新帖
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
立即注册
本版积分规则
发表回复
回帖后跳转到最后一页
千问
主题
0
回帖
4882万
积分
论坛元老
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
积分
48824836
加好友
发消息
回复楼主
返回列表
问答
热门排行
1
经常吃紫薯的好处
2
咳嗽有白痰很久都没好怎么办
3
荨麻疹是什么样子的?什么原因导致的
4
橘子皮上有黑点是怎么回事
5
怎样推算排卵期和安全期
6
吃熟栗子的功效和作用
7
胃胀打嗝胀气是什么原因
8
鲜竹沥哪个厂家出的效果好
9
吲哚美辛冰片栓怎么塞
10
阴虚还是火旺怎么引起的
11
四季抗病毒合剂和抗病毒口服液的区别
12
前列腺液的常规检查怎么做
13
肠炎宁治疗拉肚子吗
14
乙酰半胱氨酸副作用如何解
15
北极贝冰冻能放多长时间
16
松花蛋怎么调拌
17
比较三种黄连的区别点
18
怎么烧鸽子汤好喝
19
做饼干怎么和面
20
女性滴虫性阴炎能治愈吗
21
痔疮吃黄连的功效与作用
22
紫苏提取物对皮肤的作用与功效
23
复方酮康唑乳膏的作用皮康王
24
3岁角膜炎怎么治疗
25
怎么用面粉做饼干
26
糖尿病的糖化白蛋白高是什么原因
27
非甾体抗炎药副作用机制
28
三黄连片能治痔疮吗
29
中医针灸治疗面瘫的原理
30
心脏室性早搏二联律怎么治疗
31
罗红霉素的副作用有哪些
32
野苦瓜的功效和作用
33
总是打嗝胃胀气怎么办偶尔反酸
34
怎么才能知道自己阴虚火旺
35
眼睛角膜炎有什么症状
36
滴虫性阴炎怎样才能根治不复发
37
菟丝子的菟怎么念
38
阴部毛囊炎如何治疗好得快
39
湖南明瑞制药奥利司他怎么样
40
夫西地酸乳膏治疗什么样的痘痘
41
胃疼时打嗝是什么原因
42
类风湿病是怎么引起的,应该怎么治
43
阴虚火旺的人怎么调理可以尽快过来
44
孕妇能不能吃粉葛
45
体内有虚火怎样调理
46
四季抗病毒口服液和抗病毒口服液的区别
47
老是打嗝还胃疼是怎么回事
48
怎样自己做饼干
49
内科检查神经系统检查什么
50
马齿苋治白发效果怎样
51
月经量怎样才算正常
52
牙髓有一点发炎一定要做根管治疗吗
53
左腹部经常隐隐作痛是什么原因
54
肠炎宁片可以治疗拉肚子吗
55
红斑狼疮引起的肺动脉高压能治好吗
56
乙酰半胱氨酸泡腾片与氨溴索的区别
57
输液罗红霉素的副作用
58
蚯蚓怎样吃可以治气管炎
59
氯已定痔疮栓能治肛窦炎
60
塞来昔布胶囊多久见效
61
四维彩超怎么看报告参数
62
皮蛋怎么切不粘刀?
63
舌头发白拉肚子怎么了
64
松花蛋瘦肉粥怎么做
65
乙酰半胱氨酸不能与什么合用
66
咳嗽一直不好是怎么回事有白痰
67
一氧化碳中毒怎么会拉肚子呢
68
怎么能知道自己是不是阴虚火旺
69
新生儿肺部动脉高压能治吗
70
冬天支气管炎如何治疗
71
先天性乳头内陷能治吗
72
大姨妈迟迟不来怎么办吃什么
73
柿子饼怎么做成的
74
虾皮电商怎么入驻
75
紫苏化妆水的功效与作用
76
门牙缝隙大怎么办36岁
77
子宫长了个囊肿是什么原因
78
虾皮怎么炒好吃
79
怎么能让柿饼出霜
80
紫苏籽怎么食用方法
81
乳头内陷分泌物有臭味是什么原因
82
豆蔻的功效与作用点的功效与作用
83
草木灰与铵态氮肥为什么不能混合
84
豆蔻的作用和功效是什么
85
蒲公英与紫苏叶煮水喝的功效
86
180腰果和240腰果的区别
87
早上起床口腔有异味是怎么样
88
二十七味定坤丸怎么吃40粒
89
三个月不来姨妈也没怀孕怎么回事
90
如何判断自己是不是龅牙
91
干牛肉怎么做
92
长吃紫薯的好处和坏处
93
怎样做清炖鸽子汤
94
柿子怎么做成柿饼馍
95
中医针灸治疗癌症的原理
96
定坤丹要吃多久才有效
97
胃胀气打嗝是什么原因引起的
98
怎么煮梨水治咳嗽化痰用什么样的冰糖熬
99
蝼蛄怎么养需要水吗
100
西瓜霜喷剂怎么用都被口水带走了