病毒名称： Backdoor.Win32.GrayBird.ph 中文名称： 灰鸽子（风云版） 病毒类型： 后门 文件 MD5： F1AC04CD0556855B1A0153E71AFAF31B 公开范围： 完全公开 危害等级： 4 文件长度： 280,183 字节 感染系统： Win9X以上系统 开发工具： Borland Delphi 6.0 - 7.0 加壳类型： nSpack V2.9 UPolyX v0.5 命名对照： 驱逐舰 [Backdoor.Pigeon.775] AVG [Backdoor.GrayBird.ma] 病毒描述： 该病毒属后门类，是灰鸽子（风云版）的变种，计算机中此病毒后会被远程控制。该病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身。修改注册表，新建服务，并以服务的方式达到随机启动的目的。 行为分析： 1 、病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身： %WINDIR%\klylgz.com.cn.exe 2 、修改注册表，新建服务，并以服务的方式达到随机启动的目的： HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\conminec.exe bbs.bitsCN.com国内最早的网管论坛 键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 " HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\conminec.exe 键值 : 字串 : "DisplayName"="conminec.exe" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_CONMINEC.EXE\0000\Control 键值 : 字串 : " ActiveService "= "conminec.exe" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\conminec.exe 键值 : 字串 : " ImagePath "= "C:\WINDOWS\klylgz.com.cn.exe" 3 、新建服务，并以服务的方式达到随机启动的目的： 服务名称： conminec.exe 显示名称： conminec.exe 描述：维护网络上计算机的更新列表 可执行文件的路径： C:\WINDOWS\klylgz.com.cn.exe 启动方式：自动 4 、该病毒运行后创建 IEXPLORER.EXE 进程。 5 、该病毒属灰鸽子变种，中此病毒后会被黑客远程控制用户计算机。 bitsCN.com中国网管联盟 注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。 -------------------------------------------------------------------------------- 清除方案： 1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 ) 2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。 (1) 使用 安天木马防线 “进程管理”关闭病毒进程 IEXPLORER.EXE (2) 删除病毒文件 %WINDIR%\klylgz.com.cn.exe (3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ conminec.exe 键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 " HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ blog.bitsCN.com网管博客等你来搏 conminec.exe 键值 : 字串 : "DisplayName"="conminec.exe" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_CONMINEC.EXE\0000\Control 键值 : 字串 : " ActiveService "= "conminec.exe" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ conminec.exe 键值 : 字串 : " ImagePath "= "C:\WINDOWS\klylgz.com.cn.exe" 关闭并禁止服务： conminec.exe
