[活动]过关斩将之九，cb奖励楼层250、750、1250、1750，比赛最后一天

xiaofeiiv

原帖由 jian2303 于 2008-9-5 10:18 发表



我怕你中毒又找我修机器。。。麻烦啊~~~

不会的
中毒最好
我机器正好想重新做下系统呢

jian2303

那就不是系统的问题。。这个病毒很厉害的~~~

xiaofeiiv

原帖由 jian2303 于 2008-9-5 10:21 发表
那就不是系统的问题。。这个病毒很厉害的~~~

那正好换机器了

jian2303

病毒名称： Backdoor.win32.huigezi.gen
病毒类型： 后门
文件 MD5： 132EB480CD95753826C8A709784B832C
公开范围： 完全公开
危害等级： 4
文件长度： 820,224 字节
感染系统： windows98 以上系统
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： SVKP 1.3x -> Pavol Cerven
命名对照： Symentec[无]
　　　　　 Mcafee[ 无 ]
  
病毒描述：
　 该病毒属于后门类病毒。病毒运行后删除自身，衍生病毒文件到系统目录下，修改注册表，开启 Gray sever process launcher服务，插入iexplore.exe进程以达到随机启动的目的，并连接网络，该病毒开启后门服务可以使病毒利用者连接并控制中毒的机器。
  
行为分析：
1、 衍生和下载的病毒文件：

　　　 %system32%\svkp.sys 　
　　 　%windir%\system3key.log

2、 添加的注册表项：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Class
值 : 字符串: "LegacyDriver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\ClassGUID
值 : 字符串: ""
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\ConfigFlags
值 : DWORD: 0 (0) 　　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\ 　　　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\*NewlyCreated*
值 : DWORD: 0 (0) 　　　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\ActiveService
值 : 字符串: "Gray Server Process Launcher" 　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\DeviceDesc
值 : 字符串: "Gray Server Process Launcher"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Legacy
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Service
值 : 字符串: "Gray Server Process Launcher"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\NextInstance
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Class
值 : 字符串: "LegacyDriver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\ClassGUID
值 : 字符串: ""
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\ConfigFlags
值 : DWORD: 0 (0) 　　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Control\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Control\*NewlyCreated*
值 : DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Control\ActiveService
值 : 字符串: "SVKP"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\DeviceDesc
值 : 字符串: "SVKP" 　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Legacy
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\0000\Service
值 : 字符串: "SVKP"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_SVKP\NextInstance
值 : DWORD: 1 (0x1) 　　
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\DisplayName
值 : 字符串: "SVKP"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\Enum\0
值 : 字符串: "Root\LEGACY_SVKP\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\Enum\Count
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\Enum\NextInstance 　　
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\ErrorControl
值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\Start
值 : DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SVKP\Type
值 : DWORD: 1 (0x1)

4、 开起 Gray sever process launcher服务：
　　
　 服务描述：为gray服务提供加载功能。

5、连接网络：
　　IP：222.187.247.79
　　端口：3256

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的
安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
  

--------------------------------------------------------------------------------
清除方案：
  1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程
(2) 删除病毒文件

%system32%\svkp.sys
%windir%\system3key.log

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

(4) 禁止 Gray sever process launcher服务。

心剑

不好意思，刚刚忙了一下！

jian2303

看清楚了吗小飞你觉得自己能搞定这个病毒吗？？

Zoe

看见老R～

xiaofeiiv

原帖由 jian2303 于 2008-9-5 10:23 发表
看清楚了吗小飞你觉得自己能搞定这个病毒吗？？

顺便让她控制我的身体吧

xiaofeiiv

原帖由 jian2303 于 2008-9-5 10:23 发表
看清楚了吗小飞你觉得自己能搞定这个病毒吗？？

QQ~~

aXXo

猴子果然名不虚传，但我看不懂