该病毒属于后门类病毒。病毒运行后删除自身，衍生病毒文件到系统目录下，修改注册表，开启 Gray sever process launcher服务，插入iexplore.exe进程以达到随机启动的目的，并连接网络，该病毒开启后门服务可以使病毒利用者连接并控制中毒的机器。

概述

行为分析

清除方案

概述

病毒名称： Backdoor.win32.huigezi.gen

病毒类型： 后门

文件 MD5： 132EB480CD95753826C8A709784B832C

公开范围： 完全公开

危害等级： 4

文件长度： 820,224 字节

感染系统： windows98 以上系统

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： SVKP 1.3x -> Pavol Cerven

命名对照： Symentec[无]

Mcafee[ 无 ]

行为分析

1、 衍生和下载的病毒文件：

%system32%\\svkp.sys

%windir%\\system3key.log

2、 添加的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Class

值 : 字符串: "LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\ClassGUID

值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\ConfigFlags

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Control\\

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Control\\*NewlyCreated*

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Control\\ActiveService

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\DeviceDesc

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Legacy

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\\0000\\Service

值 : 字符串: "Gray Server Process Launcher"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\extInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Class

值 : 字符串: "LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\ClassGUID

值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\ConfigFlags

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Control\\

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Control\\*NewlyCreated*

值 : DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Control\\ActiveService

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\DeviceDesc

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Legacy

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\\0000\\Service

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\

LEGACY_SVKP\extInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\DisplayName

值 : 字符串: "SVKP"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\Enum\\0

值 : 字符串: "Root\\LEGACY_SVKP\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\Enum\\Count

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\Enum\extInstance

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\ErrorControl

值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\Start

值 : DWORD: 2 (0x2)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\

SVKP\\Type

值 : DWORD: 1 (0x1)

4、 开起 Gray sever process launcher服务：

服务描述：为gray服务提供加载功能。

5、连接网络：

IP：222.187.247.79

端口：3256

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。

Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的

安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程

(2) 删除病毒文件

%system32%\\svkp.sys

%windir%\\system3key.log

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

(4) 禁止 Gray sever process launcher服务。