Backdoor.win32.Huigezi.mfz是一种电脑病毒，属后门类，病毒运行后删除自身，衍生病毒文件到系统目录下，修改注册表，添加服务，并以服务的方式达到随机启动的目的。该病毒为灰鸽子变种，可以远程控制用户机器，连接网络。

病毒名称：

病毒描述：

行为分析：

清除方案：

病毒名称：

Backdoor.win32.Huigezi.mfz

中文名称： 灰鸽子变种

病毒类型： 后门

文件 MD5： 950E3DE708431E787B528D39C59399DF

公开范围： 完全公开

危害等级： 3

文件长度： 311,572 字节

感染系统： windows98以上版本

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： 未知壳

病毒描述：

这是一个未知壳，未脱壳时不能在虚拟机中运行，脱壳后可以运行。未脱壳运行后会生成以下文件：

%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS

%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS

%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS

而脱壳后运行无上述文件。说明上述文件是壳释放的文件。

行为分析：

1、病毒运行后衍生病毒文件到系统目录下：

%Program Files%\\WinRAR\\RarFiles

%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS

%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS

%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS

%system32%\\winsusrm.dll

2、病毒运行后修改注册表，添加服务，并以服务的方式达到随机启动的目的：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Description

键值: 字符串: "Windows 程序管理."

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\DisplayName

键值: 字符串: "Pigeon_Server"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\0

键值: 字符串: "Root\\LEGACY_PIGEONSERVER\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\Count

键值: DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\extInstance

键值: DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\ErrorControl

键值: DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\ImagePath

键值: C:\\Program Files\\winrar\\RarFiles

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Start

键值: DWORD: 2 (0x2)

3、创建服务：

服务名称：PigeonServer

显示名称：Pigeon_Server

描述：Windows 程序管理.

可执行文件的路径：C:\\Program Files\\winrar\\RarFiles

启动方式：自动

4、该病毒为灰鸽子变种，可以远程控制用户机器。

5、连接网络：

IP：58.5*5.4.2*1：8889

地址：湖北省孝感市电信

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%Program Files%\\WinRAR\\RarFiles

%WINDIR%5359-8621-2429-7641-5702\\ActiveUser.SLS

%WINDIR%5359-8621-2429-7641-5702\\CheckOut.SLS

%WINDIR%5359-8621-2429-7641-5702\\Licence.SLS

%system32%\\winsusrm.dll

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Description

键值: 字符串: "Windows 程序管理."

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\DisplayName

键值: 字符串: "Pigeon_Server"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\0

键值: 字符串: "Root\\LEGACY_PIGEONSERVER\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\\Count

键值: DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Enum\extInstance

键值: DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\ErrorControl

键值: DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\ImagePath

键值: C:\\Program Files\\winrar\\RarFiles

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\PigeonServer

\\Start

键值: DWORD: 2 (0x2)

结束服务：PigeonServer，并把其启动类型改为：已禁止。