该病毒属后门类，病毒运行后衍生病毒文件到系统目录下，并删除自身，修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的，该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。

概述

病毒描述

清除方案

概述

病毒名称： Backdoor.Win32.Hupigon.cot

中文名称： 灰鸽子

病毒类型： 后门

文件 MD5： E30502E5768329F3F5C52B8BDA2B7643

公开范围： 完全公开

危害等级： 3

文件长度： 486,912 字节

感染系统： windows98以上版本

开发工具： Borland Delphi 6.0-7.0

加壳类型： ASProtect 1.2x [New Strain]

命名对照： 驱逐舰[BackDoor.Pigeon.377]

BitDefender [无

病毒描述

行为分析：

1、病毒运行后衍生病毒文件到系统目录下，并删除自身：

%WINDIR%\\lsass.exe

2、修改注册表，创建服务，以服务的方式使病毒达到随机启动的目的：

删除的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services

\tmsSvc\\Parameters\\

键值: 字串: "ServiceDll"=" %SystemRoot%\\system32\tmssvc.dll"

修改的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\tmsSvc\\

新建键值: 字串: " ImagePath "="C:\\WINDOWS\\lsass.exe"

原键值: 字串: " ImagePath "=" %SystemRoot%\\system32

\\svchost.exe -k netsvcs"

新建的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\Control\\

键值: 字串: *NewlyCreated*""="0"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\Control\\

键值: 字串: "ActiveService "="NtmsSvc"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\

键值: 字串: "DeviceDesc "="Removable Storage"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\

键值: 字串: "Service "="NtmsSvc"

创建服务：

服务名称：NtmsSvc

显示名称：Removable Storage

描述：管理可移动媒体、驱动程序和库。

可执行文件的路径：C:\\WINDOWS\\lsass.exe

启动类型：自动

4、该病毒是灰鸽子变种，可以远程控制用户机器，进行上传、下载、新建、删除文件等操作。

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%\\lsass.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

删除的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services

\tmsSvc\\Parameters\\

键值: 字串: "ServiceDll"=" %SystemRoot%\\system32\tmssvc.dll"

修改的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services

\tmsSvc\\

新建键值: 字串: " ImagePath "="C:\\WINDOWS\\lsass.exe"

原键值: 字串: " ImagePath "=" %SystemRoot%\\system32

\\svchost.exe -k netsvcs"

新建的注册表项：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\Control\\

键值: 字串: *NewlyCreated*""="0"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\Control\\

键值: 字串: "ActiveService "="NtmsSvc"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\

键值: 字串: "DeviceDesc "="Removable Storage"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_NTMSSVC\\0000\\

键值: 字串: "Service "="NtmsSvc"