[08-01] 再斩灰鸽子Backdoor.Gpigeon.uql新变种(第3版)
2006-08-01 15:24
281 查看
endurer 原创
2006-07-31 第3版补充杀毒软件的反应。
2006-07-30 第2版补充杀毒软件的反应。
2006-07-29 第1版
昨天,有位网友的说,他电脑上的瑞星开机自动扫描总报告:
-----------
Backdoor.Gpigeon.uql 清除成功 2006-07-28 16:01 IEXPLORE.EXE>>C:/Program Files/Internet Explorer/IEXPLORE.EXE本机
-----------
于是通过QQ进行远程协助。
该网友电脑使用的是Windows XP SP2。
到 http://endurer.ys168.com 下载了HijackThis 扫描log,发现如下可疑项目:
------------------
F2 - REG:system.ini: UserInit=userinit.exe,
O4 - Global Startup: IE-BAR.lnk = C:/WINDOWS/system32/rundll32.exe
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Restrictions present
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Control Panel present
O6 - HKLM/Software/Policies/Microsoft/Internet Explorer/Restrictions present
O23 - Service: servic - Unknown owner - C:/WINDOWS/servic
------------------
想通过控制面板里的管理工具中的“服务”控制台来停止并禁用 servic 服务,但系统提示MMC版本太低,不能打开“服务”控制台。晕!
当然我们可以尝试用 net stop 命令来停止 servic 服务,不过远程协助中的命令提示符下速度太慢了。
到 http://endurer.ys168.com 下载了IceSword,把 servic 服务 禁用(Disable)了。
不过 还是不能对文件 C:/WINDOWS/servic 进行操作,系统总提示这个文件被其它进程使用。IceSword在远程协助中操作也相当慢。
为了获取样本,所以不用“下次启动时删除文件”程序来删除 C:/WINDOWS/servic.
于是先到 c:/program files/IE-BAR/cast文件夹,卸载了 IE-BAR。
然后关闭所有文件夹窗口和浏览器窗口,用HijackThis修复上面所列的可疑项目。
重启电脑。
瑞星不再报告发现 Backdoor.Gpigeon.uql 了。
把可疑文件 C:/WINDOWS/servic 和 c:/windows/ssjy.exe 打包备份后删除。
servic
Kaspersky 报为 Backdoor.Win32.Hupigon.pv。
江民KV 报为 Backdoor/Huigezi.deq。
2006-07-31 第3版补充杀毒软件的反应。
2006-07-30 第2版补充杀毒软件的反应。
2006-07-29 第1版
昨天,有位网友的说,他电脑上的瑞星开机自动扫描总报告:
-----------
Backdoor.Gpigeon.uql 清除成功 2006-07-28 16:01 IEXPLORE.EXE>>C:/Program Files/Internet Explorer/IEXPLORE.EXE本机
-----------
于是通过QQ进行远程协助。
该网友电脑使用的是Windows XP SP2。
到 http://endurer.ys168.com 下载了HijackThis 扫描log,发现如下可疑项目:
------------------
F2 - REG:system.ini: UserInit=userinit.exe,
O4 - Global Startup: IE-BAR.lnk = C:/WINDOWS/system32/rundll32.exe
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Restrictions present
O6 - HKCU/Software/Policies/Microsoft/Internet Explorer/Control Panel present
O6 - HKLM/Software/Policies/Microsoft/Internet Explorer/Restrictions present
O23 - Service: servic - Unknown owner - C:/WINDOWS/servic
------------------
想通过控制面板里的管理工具中的“服务”控制台来停止并禁用 servic 服务,但系统提示MMC版本太低,不能打开“服务”控制台。晕!
当然我们可以尝试用 net stop 命令来停止 servic 服务,不过远程协助中的命令提示符下速度太慢了。
到 http://endurer.ys168.com 下载了IceSword,把 servic 服务 禁用(Disable)了。
不过 还是不能对文件 C:/WINDOWS/servic 进行操作,系统总提示这个文件被其它进程使用。IceSword在远程协助中操作也相当慢。
为了获取样本,所以不用“下次启动时删除文件”程序来删除 C:/WINDOWS/servic.
于是先到 c:/program files/IE-BAR/cast文件夹,卸载了 IE-BAR。
然后关闭所有文件夹窗口和浏览器窗口,用HijackThis修复上面所列的可疑项目。
重启电脑。
瑞星不再报告发现 Backdoor.Gpigeon.uql 了。
把可疑文件 C:/WINDOWS/servic 和 c:/windows/ssjy.exe 打包备份后删除。
servic
Kaspersky 报为 Backdoor.Win32.Hupigon.pv。
江民KV 报为 Backdoor/Huigezi.deq。
相关文章推荐
- (原创)c#学习笔记08--面向对象编程简介01--面向对象编程的含义01--对象的含义02--方法
- 17 - 01 - 18 计算机网络(08)(IP数据报转发)
- Java语言介绍(04)开源项目(08)DMBS数据库管理系统(01)HSQLDB
- 再读C++ Primer 写了个小例子——运算符重载(08-01-17)
- 20170214C语言提升08_指针_01变量及指针及数组
- 高数 01.[08-10]习题课
- Android性能优化之使用SparseArray代替HashMap 2013 年 08 月 01 日 android 最近在重构one的项目,其中用HashMap来缓存ActivityGroup加载
- (原创)c#学习笔记08--面向对象编程简介01--面向对象编程的含义02--一切皆对象
- 08-01-29>pe_xscan 增加了一种枚举系统服务的方法
- 再读C++ Primer 写了个小例子——模板的操作(08-01-18)
- 20170214C语言提升08_指针_01变量及指针及数组
- 2016_08_01日志
- 01-08-05【Nhibernate (版本3.3.1.4000) 出入江湖】NHibernate二级缓存:第三方MemCache缓存
- spring boot 学习--08---搭建ssmm-01
- 【C#基础】【语法02】课堂作业题 01-08
- 08-01 java 帮助文档的制作和使用,使用jdk提供的帮助文档
- 08---java IO编程01
- (原创)c#学习笔记08--面向对象编程简介01--面向对象编程的含义03--对象的生命周期--构造函数和析构函数
- OC_08_01 KVC