MiThink 记事本

在安全模式下把那服务禁了 把这文件也删了 注册表里删除所有相关信息后

再次启动     OK   一切照旧


该病毒是一种可以进行远程控制的黑客病毒，是灰鸽子病毒的一个变种。运行该病毒会在系统留下后门，有随时给别人入侵的可能。它不会自动传播，建议电脑用户不要随便运行不名程序或者打开陌生人邮件的附件，以免中毒受损。

1、生成的文件
%SystemRoot%\Hacker.com.cn.exe
%SystemRoot%\uninstal.bat

2、注册表修改项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn
"Description" = "灰鸽子服务端程序。远程监控管理."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn
"DisplayName" = "GrayPigeon_Hacker.com.cn"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GrayPigeon_Hacker.com.cn
"ImagePath" = "C:\WINNT\Hacker.com.cn.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GrayPigeon_Hacker.com.cn
"Description" = "灰鸽子服务端程序。远程监控管理."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GrayPigeon_Hacker.com.cn
"DisplayName" = "GrayPigeon_Hacker.com.cn"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GrayPigeon_Hacker.com.cn
"ImagePath" = "C:\WINNT\Hacker.com.cn.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GrayPigeon_Hacker.com.cn
"Start" = "0x2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GrayPigeon_Hacker.com.cn
"Type" = "0x110"

3、该病毒在系统添加的服务
名称：GrayPigeon_Hacker.com.cn
描述：灰鸽子服务端程序。远程监控管理.
可执行文件路径：C:\WINNT\Hacker.com.cn.exe

4、批处理文件uninstal.bat内容
---------------------------------
:try
del "原病毒文件"
if exist "原病毒文件" goto try
del %0
exit
----------------------------------

5、该病毒会打开并起挂一个IEXPLORE.EXE进程，并把病毒代码取代原IEXPLORE.EXE程序代码，借此来掩饰自己驻留在留存当中。此进程并不能使用任务管理器结束。