admin 管理员组

文章数量: 1184232

作者：baohe

主体文件名：dllhost.exe
文件大小: 762368 bytes
MD5: 9825e84cab8476682e631403d1835981
SHA1: 3bf7713c184d75ae39dc7fbbef5a4b83ab910d6c
多引擎扫描结果：
AVG报：BackDoor.Hupigon.LK
卡巴斯基报：Backdoor.Win32.Hupigon.emv
F-Secure报：Backdoor.Win32.Hupigon.emv
一、特点：
1、文件释放：
（1）在WINDOWS目录下释放病毒文件：
dllhost.exe
setupss1.pif
（2）在硬盘各分区根目录下创建autorun.inf和隐藏文件夹runauto..
runauto..文件夹中包含病毒文件autorun.pif
autorun.inf文件内容：
[AutoRun]
open=RUNAUT~1/autorun.pif
shell/1=打开(&O)
shell/1/Command=RUNAUT~1/autorun.pif
shell/2/=浏览(&B)
shell/2/Command=RUNAUT~1/autorun.pif
shellexecute=RUNAUT~1/autorun.pif
（runauto..文件夹及其中的病毒文件autorun.pif需用IceSword才能删除）。
2、通过IFEO劫持将系统程序cmd.exe、msconfig.exe、regedit.exe、regedt32.exe导向病毒文件setuprs1.exe和xxxx.pif（X为随机数字）。
3、病毒会关闭autorans.exe窗口。但因其动作较慢，中招后，用户还是可以运行autorans.exe，发现这只鸽子的IFEO劫持项（图1）。dllhost.exe会反复写入这几个注册表项

图2

图3

本文标签： 灰鸽子的 文件 阴影下

版权声明：本文标题：灰鸽子的阴影下：详解DLLHost.exe的全新功能及实战防御策略 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/p/1772084678a3551947.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。