Dropper.Delf.av将“灰鸽子2.0”引入系统
感谢“老肥羊”网友提供Dropper.Delf.av样本love.exe。
用卡巴斯基今天最新病毒库扫love.exe——不报毒。
一、用样本love.exe感染系统后，观察到以下改变：
1、创建木马文件：
在%windows%目录下创建G_Server2.0.exe；
在%system%目录下创建vxeras.sys和cpoiuyk.dll。
2、注册表改动：
（1）在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分支下添加注册表键GrayPigeonServer2.0，指向C:\windows\G_Server2.0.exe；
（2）在HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\分支下添加注册表键VANTI，指向C:\windows\system32\vxeras.sys。
3、HijackThis1.99.1日志中可见：
O23 - NT 服务: Gray_Pigeon_Server2.0 (GrayPigeonServer2.0) - Unknown owner - C:\windows\G_Server2.0.exe
4、感染后，重启系统，IceSword的进程列表中可见iexplore.exe进程（虽然此时IE浏览器并未打开）。这点与“灰鸽子2005”相同。
二、手工查杀过程：
1、在IceSword的“设置”中勾选“禁止进/线程创建”。
2、结束iexplore.exe、explorer.exe以及其它非必要进程。
3、删除%windows%目录下的G_Server2.0.exe；删除%system%目录下的vxeras.sys和cpoiuyk.dll。
4、清理注册表：
（1）展开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
删除：GrayPigeonServer2.0
（2）展开：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\
删除：VANTI
附件是病毒样本，没把握者请勿下载。
