<<  [03-17]绿色精品免费软件下载更新 | 首 页 | 与“灰鸽子”的故事：小蔡从黑抓鸡记  >>

  • 2007年03月17日

    灰鸽子(Backdoor.Gpigeon)真相大揭底　专家为你实例剖析 - [安全资讯]

    灰鸽子真相大揭底　专家为你实例剖析

    作者：李铁军　来源：赛迪网

    灰鸽子，一个自诞生以来，就被各杀毒厂商一致喊打的木马程序，尽管其作者在软件许可中辩称自己是远程管理软件。

    “三尺长的大砍刀，刃上带锯齿，边上有血槽，刀柄里藏着几十发暴雨梨花针，还随刀附送淬毒所需全部材料和设备，现在贴个标拿出来卖，说自己是菜刀，你还真有才~~~~”这是网友对灰鸽子2007的评价

    2007年2月21日，灰鸽子2007beta2版本发布。该版本可以对远程计算机进行如下操作：编辑注册表；上传下载文件；查看系统信息、进程、服务；查看操作窗口、记录键盘、修改共享、开启代理服务器、命令行操作、监视远程屏幕、操控远程语音视频设备、关闭、重启机器等。

    从功能上看，该软件的确满足了远程管理的需求。问题是，作为网管，你会用它来做远程管理软件吗？笔者电话访问了10个网管朋友，其中5个在用pcanywhere，3个用远程桌面，2个用radmin。再问你会不会使用灰鸽子做远程管理时，全部都说“不”，其中一个朋友还说，网管用灰鸽子管服务器，那就是脑袋进水。

    本文简单列举一下灰鸽子客户端和服务端的功能，和真正的网管软件做个比较，试图给读者揭露灰鸽子软件的真实意图，看这个软件是否真如其作者所辩称的那样，仅是一款远程管理软件。

    远程管理软件一般有服务端（被控端）和客户端（控制端）两部分组成。管理员先在需要管理的服务器上安装启用服务端程序，服务端就开启相应网络端口，等待接受客户端的指令，客户端连接服务端指定端口后即可完成远程管理任务。所有管理员都知道远程管理的风险，只有具备远程管理权限的客户端才能正常建立连接。并且，所有的管理操作，在服务端，都会提供连接日志，以便管理员进行管理维护。有兴趣的朋友尽可以拿windows远程桌面和PcAnyWhere来试验。

    而灰鸽子服务端，不是等待客户端连接，而是系统一启动，服务端就会去自动上线连接控制端，控制端的操作人员随时可以完成他想要的操作，而这一切，服务端的管理员可能毫不知情。

    配置服务端自动上线



    图1

    服务端程序运行后自行删除，并且可以选择完全隐藏服务端图标，即使有服务端图标，和其它正常的远程管理软件不同的是，这个图标完全没有任何用处，你只是知道它存在而已，想关闭也很难办。

    配置即将种植在肉鸡上的病毒名



    图2

    配置病毒自动加载启动项

    服务名称可任意定制，这意味着非常多的人会被虚假信息蒙骗，这一项可以取消，这样配置出来的服务端，运行msconfig进行启动项管理，也不会发现木马的痕迹。



    图3

    配置代理服务器

    这样，中灰鸽子的机器就不明不白的为第三方提供网络连接服务了。使用代理服务器作跳板对第三方目标发起攻击，是黑客最爱干的事儿，一旦有人追查，这些代理服务器，就成了真正黑客的替罪羊。



    图4

    配置隐藏选项

    如下设置后，能有几个人发现被安装木马了呢。这绝对不是一个正常的远程管理软件应该具有的功能，那谁真正需要它呢？读者想想就清楚了。



    图5

    配置最终生成的程序图标

    都很熟悉吧，看到用这些图标做掩护的文件，相信不少人想都不想，就双击了吧。



    图6

    插件功能

    可用来捆绑第三方软件，比如流氓软件



    图7

    奇怪的是，这个辩称自己是远程管理软件的东东，在服务端却没有任何与访问权限和日志记录等管理软件必备的功能设置。真正的网管软件，服务端不需要日志记录吗？

    接下来，我们再看灰鸽子客户端想要控制什么。

    服务端启动后，客户端立即发现目标主机自动上线，意味着客户端可以为所欲为了



    图8

    直接操作肉鸡电脑文件

    可以任意操作目标主机上的文件，上传下载，删除修改，看中什么就拿什么。



    图9

    远程控制命令组

    有更多的功能可以操作，远程控制命令组，可以查看远程主机的系统信息、剪切板、进程、窗口、键盘记录器、服务、共享、模拟命令行操作、设置代理服务器和启动插件。下面这个是启用键盘记录器的记录。想想，如果目标主机的操作人员正在和某个MM聊天，或者正登录网络游戏，你的每个击键动作，都在别人的眼皮底下。



    图10

    远程编辑注册表

    上传个有害程序，修改目标主机注册表，让这个程序自动加载，和操作你本地的注册表一样容易。



    图11

    命令广播功能

    控制端可以把控制命令一次性广播到若干台计算机，如果一个攻击都利用灰鸽子组成了一个僵尸网络，用这个功能就可以同时完成一个特定的任务了。任务完成还可以立即远程卸载服务端，达到毁尸灭迹的效果。



    图12

    远程桌面

    是远程管理软件的基本功能，注意和windows的远程桌面比较一下，你会发现，客户端是不需要提供任何登录凭据的，想来就来，不用和门卫打招呼。

    远程Telnet

    和你在远程计算机上执行命令行是完全一样的，而这时候你去检查服务端计算机上的telnet服务，实际上仍是关闭着，灰鸽子自己设计了一个远程命令行工具。即使远程计算机的所有者禁用了telnet仍然无忌于事。



    图13

    远程控制摄像头

    这是灰鸽子开发者设计的最变态的功能，完全满足了部分偷窥狂人的欲望。可以控制远程计算机的摄像头，在服务端操作人员完全不知情的情况下，控制端可以把摄像头目标中的拍摄下来。机房里的服务器需要摄像头吗？



    图14

    看到这里，所有人都明白了灰鸽子到底想干什么，它是远程控制软件吗？它到底为谁开发的？程序员的智慧应该用在什么地方？灰鸽子不是其作者辩称的远程控制软件，是个彻头彻尾的恶意木马。

    灰鸽子拒认病毒身份辩称是远程管理软件

    作者：李铁军　来源：赛迪网

    用Google检索“灰鸽子病毒”，检索到约 268,000 项结果；用Baidu检索“灰鸽子病毒”，找到相关网页约548,000篇。灰鸽子自诞生之日起，就被反病毒专业人士判定为最具危险性的后门程序。2004-2006年，连续三年荣登国内10大病毒排行榜。

    就是这样一个极度危险的程序，其开发者在使用许可中辩称自己是远程管理软件，有可能被部分杀毒软件误认作后门程序查杀，建议使用前关闭杀毒软件，否则将不能正常使用该软件的功能。

    据金山反病毒中心提供的数据，金山毒霸截获的灰鸽子变种数量已经超过6万个，每一家杀毒软件厂商在得到灰鸽子新样本后，就会毫不犹豫地将其纳入新的查杀目标。如果一个正常的软件，一旦被反病毒产品判定为病毒，其开发者会第一时间要求反病毒公司修正其错误。而灰鸽子的作者从来没有，而是不断推陈出新，同全球反病毒产品持续对抗达5年之久，并且丝毫没有放弃的迹象，这极其不寻常。

    毒霸最早截获灰鸽子是在2001年，功能相对简陋，病毒化的趋势也不甚明显。随着其版本的不断更新，病毒化特征日趋显著，利用HOOK API的方式实现病毒文件及病毒进程的隐藏，不是有经验的人，很难发现中了灰鸽子。2007年2月21日，灰鸽子2007beta2版本发布。该版本可以对远程计算机进行如下操作：编辑注册表；上传下载文件；查看系统信息、进程、服务；查看操作窗口、记录键盘、修改共享、开启代理服务器、命令行操作、监视远程屏幕、操控远程语音视频设备、关闭、重启机器等。而这所有操作，远程计算机的操作人员可能毫不知情。

    登录www.virustotal.com，把灰鸽子2007生成的服务端上传，有以下国外软件报告发现病毒：



    使用国产反病毒软件检测结果：

    金山：Win32.Hack.Huigezi.nl.713216

    江民：Backdoor/Huigezi.jv.hook

    瑞星：Backdoor. Gpigeon.2007.b

    【支招】“灰鸽子”完整猎杀方案

    2007年03月14日来源：京华时报记者：孙尚伟

    　　怎么预防“灰鸽子”

    　　灰鸽子自身并不具备传播性，一般通过网页、邮件、IM聊天工具、非法软件四种途径进行传播。

    　　网页传播是指病毒制作者将灰鸽子病毒植入网页中，用户浏览即感染；邮件传播是指灰鸽子被捆绑在邮件附件中进行传播；IM聊天工具传播是指通过即时聊天工具传播携带灰鸽子的网页链接或文件；非法软件传播是指病毒制作者将灰鸽子病毒捆绑进各种非法软件，用户下载解压安装即感染。

    　　灰鸽子病毒泛滥已经数年，变种数万，因为病毒具备很好的隐形特性，让人防不胜防。日前记者采访了金山、瑞星、江民等杀毒厂商，他们建议网友在使用电脑时应注意以下几点：

    　　1.注意安装IE浏览器的补丁程序，很多灰鸽子是攻击者故意把病毒放在带漏洞攻击程序的网站上，有漏洞的机器访问这些网站就会中毒。

    　　2.及时升级杀毒软件，使用盗版杀毒软件（或者一个正版ID用在多台计算机上）是不能正常升级的，特别需要检查。

    　　3.对朋友或陌生人发送来的可疑程序不要运行，别被对方的谎言蒙骗。

    　　4.关闭所有磁盘的自动播放功能，避免插入带毒U盘、移动硬盘、数码存储卡中毒。

    　　如何猎杀“灰鸽子”

    　　由于灰鸽子本身的隐蔽性很强，用Windows系统自带的工具，很难发现灰鸽子入侵。那我们如何去发现电脑中已经被植入的灰鸽子病毒呢？一般而言大家可采用杀毒软件将 “灰鸽子”病毒查杀掉，但是由于“灰鸽子”不断变种，因此大家需要经常更新，而且即使更新也难以跟上“灰鸽子”的变种速度。所以，电脑用户还可以去下载一些专杀工具，如果即使下载专杀工具仍无法完全清除“灰鸽子”的话，建议电脑用户可采用手工杀毒的办法来清除“灰鸽子”木马程序。

    　　手工杀毒办法

    　　手工杀毒需要借助工具软件：冰刃。无法根据进程列表看出哪个是病毒时，可以启动冰刃，同时打开任务管理器比较一下，冰刃里多出的进程可能就是灰鸽子病毒。进程名如果是假冒word、记事本的图标，需要重点关注（如图一）。





    　　选中G_server2007进程，单击右键，结束进程（如图二），然后直接根据提示点左边的文件，浏览到上图程序名称提示的文件夹，找到g_server2007.exe和g_server2007.DLL（中毒后的文件名由攻击者定制，各不相同，应尽可能根据冰刃提示的路径去查找。有的版本带有_hook.dll，可以查看文件日期，应该是同时生成的。）点击右键，彻底删除即可。





    　　■链接

    　　“灰鸽子”身世

    　　2004年、2005年、2006年，“灰鸽子”木马因为连续三年被国内各大杀毒厂商评选为年度十大病毒而声名大噪，逐步成为媒体以及网民关注的焦点。自2001年出现至今，灰鸽子主要经历了模仿期、飞速发展期以及全民黑客时代三大阶段。

    　　“灰鸽子”最初主要模仿“冰河”木马，早期并未以成品方式发布，更多的是以技术研究的姿态，采用源码共享的方式出现在互联网。由于名气不及“冰河”，当时只出现了少量的感染，但其开放源码的方式也使其传播量逐渐增大。

    　　因为源码开放，“灰鸽子”的版本越来越多。当时，大部分安全厂商将对用户上报和监测到的“灰鸽子”服务端都认定为“黑客程序”，并坚决查杀，在一定程度上遏制了灰鸽子的发展速度。

    　　2004年至2005年，大量的商业动作实现了互联网化，电子商务成为普通网民进行消费的选择之一，网络游戏在中国大地全面开花。在这样的情况下，大量通过IM（即时通讯软件）传播的木马和病毒不择手段地从用户系统中盗取网银账号、网游账号及密码，给中国互联网提出了新的挑战。灰鸽子也逐步进入成熟期，大量变种在互联网中衍生。

    随机文章：


    收藏到：Del.icio.us





    Tag：灰鸽子 真相 木马 杀毒
    引用地址：
    查皮 发表于14时46分04秒 | 编辑 | 继续话题 | 转发 | 推荐

发表评论

您将收到博主的回复邮件
记住我