标题：Backdoor.win32.huigezi.gen
概述
病毒名称： Backdoor.win32.huigezi.gen 
病毒类型： 后门 
文件 MD5： 132EB480CD95753826C8A709784B832C 
公开范围： 完全公开 
危害等级： 4 
文件长度： 820,224 字节 
感染系统： windows98 以上系统 
开发工具： Borland Delphi 6.0 - 7.0 
加壳类型： SVKP 1.3x -> Pavol Cerven 
命名对照： Symentec[无] 
Mcafee[ 无 ]
行为分析
1、 衍生和下载的病毒文件： 
%system32%\svkp.sys 　 
%windir%\system3key.log 
2、 添加的注册表项： 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Class 
值 : 字符串: "LegacyDriver" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\ClassGUID 
值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\ConfigFlags 
值 : DWORD: 0 (0) 　　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\ 　　　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\*NewlyCreated* 
值 : DWORD: 0 (0) 　　　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Control\ActiveService 
值 : 字符串: "Gray Server Process Launcher" 　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\DeviceDesc 
值 : 字符串: "Gray Server Process Launcher" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Legacy 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\0000\Service 
值 : 字符串: "Gray Server Process Launcher" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_GRAY_SERVER_PROCESS_LAUNCHER\NextInstance 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Class 
值 : 字符串: "LegacyDriver" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\ClassGUID 
值 : 字符串: "{8ECC055D-047F-11D1-A537-0000F8753ED1}" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\ConfigFlags 
值 : DWORD: 0 (0) 　　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Control\ 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Control\*NewlyCreated* 
值 : DWORD: 0 (0) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Control\ActiveService 
值 : 字符串: "SVKP" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\DeviceDesc 
值 : 字符串: "SVKP" 　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Legacy 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\0000\Service 
值 : 字符串: "SVKP" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ 
LEGACY_SVKP\NextInstance 
值 : DWORD: 1 (0x1) 　　 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\DisplayName 
值 : 字符串: "SVKP" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\Enum\0 
值 : 字符串: "Root\LEGACY_SVKP\0000" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\Enum\Count 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\Enum\NextInstance 　　 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\ErrorControl 
值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\Start 
值 : DWORD: 2 (0x2) 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 
SVKP\Type 
值 : DWORD: 1 (0x1) 
4、 开起 Gray sever process launcher服务： 
服务描述：为gray服务提供加载功能。 
5、连接网络： 
IP：222.187.247.79 
端口：3256 
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。 
Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的 
安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。 
--------------------------------------------------------------------------------
清除方案
1、使用安天木马防线可彻底清除此病毒(推荐)。 
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1) 使用 安天木马防线 “进程管理”关闭病毒进程 
(2) 删除病毒文件 
%system32%\svkp.sys 
%windir%\system3key.log 
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项 
(4) 禁止 Gray sever process launcher服务。