Jest to backdoor umożliwiający przejęcie zdalnej kontroli nad zainfekowanym komputerem. Powstał przy użyciu środowiska programistycznego Delphi i ma postać pliku PE EXE o rozmiarze 418 304 bajtów (kompresja Aspack).

Instalacja

Podczas instalacji szkodnik tworzy swojÄ… kopiÄ™:

%Windir%G_Server.exe

Backdoor tworzy także następujące pliki w folderze systemu Windows:

• %Windir%G_ServerKey.dll (38 912 bajtów)
• %Windir%G_Server.dll (372 736 bajtów)
• %Windir%G_Server_HOOk.dll (61 440 bajtów)

Pliki G_Server.exe, G_ServerKey.dll oraz G_Server.dll all posiadają następujące atrybuty: "ukryty", "systemowy" oraz "tylko do odczytu".

G_ServerKey.dll jest wykrywany przez oprogramowanie Kaspersky Anti-Virus jako Backdoor.Win32.Hupigon.mk. Pliki G_Server_HOOk.dll oraz G_Server.dll sÄ… wykrywane jako Backdoor.Win32.Hupigon.lk.

Backdoor rejestruje usługę GrayPigeonServer w trybie automatycznego uruchamiania. W tym celu szkodnik tworzy następujące klucze rejestru:

W systemach Windows NT, 2000, XP oraz Server 2003:

• [HKLMSystemCurrentControlSetServicesGrayPigeonServer]
  "DisplayName"="Gray_Pigeon_Server"
  "ErrorControl"="dword:00000000"
  "ImagePath"="%windir%G_Server.exe"
  "ObjectName"="LocalSystem"
  "Start"="dword:00000002"
  "Type"="dword:00000272"
• [HKLMSystemCurrentControlSetServicesGrayPigeonServerEnum]
  "0"="RootLEGACY_GRAYPIGEONSERVER000"
  "Count"="dword:00000001"
  "NextInstance"="dword:00000001"
• [HKLMSystemCurrentControlSetServicesGrayPigeonServer]
  "Security"="01 00 14 80 90 00 00 00 9c 00 00 00 14..."
• [HKLMSystemCurrentControlSetRootLEGACY_GRAYPIGEONSERVER]
  "NextInstance"="dword:00000001"
• [HKLMSystemCurrentControlSetRootLEGACY_GRAYPIGEONSERVER000]
  "Class"="LegacyDriver"
  "ClassGUID"="{8EECC055D-057F-11D1-A537-0000F8753ED1}"
  "ConfigFlags"="dword:00000000"
  "DeviceDesc"="Gray_Pigeon_Server"
  "Legacy"="dword:00000001"
  "Service"="GrayPigeonServer"

W systemach Windows 98 oraz ME:

• [HKEY_USER.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
  "G_Server.exe"="%windir%G_Server.exe"
• [HKCUSoftwareMicrosoftWindowsCurrentVersionRun]
   "G_Server.exe"="%windir%G_Server.exe"

Funkcje backdoora

Szkodnik wykorzystuje technologię rootkit w celu ukrywania swojego procesu w systemie. Backdoor modyfikuje pamięć aktywnych procesów, co prowadzi do wykonywania przez nie szkodliwych funkcji. Plik szkodnika nie jest widoczny na liście aktywnych procesów.

Trojan uruchamia zainstalowaną wcześniej przez siebie usługę GrayPigeonServer. Następnie infekowany jest plik IEXPLORER.EXE poprzez otwarcie go i zapisanie danych backdoora do jego przestrzeni adresowej (włącznie z funkcjami z bibliotek G_Server_HOOk.dll oraz G_ServerKey.dll). Od tego momentu IEXPLORER.EXE będzie infekował wszystkie aktywne procesy. Na koniec backdoor usuwa oryginalny plik, z którego został pierwotnie uruchomiony.

W celu oznaczenia zainfekowanego systemu szkodnik tworzy unikatowy identyfikator:

Gpigeon5_Shared_2005
Gpigeon5_Shared_HIDE (dla biblioteki G_Server_HOOk.dll)

Zainfekowany proces IEXPLORER.EXE próbuje nawiązywać połączenia z adresem vip.***gezi.com:8004 w celu uzyskania parametrów pobierania plików o otwierania szeregu portów. Wszystko to ma na celu umożliwienie zdalnemu agresorowi uzyskania dostępu do zainfekowanego komputera.

Usuwanie szkodnika z zainfekowanego systemu

W celu usunięcia szkodnika z zainfekowanego systemu należy wykonać następujące czynności:

1. Uruchomić system Windows w Trybie Awaryjnym (podczas włączania komputera należy trzymać wciśnięty przycisk F8 na klawiaturze, aż do momentu pojawienia się na ekranie tekstowego menu zawierającego pozycję "Tryb Awaryjny")
2. Usunąć z dysku następujące pliki:

   %Windir%G_Server.exe
   %Windir%G_ServerKey.dll
   %Windir%G_Server.dll
   %Windir%G_Server_HOOk.dll
   

3. Usunąć następujące wpisy z rejestru systemowego:
   • [HKLMSYSTEMCurrentControlSetServicesGrayPigeonServer]
   • [HKLMSYSTEMCurrentControlSetRootLEGACY_GRAYPIGEONSERVER]

4. Uaktualnić sygnatury zagrożeń i wykonać pełne skanowanie antywirusowe całego komputera (w tym celu można skorzystać z wersji testowej oprogramowania Kaspersky Anti-Virus)