Backdoor.Win32.GrayBird.ph该病毒属后门类，是灰鸽子（风云版）的变种，计算机中此病毒后会被远程控制。该病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身。修改注册表，新建服务，并以服务的方式达到随机启动的目的。
Backdoor.Win32.GrayBird.ph详细介绍
Backdoor.Win32.GrayBird.ph该病毒属后门类，是灰鸽子（风云版）的变种，计算机中此病毒后会被远程控制。该病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身。修改注册表，新建服务，并以服务的方式达到随机启动的目的。
Backdoor.Win32.GrayBird.ph病毒概况
病毒名称： Backdoor.Win32.GrayBird. ph
病毒类型： 后门
文件 MD5： F1AC04CD0556855B1A0153E71AFAF31B
文件长度： 280,183 字节
感染系统： Win9X以上系统
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： nSpack V2.9
UPolyX v0.5
命名对照： 驱逐舰
AVG
Backdoor.Win32.GrayBird.ph行为分析
1 、病毒运行后复制自身到系统文件夹下，并重命名为 klylgz.com.cn.exe ，之后删除自身：
%WINDIR%klylgz.com.cn.exe
2 、修改注册表，新建服务，并以服务的方式达到随机启动的目的：
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe
键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 "
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe
键值 : 字串 : "DisplayName"="conminec.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_CONMINEC.EXE0000Control
键值 : 字串 : " ActiveService "= "conminec.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesconminec.exe
键值 : 字串 : " ImagePath "= "C:WINDOWSklylgz.com.cn.exe"
3 、新建服务，并以服务的方式达到随机启动的目的：
服务名称： conminec.exe
显示名称： conminec.exe
描述：维护网络上计算机的更新列表
可执行文件的路径： C:WINDOWSklylgz.com.cn.exe
启动方式：自动
4 、该病毒运行后创建 IEXPLORER.EXE 进程。
5 、该病毒属灰鸽子变种，中此病毒后会被黑客远程控制用户计算机。
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:WinntSystem32 ， windows95/98/me 中默认的安装路径是 C:WindowsSystem ， windowsXP 中默认的安装路径是 C:WindowsSystem32 。
--------------------------------------------------------------------------------
Backdoor.Win32.GrayBird.ph清除方案
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用 安天木马防线 “进程管理”关闭病毒进程
IEXPLORER.EXE
(2) 删除病毒文件
%WINDIR%klylgz.com.cn.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
conminec.exe
键值 : 字串 : "Description"=" 维护网络上计算机的更新列表 "
HKEY_LOCAL_MACHINESYSTEMControlSet001Services conminec.exe
键值 : 字串 : "DisplayName"="conminec.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot
LEGACY_CONMINEC.EXE0000Control
键值 : 字串 : " ActiveService "= "conminec.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
conminec.exe
键值 : 字串 : " ImagePath "= "C:WINDOWSklylgz.com.cn.exe"
关闭并禁止服务： conminec.exe
