近期，据江民杀毒软件公司介绍，他们接到了大量的用户上报， “灰鸽子”病毒及其变种正在网上加速传播。目前该病毒在每周十大病毒排行中位居首位，并以每天十几个变种的速度加速传播。

江民反病毒专家介绍，“灰鸽子”变种病毒运行后，会自我复制到Windows目录下，并自行将安装程序删除，修改注册表，将病毒文件注册为服务项实现开机自启。病毒程序还会注入所有的进程中，隐藏自我，防止被杀毒软件查杀。自动开启IE浏览器，以便与外界进行通信，侦听黑客指令，在用户不知情的情况下连接黑客指定站点，盗取用户信息、下载其它特定程序。

正是由于“灰鸽子”变种主程序一般是隐藏的，该文件在正常模式下不易被杀毒软件查杀，而且利用一些加壳工具可以十分容易地对其进行修改，从而轻易生成新变种。由于病毒变种十分迅速，杀毒软件需要不停地进行病毒库升级，如果用户遇到的是一个没有加到杀毒软件病毒库的新病毒，那么就会出现杀不掉的现象，另外一些杀毒软件对于隐藏进程的病毒查杀效果较差，也可能出现类似问题。

由于灰鸽子拦截了API调用，在正常模式下服务端程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。但是，通过专家的仔细研究发现，对于灰鸽子的检测仍然是有规律可循的。

从灰鸽子的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出灰鸽子 服务端。由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。

手工检测灰鸽子病毒的方法如下：

1、启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”；

2、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—>“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”，

3、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）；