【IT168 专稿】该恶意代码文件为灰鸽子变种木马，病毒运行后创建互斥量名"EntSver.exe"，拷贝自身文件到%Windir%目录下重命名为"EntSver.exe"，打开服务管理器添加注册表病毒服务，通过服务方式启动病毒，删除注册表项，释放批处理文件删除病毒原文件，衍生2个病毒DLL文件到%Windir%目录下并使用rootkit技术将病毒DLL文件隐藏试图将DLL文件注入到系统所有进程中，连接网络等待接收远程控制者发送的控制命令，受感染的用户机器会被控制者完全控制。

    EntSverKey.dll行为分析：该病毒文件被注入到系统所有进程中，主要行为可以记录用户输入的键盘信息，在%Windir%目录下省城一个EntSverKey.log来记录用户输入的键盘信息来窃取用户的敏感数据，该LOG进行了加密处理当远程控制者发送查看命令则可以看到后用户输入的键盘明文信息。

    EntSver.dll行为分析：该病毒文件被注入到Explorer.exe进程中，开启8000端口连接网络等待远程控制者发送各种控制指令。

    行为分析-本地行为

    1、文件运行后会释放以下文件
    %Windir%\EntSver.exe
    %Windir%\EntSverKey.dll
    %Windir%\EntSver.dll

    2、创建注册表病毒服务项
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008\Description 
    值: 字符串: "WindowsEntServer2008"
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008\DisplayName
    值: 字符串: "WindowsEntServer2008"
    描述：病毒服务描述及服务名称
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008\ImagePath
    值: 字符串: "C:\WINDOWS\EntSver.exe"
    描述: 服务映像文件的启动路径
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008\Start
    值: DWORD: 2 (0x2)
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008\Type
    值: DWORD: 16 (0x10)
    类型： REG_SZ
    描述: 服务启动方式及类型

    3、衍生病毒DLL注入到系统所有进程中、截取用户输入的键盘信息保存到LOG中以便病毒作者查看记录，通过Explorer.exe进程连接网络等待接收病毒作者发送的控制指令。

    行为分析-网络行为

    协议：TCP
    端口：8000
    IP地址：125.90.55.**
    描述：连接到IP地址等待接收病毒作者发送的控制指令

    清除方案

    手工清除请按照行为分析删除对应文件，恢复相关系统设置。

    推荐使用ATool管理工具，请点击下载(http://www.antiy.com/cn/download/atool.htm)。
    （1）使用ATOOL “进程管理”结束病毒进程EntSver.exe。

    （2）使用ATOOL“文件管理”强行删除病毒文件
    %Windir%\EntSver.exe
    %Windir%\EntSverKey.dll
    %Windir%\EntSver.dll

    （3）删除病毒服务注册表项
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WindowsEntServer2008
    删除Services键下的WindowsEntServer2008主键值