灰鸽子木马生成器

2004年夏天，灰鸽一个叫“灰鸽子”的木马木马程序出现在国内几个黑客论坛上。它的生成作者自称“小榕”，发布时附带了一份说明文档，灰鸽措辞克制，木马甚至有点技术宅的生成羞涩。没人想到，灰鸽这个最初只支持基本远程控制的木马工具，会在接下来几年里演变成中国互联网史上最臭名昭著的生成木马生成器之一。

灰鸽子的灰鸽核心是一个服务端和一个客户端。服务端被植入目标电脑后，木马客户端就能远程操作那台机器——看屏幕、生成翻文件、灰鸽开摄像头、木马记录键盘。生成真正让它泛滥的，是配套的“生成器”。任何人拿到灰鸽子，填几个参数，点一下按钮，就能生成一个专属的木马服务端。不需要懂编程，不需要理解网络协议。生成器把门槛踩平了。

我见过一个典型的灰鸽子服务端文件，图标伪装成一张图片，大小不到200KB。双击之后没有任何反应，进程里多了一个explorer.exe的冒牌货。任务管理器里看，CPU占用几乎为零，普通用户根本察觉不到。那时候杀毒软件的主动防御还停留在特征码扫描阶段，灰鸽子每次生成都会重新编译，特征码一变，免杀就成立了。论坛上有人专门卖“免杀灰鸽子”，一个版本50块，包更新。

2006年到2007年，灰鸽子进入爆发期。网吧是重灾区。你在网吧登录QQ，输入密码，键盘记录已经发到别人邮箱了。更夸张的是摄像头——很多人家里电脑中了灰鸽子，摄像头指示灯莫名亮起，自己却不知道。有个案例我印象很深：某地警方破获一起案件，嫌疑人用灰鸽子控制了上百台电脑，其中大部分是年轻女性的家用机。他远程打开摄像头，录下视频，然后敲诈。受害者不敢报警，因为对方手里有她的隐私画面。

灰鸽子的作者后来被警方找上门。2007年，小榕删除了灰鸽子在各大下载站的链接，停止更新。但代码已经流出去了。网上出现大量修改版，有人加壳，有人改通信协议，有人把服务端和生成器打包成“傻瓜套餐”在淘宝卖。灰鸽子这个名字成了一个符号，代表那个野蛮生长年代里最典型的黑色产业链雏形。

从技术角度看，灰鸽子并不高明。它的通信没有强加密，流量特征明显，放到今天随便一个EDR都能拦。但它踩中了几个关键点：Windows XP时代用户权限管理松散，个人防火墙普及率低，杀软反应慢，再加上生成器把攻击成本压到接近于零。一个初中生花一个下午就能学会，然后拿去控制同学电脑。这种低门槛的破坏力，比任何高级APT都可怕。

现在灰鸽子早就不流行了。但它的逻辑还在——后来的Gh0st、PlugX、甚至某些商业远控，都能看到灰鸽子的影子。生成器模式被继承下来，只是换了个界面，加了云控，加了反沙箱。每次看到新的“一键生成木马”工具，我都会想起那个2004年的夏天，一个叫小榕的人按下发布键的瞬间。他可能只是想写个远程管理工具，但代码一旦放出去，就不再属于他了。