[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） Y_6v@Si
O  
病毒别名：Backdoor.Jusi.i（瑞星） :*/g~y(fE  
病毒大小：216,576 字节 A9KPU:  
加壳方式：SVKP PI@?I&
Bo  
样本MD5：e17774b70be4427768180286a6889fae (! 8y~n1  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d AiL80W^=d)  
传播方式：恶意网页、其它病毒下载 g{ ;OgS3>  
OnU-FX<  
技术分析 /bn$@Cy@  
========== g<ov` bF  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： q{%~(A5*H  
文件版本：5.2.3790.1830 K%_UNivN  
描述：Generic Host Process for Win32 Services HRJ\H- V  
版权：(C) Microsoft Corporation. All rights reserved. $E!f@L  
产品.名称：Microsoft(R) Windows(R) Operating System #|3,DZ|)F  
公司：Microsoft Corporation XwfR/4  
木马运行后复制自身到系统目录： >JA>np  
%System%NeroCheck.exe vRn]u57O  
释放dll注入进程： |3~]XN-  
%System%NeroCheck.dll w ~"%&SNN  
以及%System%SVKP.sys文件。 Sb?Ua*(L:  
使用%temp%delmeexe.bat批处理删除自身： L7nG5i  
@echo off >$yA ,N  
:loop ?Q$a@)x#  
del "exe" V2xvuDHI  
del "%temp%delmeexe.bat" ..k8HFz>"  
if exist %temp%delmeexe.bat goto loop 字串9 jse!EtB:  
木马创建以下服务： ~g%Ht#<  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] Q1{9>NI  
显示名：Indexing Services ]d~{8h!G  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. SSbx[<E3  
可执行文件的路径：%System%NeroCheck.exe uJlW$Oc:.  
清除步骤 x%O6/rl  
========== 9ZG:2ncdJ  
1. 删除木马的.服务项： *0?@/2&  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] yTn<5T[H  
2. 重新启动计算机 FC~%G&K/q^  
3. 删除.木马文件： \{!,a  
%System%NeroCheck.exe o2hk!#5[4  
%System%NeroCheck.dll XPZ8*8JL  
%System%SVKP.sys _~D#?cFY6