[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） v-OaH81&R  
病毒别名：Backdoor.Jusi.i（瑞星） D{c`H}/`  
病毒大小：216,576 字节 ibEQ52  
加壳方式：SVKP q")}vN  
样本MD5：e17774b70be4427768180286a6889fae  I"r
*p?  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d 0n
BAO  
传播方式：恶意网页、其它病毒下载 @zE_fL  
u"nyx0<  
技术分析 tlc&Wx  
========== !tN]OQ)'  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： Tf` ~=fg%  
文件版本：5.2.3790.1830 o[_{\  
描述：Generic Host Process for Win32 Services ?!b}Ir<1j
 
版权：(C) Microsoft Corporation. All rights reserved. s<n5^Vxy  
产品.名称：Microsoft(R) Windows(R) Operating System [5>0om5  
公司：Microsoft Corporation e)O6k7U$  
木马运行后复制自身到系统目录： gwNv;g  
%System%NeroCheck.exe hV_0f_Og  
释放dll注入进程： Y*J,9  
%System%NeroCheck.dll ,myl9s  
以及%System%SVKP.sys文件。 EFhe``  
使用%temp%delmeexe.bat批处理删除自身： =Bl#CE)X  
@echo off H~fZA)W 4Y  
:loop 5X'[{'i,  
del "exe" #k*e>d$  
del "%temp%delmeexe.bat" &vo]l~.  
if exist %temp%delmeexe.bat goto loop 字串9 ;4%^4<+3  
木马创建以下服务： 0Bb amU  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] N_h)L`  
显示名：Indexing Services H+t^eg88  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. "|(+~8[  
可执行文件的路径：%System%NeroCheck.exe n hS=t8H  
清除步骤 ur"ckuG!9  
========== d.sxB}_O  
1. 删除木马的.服务项： >$k_tC'"  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] X]
M)T  
2. 重新启动计算机 .pK_j~}P  
3. 删除.木马文件： Busxg?=  
%System%NeroCheck.exe 5)nm6sf  
%System%NeroCheck.dll &*r YY\I  
%System%SVKP.sys &?v^xAr?B