[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） G!C2[:[g  
病毒别名：Backdoor.Jusi.i（瑞星） pej/9{*xg(  
病毒大小：216,576 字节 J$%mG*Y(  
加壳方式：SVKP hHm&u^xY  
样本MD5：e17774b70be4427768180286a6889fae {Nuwz|Ci  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d U"v(9m@  
传播方式：恶意网页、其它病毒下载 No=Ig-It  
G^ZL,{  
技术分析 zQMsS  
========== )!SVV~y  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： @0;9.jml,  
文件版本：5.2.3790.1830 y{0`+/\`  
描述：Generic Host Process for Win32 Services bjmUU6VLT  
版权：(C) Microsoft Corporation. All rights reserved. Ia=wf"JS)  
产品.名称：Microsoft(R) Windows(R) Operating System V<$g^Vb  
公司：Microsoft Corporation ;e_dk4_  
木马运行后复制自身到系统目录： Ou"QUn|  
%System%NeroCheck.exe f<= #WV  
释放dll注入进程： ; =ai]AYW  
%System%NeroCheck.dll nU-.a5  
以及%System%SVKP.sys文件。 H[wJ; l  
使用%temp%delmeexe.bat批处理删除自身： Qx1ZxJz #  
@echo off cpF\^[D  
:loop '>^+_|2  
del "exe"  ?}e8g  
del "%temp%delmeexe.bat" Og4 X3QG  
if exist %temp%delmeexe.bat goto loop 字串9 DN2K4%cM%'  
木马创建以下服务： >_!pg<{,  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] >
pW8K[  
显示名：Indexing Services 3ZGU?Z;R  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. dQVV0)z  
可执行文件的路径：%System%NeroCheck.exe <*3{Twa1T  
清除步骤 ;nyV)+t+a  
========== 2 :u4~E3  
1. 删除木马的.服务项： 22"M#:r$  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] f ?_YdVZ  
2. 重新启动计算机 ^o+2:G5z}  
3. 删除.木马文件： bHH{bv~Z  
%System%NeroCheck.exe *6sB$E_y  
%System%NeroCheck.dll " ;_bB"q*  
%System%SVKP.sys !@{_Qt1