[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） aeJHMHFc  
病毒别名：Backdoor.Jusi.i（瑞星） .|70;  
病毒大小：216,576 字节 I+!
0O  
加壳方式：SVKP +'HqgSPyb  
样本MD5：e17774b70be4427768180286a6889fae UB@+ck  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d ]w8(&,PP  
传播方式：恶意网页、其它病毒下载 |u<7?)mp  
^jZbo{  
技术分析 ;*Et[}3  
========== YjKxb9  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： #q=Efn
'  
文件版本：5.2.3790.1830 ^hM4j{
|&M  
描述：Generic Host Process for Win32 Services kdeWip6Y  
版权：(C) Microsoft Corporation. All rights reserved. ;?p>e
'  
产品.名称：Microsoft(R) Windows(R) Operating System ]{@-HTt  
公司：Microsoft Corporation S2&4g/  
木马运行后复制自身到系统目录： mz0X3  
%System%NeroCheck.exe VpDbHAg  
释放dll注入进程： iqWQ!r^  
%System%NeroCheck.dll +ye3HGD  
以及%System%SVKP.sys文件。 ;HO=  
使用%temp%delmeexe.bat批处理删除自身： W^l-Y%a/o  
@echo off oap4rHk}  
:loop %IWPM"  
del "exe" }K|oicpUg  
del "%temp%delmeexe.bat" p<"mt]  
if exist %temp%delmeexe.bat goto loop 字串9 4|DWOQ':  
木马创建以下服务： 2P0*NQ  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] @\#td5'  
显示名：Indexing Services -[.[>&`/  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. Rima;9.Y0  
可执行文件的路径：%System%NeroCheck.exe jNk%OrP]  
清除步骤 2BwO!Y[  
========== XwaXdvmK  
1. 删除木马的.服务项： fNFY$:4X  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] "4{r6[dn  
2. 重新启动计算机 k{-Cwo  
3. 删除.木马文件： <)D$51 &0  
%System%NeroCheck.exe /%^#8<=|U  
%System%NeroCheck.dll a&? :P1$  
%System%SVKP.sys 6=Otq=WH