[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） H_l>L9/\  
病毒别名：Backdoor.Jusi.i（瑞星） %!L*ec%,  
病毒大小：216,576 字节 |A H@
W#7j  
加壳方式：SVKP \J6e/ G  
样本MD5：e17774b70be4427768180286a6889fae AUaupNN  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d $BOIa  
传播方式：恶意网页、其它病毒下载 25;`yB$  
X(>aW*q  
技术分析 /\pUA!G)BD  
========== >k2^A  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： 7z8   
文件版本：5.2.3790.1830 7#g<
fh  
描述：Generic Host Process for Win32 Services O-+!KXHd[  
版权：(C) Microsoft Corporation. All rights reserved.
f
a/p  
产品.名称：Microsoft(R) Windows(R) Operating System JNA_*3'  
公司：Microsoft Corporation ;|CG9|p
 
木马运行后复制自身到系统目录： <@v|~AO4~  
%System%NeroCheck.exe b]WvKdq  
释放dll注入进程： r+MqjdXG  
%System%NeroCheck.dll :O*62olC5  
以及%System%SVKP.sys文件。 Tz/[P:O3  
使用%temp%delmeexe.bat批处理删除自身： 7{[i)  
@echo off .R@euIva
 
:loop w`Rt"d_B  
del "exe" 6 c-9[-Px  
del "%temp%delmeexe.bat" *x.gPG  
if exist %temp%delmeexe.bat goto loop 字串9 WjBtL52  
木马创建以下服务： w< |Lx#L}  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] *jy"g64j  
显示名：Indexing Services 8WG_4e  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. 1[". z{V3*  
可执行文件的路径：%System%NeroCheck.exe 2\[ Q{T=Qe  
清除步骤 e" p5hpl  
========== y)`q% J&  
1. 删除木马的.服务项： pf_`{2.\uO  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] &$pA,Gjin\  
2. 重新启动计算机 i]zTY\gw8M  
3. 删除.木马文件： uU8L93  
%System%NeroCheck.exe ,j[1!*Z_[  
%System%NeroCheck.dll liH1r1M  
%System%SVKP.sys p/jAr+XM