[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） c wNJ{S+  
病毒别名：Backdoor.Jusi.i（瑞星） %
k%%3L,  
病毒大小：216,576 字节 ES-V'[+jDy  
加壳方式：SVKP T:T`M:C.  
样本MD5：e17774b70be4427768180286a6889fae K|pg'VT"  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d I(<9e"1O  
传播方式：恶意网页、其它病毒下载 Az7 ]qb  
:@uIEvD?  
技术分析 (1EtC{ m  
========== e,kxg^  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： ZnKjU ]m  
文件版本：5.2.3790.1830 IG+g7kDCY  
描述：Generic Host Process for Win32 Services JBhM*-t(M1  
版权：(C) Microsoft Corporation. All rights reserved. mT:NC'b<9  
产品.名称：Microsoft(R) Windows(R) Operating System vtq$@#?~ b  
公司：Microsoft Corporation xU/7}='T  
木马运行后复制自身到系统目录： kEgpF{"%n  
%System%NeroCheck.exe clG@]<a`_  
释放dll注入进程： 7|5X> yt  
%System%NeroCheck.dll Ii9[[I  
以及%System%SVKP.sys文件。 nw4I<Q  
使用%temp%delmeexe.bat批处理删除自身： <%o9*)F  
@echo off dGyrzuPJ  
:loop K| dI'TnW  
del "exe" 44NMof8N  
del "%temp%delmeexe.bat" Gv[s86AP,  
if exist %temp%delmeexe.bat goto loop 字串9 _aeIK  
木马创建以下服务： /4*Y#IpZ  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] !4-4i  
显示名：Indexing Services @)\4 $#+-  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. |nCVM\+5T  
可执行文件的路径：%System%NeroCheck.exe 80zpRU"  
清除步骤 _tUh*"e&  
========== V&*|%,q  
1. 删除木马的.服务项： iYZn`OAx  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] _9g-D9  
2. 重新启动计算机 y\omJx=,  
3. 删除.木马文件： e2e!"kEF  
%System%NeroCheck.exe ;FQNO:NP  
%System%NeroCheck.dll 9X?RJ."J  
%System%SVKP.sys +4$][3.