[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） ?ZHE8  
病毒别名：Backdoor.Jusi.i（瑞星） yC0f/O  
病毒大小：216,576 字节 zc/%1  
加壳方式：SVKP QHs:=i~VH  
样本MD5：e17774b70be4427768180286a6889fae &1E~ \
8U  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d ?ey&Un"  
传播方式：恶意网页、其它病毒下载 ;q,)NAr&  
`x$}~rP&)!  
技术分析 'CX.qxF1;p  
========== .\~P -{Hd  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： w$lfR,  
文件版本：5.2.3790.1830 $wYuH9(  
描述：Generic Host Process for Win32 Services TdP{{&'9  
版权：(C) Microsoft Corporation. All rights reserved.
?FV7|)f  
产品.名称：Microsoft(R) Windows(R) Operating System dD^_^'i  
公司：Microsoft Corporation j&[.2PW\  
木马运行后复制自身到系统目录： u1)TG"+0  
%System%NeroCheck.exe W]D`f8r9  
释放dll注入进程： {nPkb5xbW  
%System%NeroCheck.dll ?Tc)f_a  
以及%System%SVKP.sys文件。 _Hd1sx  
使用%temp%delmeexe.bat批处理删除自身： <a+eF}*2  
@echo off X}j'L&{F@  
:loop !*?(Q6  
del "exe" adO!Gs9f?  
del "%temp%delmeexe.bat" I,<>%Z|'  
if exist %temp%delmeexe.bat goto loop 字串9 Dl zmAN  
木马创建以下服务： Sz|Y$,  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] 85%Pq:E  
显示名：Indexing Services u1;e*t
y  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. qXB03}] G  
可执行文件的路径：%System%NeroCheck.exe iVKbGgA  
清除步骤 yF/< :  
========== -.b Io  
1. 删除木马的.服务项： HTUYvU*-  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] t?9;cS4  
2. 重新启动计算机 i_0,BVC  
3. 删除.木马文件： WAwfL?  
%System%NeroCheck.exe 9*=@/1  
%System%NeroCheck.dll r,3Ww2X-  
%System%SVKP.sys Fp5NRM*-!