病毒.名称:N/A(Kaspersky) U)] }EgpF
病毒别名:Backdoor.Jusi.i(瑞星) @H61^K<
病毒大小:216,576 字节 A1F!I4p5
加壳方式:SVKP V* H7m'za
样本MD5:e17774b70be4427768180286a6889fae UYvdzCUh
样本SHA1:408004ef3de3eb50dd0ebfc3885ed319301e223d O1Nya\^g<I
传播方式:恶意网页、其它病毒下载 tqzr+
~vB dq Yj
技术分析 v{oHC4
========== r;SOAucX
这又是一个版本信息模仿微软的木马,在文件属性的.版本里可以看到如下版本信息: xaNM?]%
文件版本:5.2.3790.1830 2c%b
描述:Generic Host Process for Win32 Services m*'87a9q0
版权:(C) Microsoft Corporation. All rights reserved. &FY7
D<
产品.名称:Microsoft(R) Windows(R) Operating System )}i|)^J
公司:Microsoft Corporation $\q}A:
木马运行后复制自身到系统目录: i9v|*ZM"
%System%NeroCheck.exe |G(I,EPag
释放dll注入进程: "J>8ZUP
%System%NeroCheck.dll OpLUmn
以及%System%SVKP.sys文件。 ,nSapmg
使用%temp%delmeexe.bat批处理删除自身: yt#~n_
@echo off tG*HUN?*
:loop bj7r"_
del "exe" ~=gpn|@b
del "%temp%delmeexe.bat" g96]>]A<{
if exist %temp%delmeexe.bat goto loop 字串9 F&$~]R=&
木马创建以下服务: /TY=ig1z
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] x bD]EC
显示名:Indexing Services g]jCR*]
描述:Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. g<^-[w4/
可执行文件的路径:%System%NeroCheck.exe A@)ou0[n@
清除步骤 [ ]42$5eof
========== UAOH9*9*
1. 删除木马的.服务项: h7J4 p
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] U?A3>
2. 重新启动计算机 HiSNEp$-4$
3. 删除.木马文件: .05x=28n%
%System%NeroCheck.exe <b_?[%(u
%System%NeroCheck.dll lt& c/xi_
%System%SVKP.sys `2,F!kCt