[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） br9`77J8  
病毒别名：Backdoor.Jusi.i（瑞星） Lx"a#rZ  
病毒大小：216,576 字节 $ (gR^L  
加壳方式：SVKP @GiR~bKZ  
样本MD5：e17774b70be4427768180286a6889fae D< 4!7*9%  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d nBVknyMFNF  
传播方式：恶意网页、其它病毒下载 !7K-Kqn  
xf.2Ig  
技术分析 5E+k}S]M$  
========== rGe^$!QB  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： ^{W#
ut>IN  
文件版本：5.2.3790.1830 F& 'HZX  
描述：Generic Host Process for Win32 Services ,T|%vqbmw  
版权：(C) Microsoft Corporation. All rights reserved. &Tf R].  
产品.名称：Microsoft(R) Windows(R) Operating System Mwdw7MZ"S  
公司：Microsoft Corporation 69v[*InSd  
木马运行后复制自身到系统目录： ]cv|A^  
%System%NeroCheck.exe 0+\~^  
释放dll注入进程： ?Ze3t5Ll  
%System%NeroCheck.dll ",ic" ~  
以及%System%SVKP.sys文件。 Nv iPrp>c  
使用%temp%delmeexe.bat批处理删除自身： ZREAEGi{  
@echo off H5N(MihT  
:loop JqdNO:8  
del "exe" n>dM OQb  
del "%temp%delmeexe.bat" "p\XaClpz  
if exist %temp%delmeexe.bat goto loop 字串9 N3};M~\  
木马创建以下服务： Mlpq2I_x  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] _5nQe !  
显示名：Indexing Services "F+Wo&  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. Yb|zE   
可执行文件的路径：%System%NeroCheck.exe %V$ujun`  
清除步骤 N!fp;jvG  
========== TLL.Ch|#Y  
1. 删除木马的.服务项： e< Ee2pGX  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] Z6cG<,DQ  
2. 重新启动计算机
YSuwV)Y  
3. 删除.木马文件： (8r?'H8ZO  
%System%NeroCheck.exe [)gvP'  
%System%NeroCheck.dll 6wWA(![w"  
%System%SVKP.sys 1?(mE7H#