[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） nf1O8FwRb  
病毒别名：Backdoor.Jusi.i（瑞星） TG%w  
病毒大小：216,576 字节 |5jrl|  
加壳方式：SVKP Up0kTL  
样本MD5：e17774b70be4427768180286a6889fae i6<uj  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d MV]`[^xQ5  
传播方式：恶意网页、其它病毒下载 C-XJe~  
Xyjd7"  
技术分析 -kHJH><j  
========== _=}.Sg5Q  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： Z<,Hz+  
文件版本：5.2.3790.1830 $PRUzFZ  
描述：Generic Host Process for Win32 Services _r>kR7A\{  
版权：(C) Microsoft Corporation. All rights reserved. _qk yU)z  
产品.名称：Microsoft(R) Windows(R) Operating System ld3H"p rR  
公司：Microsoft Corporation EvH/d4V;  
木马运行后复制自身到系统目录： ae" o|Q  
%System%NeroCheck.exe A]ZQ?-L/  
释放dll注入进程： Mfnfp{.)  
%System%NeroCheck.dll %+/Dv  
以及%System%SVKP.sys文件。 r+k&W  
使用%temp%delmeexe.bat批处理删除自身： E1SWZ&';  
@echo off bo1J'pU  
:loop sf/m@425  
del "exe" E\TWPV'/  
del "%temp%delmeexe.bat" q3C  
if exist %temp%delmeexe.bat goto loop 字串9 %7QSBL  
木马创建以下服务： m_.9PZ  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] L/In~'*-  
显示名：Indexing Services En)Ptz#0  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. 0!oqP1  
可执行文件的路径：%System%NeroCheck.exe [w!
T  
清除步骤 R+z'6&/ =I  
========== X&IT s  
1. 删除木马的.服务项： LH.Gf  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] s\<UDW  
2. 重新启动计算机 <@[;IX`YN  
3. 删除.木马文件： (V1;`sI8  
%System%NeroCheck.exe [XttT  
%System%NeroCheck.dll \;KSx3o  
%System%SVKP.sys  q*94vo-