病毒.名称:N/A(Kaspersky) 5,-g^o7
病毒别名:Backdoor.Jusi.i(瑞星) ;>uB$8<_7
病毒大小:216,576 字节 ",l6-<s
加壳方式:SVKP !Q WNHL
样本MD5:e17774b70be4427768180286a6889fae 7t+d+sQ-l
样本SHA1:408004ef3de3eb50dd0ebfc3885ed319301e223d mPU}]1*p
传播方式:恶意网页、其它病毒下载 svx7
AR!v%Z49i
技术分析 NE.h/+4
========== v%$l(
这又是一个版本信息模仿微软的木马,在文件属性的.版本里可以看到如下版本信息: ht*N[Pi4;
文件版本:5.2.3790.1830 ,m[XeI
描述:Generic Host Process for Win32 Services &?@[bD'T
版权:(C) Microsoft Corporation. All rights reserved. !E&l=*lM.
产品.名称:Microsoft(R) Windows(R) Operating System :tBe/(e4#
公司:Microsoft Corporation )RN3Oz@H
木马运行后复制自身到系统目录: 0cSm^a
%System%NeroCheck.exe B{b?j*fHJ
释放dll注入进程: O:sqm
n
%System%NeroCheck.dll ]
)iP?2{
以及%System%SVKP.sys文件。 >fMzUTJ4
使用%temp%delmeexe.bat批处理删除自身: #K0/ >W
@echo off )w~1VcnJEp
:loop tA^+RO4
del "exe" T$`m!mQ4
del "%temp%delmeexe.bat" S{?l/*Il*_
if exist %temp%delmeexe.bat goto loop 字串9 Ell14Iki
木马创建以下服务: 'z^'+}iyv
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] xT+#K5
显示名:Indexing Services ^ ^&H:q
描述:Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. LtH
j
可执行文件的路径:%System%NeroCheck.exe r95,X!
清除步骤 e`co:HO`#
========== e/cHH34
1. 删除木马的.服务项: `+T 2IPN
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] HU'w[r6a
2. 重新启动计算机 $@@ii+W}\
3. 删除.木马文件: :-O$rm
%System%NeroCheck.exe 'j*Q
%System%NeroCheck.dll bfpeK>T
%System%SVKP.sys 3b\s;!