[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） HwK "qq-  
病毒别名：Backdoor.Jusi.i（瑞星） mwhn
=y#]*  
病毒大小：216,576 字节 RN|..zml  
加壳方式：SVKP .ai9PsZ?V  
样本MD5：e17774b70be4427768180286a6889fae Mdh"G @$n  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d /RmCMT  
传播方式：恶意网页、其它病毒下载 B+sqEj-  
dEL"(e#0s4  
技术分析 }d]8fHG  
========== WcG&W>  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： nd1*e  
文件版本：5.2.3790.1830 c!T{|'?  
描述：Generic Host Process for Win32 Services f}!26[_9{  
版权：(C) Microsoft Corporation. All rights reserved. %%[TM(z  
产品.名称：Microsoft(R) Windows(R) Operating System h;M2ylOu.  
公司：Microsoft Corporation .).<L`q  
木马运行后复制自身到系统目录： mjHY-lK  
%System%NeroCheck.exe qZ}XjL  
释放dll注入进程： SLo/7$rct  
%System%NeroCheck.dll =h;!#ZC  
以及%System%SVKP.sys文件。 vsR ^aVwVZ  
使用%temp%delmeexe.bat批处理删除自身： bb/MnhB  
@echo off h`j gF  
:loop %"2B1^o>
 
del "exe" BE)l77=/  
del "%temp%delmeexe.bat" xwH`alu  
if exist %temp%delmeexe.bat goto loop 字串9 mY( _-[
W  
木马创建以下服务： [\yI<^_
a  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] V:J6eks
_  
显示名：Indexing Services .zt]R@@6  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. @=c='V]  
可执行文件的路径：%System%NeroCheck.exe U?{j  
清除步骤 9=f'sqIPV  
========== u{,^
#I}  
1. 删除木马的.服务项： quYZD6IH  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] jw[`\h}8  
2. 重新启动计算机 k5YDqGn'q  
3. 删除.木马文件： 3!L)7Z/  
%System%NeroCheck.exe <-pbLL9  
%System%NeroCheck.dll f7s.\  
%System%SVKP.sys r%9Sx:F