[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） y@Ak_]{b  
病毒别名：Backdoor.Jusi.i（瑞星） ABU~V+'2  
病毒大小：216,576 字节 Ev,b5KelD  
加壳方式：SVKP ShJBOaE; -  
样本MD5：e17774b70be4427768180286a6889fae #F ;@Qi3z  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d 5XinZ~  
传播方式：恶意网页、其它病毒下载 b.QL\$a &  
3W55m@w  
技术分析 Bu7aeBP  
========== }/aqh;W  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： (XQ:f|(  
文件版本：5.2.3790.1830 EOG&Xa  
描述：Generic Host Process for Win32 Services MmD1@fW32#  
版权：(C) Microsoft Corporation. All rights reserved. C |P(,Xp  
产品.名称：Microsoft(R) Windows(R) Operating System R|-!5J4h  
公司：Microsoft Corporation !Er)|YP  
木马运行后复制自身到系统目录： ;f9a0Vs  
%System%NeroCheck.exe $mut v=IO  
释放dll注入进程： ZW`wA2R0   
%System%NeroCheck.dll ~iU@ns|g\  
以及%System%SVKP.sys文件。 AQgm]ex<  
使用%temp%delmeexe.bat批处理删除自身： 4[ =C,5r  
@echo off s@pIcNvx  
:loop ,W5!=\Gg(  
del "exe" vec4R )S  
del "%temp%delmeexe.bat" kB]*2o9-3  
if exist %temp%delmeexe.bat goto loop 字串9 7>xfQ  
木马创建以下服务： U
&u~i 3  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] [Ee <SB{  
显示名：Indexing Services DQ%(X&k  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. |/~ISB  
可执行文件的路径：%System%NeroCheck.exe  u'qc=
5  
清除步骤 MbyV_A`r_  
========== ]s}9-!{O  
1. 删除木马的.服务项： @_Es|(4  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] .[S\&uRv  
2. 重新启动计算机 V7$-4%NL  
3. 删除.木马文件： Q=F^Y f  
%System%NeroCheck.exe betTAbF  
%System%NeroCheck.dll cD]#
6PFA  
%System%SVKP.sys 0"DS>:Ntk