病毒.名称:N/A(Kaspersky) @KHY8y7
病毒别名:Backdoor.Jusi.i(瑞星) Ek_<2!%X
病毒大小:216,576 字节 (F3R!n
加壳方式:SVKP OTAe#]#
样本MD5:e17774b70be4427768180286a6889fae 1D!MXYgm1b
样本SHA1:408004ef3de3eb50dd0ebfc3885ed319301e223d !&.-{ _$
传播方式:恶意网页、其它病毒下载 =\MAz[IDj
'.gi@Sr5
技术分析 d0Ubt
========== #_K<-m%9
这又是一个版本信息模仿微软的木马,在文件属性的.版本里可以看到如下版本信息: A>mk0P)~Q
文件版本:5.2.3790.1830 E.0J94>iM
描述:Generic Host Process for Win32 Services 8\C][ y
版权:(C) Microsoft Corporation. All rights reserved. D6fd(=t1Z
产品.名称:Microsoft(R) Windows(R) Operating System mH\2XG8nV
公司:Microsoft Corporation =[Z3]#h
木马运行后复制自身到系统目录: -0]%#(E%`h
%System%NeroCheck.exe w8:
释放dll注入进程: "(dI/}
%System%NeroCheck.dll 2 J3/Eu
以及%System%SVKP.sys文件。 yh|+Usa
使用%temp%delmeexe.bat批处理删除自身: C(z'oi:f
@echo off m],.w M8
:loop L.JL4;U P
del "exe" 8A::q ;
del "%temp%delmeexe.bat" bR:hu}YS
if exist %temp%delmeexe.bat goto loop 字串9 vg"*%K$a
木马创建以下服务: 9`"#OQPn1
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] WIAukM8~
显示名:Indexing Services PRFl%M.H`
描述:Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. )iK:BL*Nw
可执行文件的路径:%System%NeroCheck.exe @6aJh< c
清除步骤 hd(TKFL^y
========== 5Fj9.K~k
1. 删除木马的.服务项: B(} 'yY@%u
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] iE_[]Vgc
2. 重新启动计算机 SkCux
3. 删除.木马文件: f|F=)tJO
%System%NeroCheck.exe ~(Ih~/5\^
%System%NeroCheck.dll 1t~S3Q||>]
%System%SVKP.sys =woqHTR