[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） j%V["?)  
病毒别名：Backdoor.Jusi.i（瑞星） f&4,?E;6%  
病毒大小：216,576 字节 "&Qctk`<P  
加壳方式：SVKP ?8,%
LIQ?  
样本MD5：e17774b70be4427768180286a6889fae rC_*sx r^  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d <P%}|@  
传播方式：恶意网页、其它病毒下载 )R_E|@"  
K~RoUE<3[  
技术分析 /?/#B `  
==========
B`$L'  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： +KEkmXZ  
文件版本：5.2.3790.1830 X~Rl 6/,  
描述：Generic Host Process for Win32 Services S>q>K"j^!  
版权：(C) Microsoft Corporation. All rights reserved. HftxS  
产品.名称：Microsoft(R) Windows(R) Operating System !5}l&7:(MN  
公司：Microsoft Corporation JIO$=+p  
木马运行后复制自身到系统目录： #(LfYw.P1V  
%System%NeroCheck.exe O;[9_[  
释放dll注入进程： dz#5
q-r  
%System%NeroCheck.dll ZiFooA  
以及%System%SVKP.sys文件。 JM.XH7k  
使用%temp%delmeexe.bat批处理删除自身： 'rb'7=z5  
@echo off .r+hERcB  
:loop (IbW;bV  
del "exe" [O ",  
del "%temp%delmeexe.bat" vQ@2FZzu>  
if exist %temp%delmeexe.bat goto loop 字串9 >yJ-4lgZ  
木马创建以下服务： w(nHD*nm  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] N"[B=fU}  
显示名：Indexing Services +~sd"v6  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. MVCl.o  
可执行文件的路径：%System%NeroCheck.exe V+wH?H=  
清除步骤 E{Pgf8
 
========== mT*{-n_Zs  
1. 删除木马的.服务项： 1U\$iy8}  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] O(H1P[  
2. 重新启动计算机 H/~?@CE(YC  
3. 删除.木马文件： mV9A{h  
%System%NeroCheck.exe K,xW6DiH  
%System%NeroCheck.dll ~<qt%W?  
%System%SVKP.sys C.!_]Pxs