[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） `pd1'5Hm  
病毒别名：Backdoor.Jusi.i（瑞星） _fANl}Mf:  
病毒大小：216,576 字节 J*O$)K%Hx  
加壳方式：SVKP f*~z|  
样本MD5：e17774b70be4427768180286a6889fae sOW,hpNW  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d Z'z~40Bda  
传播方式：恶意网页、其它病毒下载 S~ 3|  
]j?Kn$nv*S  
技术分析 JSm3ZP|GqJ  
========== T89VSB~  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： f7QX"p&P  
文件版本：5.2.3790.1830 SvGs?nUU
  
描述：Generic Host Process for Win32 Services s *1%I$=@  
版权：(C) Microsoft Corporation. All rights reserved. E|Z7art  
产品.名称：Microsoft(R) Windows(R) Operating System R|H_F#eVn}  
公司：Microsoft Corporation \:wLUGFl5  
木马运行后复制自身到系统目录： \ g[A{  
%System%NeroCheck.exe 6WnGP>tc.  
释放dll注入进程： }\/f~?tEh  
%System%NeroCheck.dll yw)Ztg)  
以及%System%SVKP.sys文件。 }D eW2Jp  
使用%temp%delmeexe.bat批处理删除自身： j>OB<4?.+  
@echo off /I&b5Vp  
:loop 8RR6f98FF  
del "exe" ;]^JUmxU[d  
del "%temp%delmeexe.bat" yLlAK,5P0o  
if exist %temp%delmeexe.bat goto loop 字串9 +,
$"%C  
木马创建以下服务： ' ! ls"qo  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] rfNt  
显示名：Indexing Services gJ>HFid_C  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. k|}S K9  
可执行文件的路径：%System%NeroCheck.exe "A?_)=zZ  
清除步骤 '%"#]  
========== <=,KP)  
1. 删除木马的.服务项： >h m<$3  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] wc'K=;c  
2. 重新启动计算机 lCyp&b#(L  
3. 删除.木马文件： XL7jUi_4:L  
%System%NeroCheck.exe n`hes_{,g  
%System%NeroCheck.dll @*c) s_  
%System%SVKP.sys L"6@3