[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） T&U}}iWN  
病毒别名：Backdoor.Jusi.i（瑞星） 91 jRIB  
病毒大小：216,576 字节 AXfU$~  
加壳方式：SVKP h\RX/C!+  
样本MD5：e17774b70be4427768180286a6889fae 337.' |ZE  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d _sjS'*]  
传播方式：恶意网页、其它病毒下载 =;Id["+  
:\TMm>%q  
技术分析 :\](m64z;  
==========
I?KN7(9u?  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： ;5a$OM  
文件版本：5.2.3790.1830 [%IOB/{N  
描述：Generic Host Process for Win32 Services {sTf4S\S  
版权：(C) Microsoft Corporation. All rights reserved. C|{Sj`,XG  
产品.名称：Microsoft(R) Windows(R) Operating System :cpj{v;s  
公司：Microsoft Corporation 'Kelq$dn#  
木马运行后复制自身到系统目录： %V_ XY+o  
%System%NeroCheck.exe Jcw^
Z,  
释放dll注入进程： verI~M$v{  
%System%NeroCheck.dll 0Q3U\cDr  
以及%System%SVKP.sys文件。 o$_0Qs$  
使用%temp%delmeexe.bat批处理删除自身： !E7gIqo  
@echo off Fwm$0=BXL  
:loop
=g% L$b<i  
del "exe" Khq\@`RaT  
del "%temp%delmeexe.bat" ]l7W5$26 @  
if exist %temp%delmeexe.bat goto loop 字串9 iIfiv<(ChM  
木马创建以下服务： cS&KD@.  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] ITPE2x  
显示名：Indexing Services /E>;O47a  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. HOW<IZ^  
可执行文件的路径：%System%NeroCheck.exe [
d`Jw/4n  
清除步骤 {uDW<u_!  
========== "2e3 <:$  
1. 删除木马的.服务项： pj'gTQ),0  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] N=mvr&arP  
2. 重新启动计算机 L3]J8oEmU  
3. 删除.木马文件： lM-\:Q!
  
%System%NeroCheck.exe b"g^Jm! j  
%System%NeroCheck.dll +U fw  
%System%SVKP.sys a)O"PA}2