[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） #$qhxYy
d  
病毒别名：Backdoor.Jusi.i（瑞星） zg3q\~  
病毒大小：216,576 字节 :h|nV ~  
加壳方式：SVKP x4HVB  
样本MD5：e17774b70be4427768180286a6889fae I'_.U]An  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d $jDp ^ -  
传播方式：恶意网页、其它病毒下载 ON$^_l/c  
3j2% '$>E^  
技术分析 p:,(r{*?  
========== [}/\W`C  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： -9 AI@^q  
文件版本：5.2.3790.1830 )eFq0+6*)  
描述：Generic Host Process for Win32 Services *+E9@r=HF  
版权：(C) Microsoft Corporation. All rights reserved. XOM@Pi#z  
产品.名称：Microsoft(R) Windows(R) Operating System TV>UD q  
公司：Microsoft Corporation tcg sXB/t  
木马运行后复制自身到系统目录： e3L<;MAt  
%System%NeroCheck.exe Mb I';Mq  
释放dll注入进程： e/?>6'6 5  
%System%NeroCheck.dll Ef;OrE""  
以及%System%SVKP.sys文件。 P2nb&lVdu  
使用%temp%delmeexe.bat批处理删除自身： sQT0y(
FW  
@echo off ~6nq$(#  
:loop o <lS90J  
del "exe" [hf#$Dl|  
del "%temp%delmeexe.bat" N[~"X**x  
if exist %temp%delmeexe.bat goto loop 字串9 /^E2BRI  
木马创建以下服务： \h%/Cp+p  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] 1or4s{bmo  
显示名：Indexing Services (~r"N?`  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. NhxTSyT"t  
可执行文件的路径：%System%NeroCheck.exe 3N)
bJ  
清除步骤 ( _ZOUMe  
========== +fd^$Qd%K  
1. 删除木马的.服务项： t` R#pQ  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] :bLL
N  
2. 重新启动计算机 =<.8  
3. 删除.木马文件： 7W[}7Y  
%System%NeroCheck.exe _u^ S[  
%System%NeroCheck.dll zR'lQ<u  
%System%SVKP.sys Tn+6:<OFdO