[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） Z9eP(ip  
病毒别名：Backdoor.Jusi.i（瑞星） 49YN@PXC  
病毒大小：216,576 字节 ?_eHvw  
加壳方式：SVKP kW=!RX[&  
样本MD5：e17774b70be4427768180286a6889fae KbMan~Pb6  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d :QC |N@C  
传播方式：恶意网页、其它病毒下载 8vQR'<,  
a\&g;n8jA  
技术分析 w-3Lw<  
========== R{pF IyR  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： PJ\k|
 
文件版本：5.2.3790.1830 *,28@_EwY  
描述：Generic Host Process for Win32 Services 6Ad=#MM  
版权：(C) Microsoft Corporation. All rights reserved. L%+mD$@u  
产品.名称：Microsoft(R) Windows(R) Operating System yW&ka3j
\  
公司：Microsoft Corporation [Y.=bfV!  
木马运行后复制自身到系统目录： e'->Sg  
%System%NeroCheck.exe GP;N1/=  
释放dll注入进程： FH%M5RD  
%System%NeroCheck.dll -b|"%e<'  
以及%System%SVKP.sys文件。 R2JPLvs  
使用%temp%delmeexe.bat批处理删除自身： J$lfI^^  
@echo off %M:$ML6b<  
:loop fk!9` p'  
del "exe" sG\K$GP!  
del "%temp%delmeexe.bat" sKk+^.K}|  
if exist %temp%delmeexe.bat goto loop 字串9 *K BaKS  
木马创建以下服务： <v=s:^;C0  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] p(nEcu  
显示名：Indexing Services y+KAL{AGK  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. uW2  q\  
可执行文件的路径：%System%NeroCheck.exe fXh{_>  
清除步骤 h/6^>setz  
========== + )[@  
1. 删除木马的.服务项： '_5|9 }  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] RT${7=  
2. 重新启动计算机 ~/XDA:nfL:  
3. 删除.木马文件： XlnSh<e  
%System%NeroCheck.exe lB.n5G  
%System%NeroCheck.dll VfUHqdg-  
%System%SVKP.sys zRb
Y]dW