[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） p}swJ;S  
病毒别名：Backdoor.Jusi.i（瑞星） cYEe`?*  
病毒大小：216,576 字节 }tZA7),L  
加壳方式：SVKP >pl*2M&  
样本MD5：e17774b70be4427768180286a6889fae oE4hGt5x{  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d 7dU7cc  
传播方式：恶意网页、其它病毒下载 0=J69Yd  
U_,K_6vj  
技术分析 ;R?9|:7  
========== <ByDT$E_  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： 4)nQBFX  
文件版本：5.2.3790.1830 dQL! >6a  
描述：Generic Host Process for Win32 Services ;42D+q=s  
版权：(C) Microsoft Corporation. All rights reserved. ;w}5:3+  
产品.名称：Microsoft(R) Windows(R) Operating System w]0jq U6  
公司：Microsoft Corporation g
BG.3\[  
木马运行后复制自身到系统目录： S\UM0G}v  
%System%NeroCheck.exe +nslS:(  
释放dll注入进程： I2=Kq{  
%System%NeroCheck.dll R OQIw  
以及%System%SVKP.sys文件。 =<[ZFO~v  
使用%temp%delmeexe.bat批处理删除自身： &^YY>]1Py  
@echo off ,/>~J]:\;  
:loop b511qc"i>M  
del "exe" 57b;{kl  
del "%temp%delmeexe.bat" N6<23kYM  
if exist %temp%delmeexe.bat goto loop 字串9 way-Q7  
木马创建以下服务： Mhw\i&*U  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] |"Oazll  
显示名：Indexing Services Zb#  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. \:?H_^^d  
可执行文件的路径：%System%NeroCheck.exe G1'w50Yu  
清除步骤 a[8_O-  
========== @]h#T4z'  
1. 删除木马的.服务项： AH],>i3  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] T't^pO-`  
2. 重新启动计算机 v+=_  
3. 删除.木马文件： J=U7m@))Y#  
%System%NeroCheck.exe Q$9`QY*6"p  
%System%NeroCheck.dll b\\?aR |  
%System%SVKP.sys vu.f B4