[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） .OyzM  
病毒别名：Backdoor.Jusi.i（瑞星） dd+hX$,  
病毒大小：216,576 字节 {[|je]3v  
加壳方式：SVKP ftb .CPWI  
样本MD5：e17774b70be4427768180286a6889fae T!f+H?6  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d VyMFALSe]h  
传播方式：恶意网页、其它病毒下载 ?l><?i  
Vn=K5nm  
技术分析 ?[Sac]h ys  
========== !_?K(X~/  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： 1Yk!R9.  
文件版本：5.2.3790.1830 {6I)
6}w!k  
描述：Generic Host Process for Win32 Services r,43 gg  
版权：(C) Microsoft Corporation. All rights reserved. 0hNgr'  
产品.名称：Microsoft(R) Windows(R) Operating System T'ko
=k  
公司：Microsoft Corporation BvnNAi  
木马运行后复制自身到系统目录： ;L*Ku'6Mt  
%System%NeroCheck.exe +$uQ_ve  
释放dll注入进程： >Ut4INV  
%System%NeroCheck.dll )%+7"7.  
以及%System%SVKP.sys文件。 #\zC|%2+z  
使用%temp%delmeexe.bat批处理删除自身： }'KHF0   
@echo off  vE~>9  
:loop #+"1">l  
del "exe" qWdob>u  
del "%temp%delmeexe.bat" o?{-K-'B$  
if exist %temp%delmeexe.bat goto loop 字串9 [g/ &%n0^  
木马创建以下服务： 1zcaI^e#  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] $etw'c0  
显示名：Indexing Services Y9}ga4  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language.
.),Fdrg  
可执行文件的路径：%System%NeroCheck.exe 1!S*z^LGl  
清除步骤 ;f!}vo<;  
========== (y^svXU}a  
1. 删除木马的.服务项： SG4
)kQ  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] ?wi^R:2|j  
2. 重新启动计算机 )MWbZAI  
3. 删除.木马文件： 9Ai3p  
%System%NeroCheck.exe @$7'{*  
%System%NeroCheck.dll tqFE>ojlI  
%System%SVKP.sys r}\m%(i