[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） 22"M#:r$  
病毒别名：Backdoor.Jusi.i（瑞星） };o6|e:2E  
病毒大小：216,576 字节 @s}I_@  
加壳方式：SVKP QZ$94XLI  
样本MD5：e17774b70be4427768180286a6889fae BC ]^BKP
 
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d A,ttn5Sh?  
传播方式：恶意网页、其它病毒下载 ^0_*AwIcN  
bg[k8*.:F  
技术分析 'Cd8l#z7  
========== IAf,TKfe  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： %6j|/|#]  
文件版本：5.2.3790.1830 0}2Uj>!i  
描述：Generic Host Process for Win32 Services LyH8T'C~  
版权：(C) Microsoft Corporation. All rights reserved. p%EU,:I6  
产品.名称：Microsoft(R) Windows(R) Operating System B q+RFo  
公司：Microsoft Corporation `<i|K*u  
木马运行后复制自身到系统目录： 6Xb\a^q  
%System%NeroCheck.exe d/!sHr69  
释放dll注入进程： iT1"Le/N  
%System%NeroCheck.dll c[}h( jkP  
以及%System%SVKP.sys文件。 C'4u+raq  
使用%temp%delmeexe.bat批处理删除自身： B$1nq#@  
@echo off 1k6f|Al-  
:loop W
p/!;  
del "exe" *[*LtyCQt4  
del "%temp%delmeexe.bat" R/R[r> 1)6  
if exist %temp%delmeexe.bat goto loop 字串9 \[Op:^S  
木马创建以下服务： i;;CU9`E2q  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] dE!{=u(!i  
显示名：Indexing Services .'mmn5E  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. $)\%i=  
可执行文件的路径：%System%NeroCheck.exe vmK<_xbwd  
清除步骤 @+h2R  
========== I~\j%zD  
1. 删除木马的.服务项： bA
ms-cXm  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] -%*>z'|{  
2. 重新启动计算机 8+{WH/}y8  
3. 删除.木马文件： *M\Qt
_[  
%System%NeroCheck.exe U>7"BpC  
%System%NeroCheck.dll hSS
F
]  
%System%SVKP.sys ]`0(^)U&