[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） Q>I7.c-M|  
病毒别名：Backdoor.Jusi.i（瑞星） F{E`MK~f_  
病毒大小：216,576 字节 ]4B&8n!  
加壳方式：SVKP _FkH;MGWS  
样本MD5：e17774b70be4427768180286a6889fae #i=m%>zjN  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d EKUiX#p:M  
传播方式：恶意网页、其它病毒下载 13A~."b  
(gUVZeVFP  
技术分析 2>g!+p Ox  
========== s=Xg6D  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： QTU$mC]  
文件版本：5.2.3790.1830 hX:yn:P~  
描述：Generic Host Process for Win32 Services C3KAQU  
版权：(C) Microsoft Corporation. All rights reserved. :464~tHI[`  
产品.名称：Microsoft(R) Windows(R) Operating System L-
Mf{z  
公司：Microsoft Corporation "}b/[U@>  
木马运行后复制自身到系统目录： ;pqS|ayl  
%System%NeroCheck.exe jxZ_-1  
释放dll注入进程： LCqWL1  
%System%NeroCheck.dll 4veXg/l  
以及%System%SVKP.sys文件。 G[]h1f!  
使用%temp%delmeexe.bat批处理删除自身： ~<"{u-q#K  
@echo off @2sr/gX^  
:loop 6M[OEI5  
del "exe" or(P?Ro  
del "%temp%delmeexe.bat" %>1C($^  
if exist %temp%delmeexe.bat goto loop 字串9 YoSBS  
木马创建以下服务： 'M fVZho{  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] HE-ErEtGB  
显示名：Indexing Services q:mqA$n  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. hLaQ[9  
可执行文件的路径：%System%NeroCheck.exe 5k;}I|rg%  
清除步骤 Jm 1n|f  
========== >vDi,qmZ  
1. 删除木马的.服务项： lr=quWDY  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] fr&K^je\  
2. 重新启动计算机 0y%s\,PsT  
3. 删除.木马文件： jSw>z`'#H  
%System%NeroCheck.exe UPkc-^BN  
%System%NeroCheck.dll IO"q4(&;P4  
%System%SVKP.sys EQX?Zs?C