[安全]NeroCheck.exe NeroCheck.dll手动清除

病毒.名称：N/A（Kaspersky） 1<\cMY6  
病毒别名：Backdoor.Jusi.i（瑞星） ]?``*{Zqy  
病毒大小：216,576 字节 qgZ(o@\  
加壳方式：SVKP !
YJdi~q  
样本MD5：e17774b70be4427768180286a6889fae AX'(xb,  
样本SHA1：408004ef3de3eb50dd0ebfc3885ed319301e223d 7h&xfrSrD  
传播方式：恶意网页、其它病毒下载 twgU ru  
0?p_|X'_  
技术分析 Y2<#%@%4  
========== hNx`=D9[7  
这又是一个版本信息模仿微软的木马，在文件属性的.版本里可以看到如下版本信息： d0-}Xl  
文件版本：5.2.3790.1830 pbqa  
描述：Generic Host Process for Win32 Services =1yUH9\,b  
版权：(C) Microsoft Corporation. All rights reserved. &}T`[ d_Z  
产品.名称：Microsoft(R) Windows(R) Operating System )>\Ne~%  
公司：Microsoft Corporation ?\vJ8H[bD  
木马运行后复制自身到系统目录： E}NX+ vYF  
%System%NeroCheck.exe uU5:,Wy+dg  
释放dll注入进程： Y}1|/6eJ  
%System%NeroCheck.dll &OI=rvDmo  
以及%System%SVKP.sys文件。 .\U+`>4av  
使用%temp%delmeexe.bat批处理删除自身： O')Ivm,E  
@echo off Kq{s^G  
:loop f7s]:n*Ih  
del "exe" P\2QH@p@t  
del "%temp%delmeexe.bat" ]-* }-j`  
if exist %temp%delmeexe.bat goto loop 字串9 9,y&?GLP  
木马创建以下服务： ?R,^prW{  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] fd+
kr#  
显示名：Indexing Services {ReAl_Cm  
描述：Indexes contents and properties of files on loc.al and remote computers; provides rapid access to files through flexible querying language. :hMuxHr  
可执行文件的路径：%System%NeroCheck.exe /_}v|E0  
清除步骤 H>M%5bj  
========== 8kMMQES  
1. 删除木马的.服务项： kJDMIh|g  
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCiSvrc] tAc;O[L  
2. 重新启动计算机 (5yg\3Jvp  
3. 删除.木马文件： W{-N,?z  
%System%NeroCheck.exe k ,<L#?,a  
%System%NeroCheck.dll $ng\qJ"HF  
%System%SVKP.sys #h r!7Kc;N