发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 8!uqR!M<C
---------------------------- sTALO L<
rem delvi.bat umD[4aP~;
:loop zxt& o T0Q
attrib -h -r -s exp1orer.exe :Sj r
del exp1orer.exe "L p"o
attrib -h -r -s mshosts.exe *l-(tp5
del mshosts.exe fm%1 vM$[J
attrib -h -r -s c:\winnt\intrenat.exe #r 4S%
del c:\winnt\intrenat.exe M!ra3Y
attrib -h -r -s interapi32.dll 6s"Erq5q
del inetapi32.dll ORo +=2
attrib -h -r -s interapi64.dll mVBF2F<4
del inetapi64.dll 4&c7^ 4w~
attrib -h -r -s mfcd3o.dll v9[[T6t/'
del mfcd3o.dll K(M@#t1_&
goto loop 68^5X"OGF
---------------------------- jGtoc,\X
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 m8|&z{
`Oc`I9
搜索注册表，发现： +'NiuN
u,6 ' yB'u
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] p<@ 0b
@="hookmir" N8>;BHBV!
x>@+lV'O
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] E
Fx@O
@="C:\\WINNT\\system32\\interapi64.dll" v&>TU(x\H
"ThreadingModel"="Apartment" sH>Z{xjr
+r+H`cT@
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ^'|\8
@="interapi64.classname" 2_ x~y|<9
IJ%S[>
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 [a kyCb
OudD1( )W
[HKEY_CLASSES_ROOT\interapi64.classname] #<7ajmr
@="hookmir" o .}?K>5
@' Er&[P
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 'M*+HY\.0
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" J! @$lyH
------------------------ 6' M"-9?G
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion }xl
@:Qo
od- 0wJN-m
\Explorer\ShellExecuteHooks] ~lR"3z_Z}
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" G}tq'#]E{z
"-N)TIzLX
把它们统统删除后，重新启动计算机。 `nO!_3
再去删除interapi64.dll，OK! $+Hv5]/hb
.&ynS
总结一下可以启动就加载的地方： `j59MSuK
1、我们熟悉的Run/Winlogon之类的地方 >s E5zj|V
2、IE的插件 urHQb5| T}
3、ShellExecuteHooks 2'"$Y'
Te"<.0~1
8KpG0DC
877>=Tp |
