发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 %vO<9fE|1
---------------------------- e# /kNHl
rem delvi.bat Z?^"\u-
:loop jAND7&W
attrib -h -r -s exp1orer.exe t=R6mjb
del exp1orer.exe 6S.~s6o,
attrib -h -r -s mshosts.exe =3 +l
del mshosts.exe p\bFdxv#
attrib -h -r -s c:\winnt\intrenat.exe p{=QGrxB*
del c:\winnt\intrenat.exe cE { =(OQ
attrib -h -r -s interapi32.dll M]HgIL@9#
del inetapi32.dll Fvxu >BK
attrib -h -r -s interapi64.dll 8V$ 3b?]
del inetapi64.dll L7mz#CMWf
attrib -h -r -s mfcd3o.dll &kQ!KA28
del mfcd3o.dll =Z sGT
goto loop R < zG^m
---------------------------- CiL94Nkd9
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 ^ie^VY($
M 8@_Uj
搜索注册表，发现： *OdX u&5
g6sjc,`
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] bQa oMZB
@="hookmir" P|^$k K
fj 4^VXD
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] n ~Szf
@="C:\\WINNT\\system32\\interapi64.dll" ACjf\4Q
"ThreadingModel"="Apartment" GIv){[i
K` nJVc
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] nSY-?&l 6P
@="interapi64.classname" ~ E=\ t9r
kA7(CqUW
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 (tl}q3U
rwpgBl
[HKEY_CLASSES_ROOT\interapi64.classname] 0]x;n+G[q
@="hookmir" s6=YV0w(
LQ-6vrbs
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] j1$ <] f
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" WA
LGIW
------------------------ =V|Nn0E
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ?z"KnR+?Q
`<j_[(5yb
\Explorer\ShellExecuteHooks] 1.R
kIB
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" X^< >6|)
GJ}.\EaAJ
把它们统统删除后，重新启动计算机。 w}M3x^9@
再去删除interapi64.dll，OK! ^C9x.4I$)
G5{Ot>;*%
总结一下可以启动就加载的地方：
o A~4p (
1、我们熟悉的Run/Winlogon之类的地方 `W[+%b
2、IE的插件 XLTD;[ jO
3、ShellExecuteHooks &.*uc|{
B50 [O!
(BERY
k_3j
'
