[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 }lX$KuD  
---------------------------- V.*M;T\i  
rem delvi.bat *1kFy_Gx  
:loop aHuMm&  
attrib -h -r -s exp1orer.exe qKd ="PR}  
del exp1orer.exe o [V8h@K)  
attrib -h -r -s mshosts.exe l9Ol|Cb&  
del mshosts.exe n8;p]{  
attrib -h -r -s c:\winnt\intrenat.exe /KOI%x  
del c:\winnt\intrenat.exe 9M27;"gK  
attrib -h -r -s interapi32.dll t*H2
;|zn_  
del inetapi32.dll y@I9>}"y  
attrib -h -r -s interapi64.dll ):>?N`
{V  
del inetapi64.dll k6ry"W
3  
attrib -h -r -s mfcd3o.dll YAT@xZs-  
del mfcd3o.dll n5UUoBv  
goto loop /fb}]e]N  
---------------------------- H i8V=+  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 <#?dPDMG.*  
Cfmd*,  
搜索注册表，发现： r/AOgS  
^0|:  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] E7\K{]  
@="hookmir" >JE+g[$@  
b5=|1SjR  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] .uauSx/#4  
@="C:\\WINNT\\system32\\interapi64.dll" TaYl[I  
"ThreadingModel"="Apartment" V;MmPNP|  
;a1DIUm'  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Bh=t%#y|`  
@="interapi64.classname" B<r0y  
5U7,,oyh  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 :stHc,  
.W~XX  
[HKEY_CLASSES_ROOT\interapi64.classname] : H;S"D  
@="hookmir" iE"]S )  
}YdC[b$j^  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] &2XH.$Q  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" mm+V*L{x  
------------------------ 5)XUT`;'){  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ,P}7e)3  
&t<gK D  
\Explorer\ShellExecuteHooks] hO$Gx*e$  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" [q!]Ds" _  
V':A!  
把它们统统删除后，重新启动计算机。 @br)m](@  
再去删除interapi64.dll，OK! vb>F)po1}  
sS ?A<D  
总结一下可以启动就加载的地方： W+Mw:,>*s  
1、我们熟悉的Run/Winlogon之类的地方 xS12$ib ~G  
2、IE的插件 /}E2Rr?{  
3、ShellExecuteHooks su=MMr>  
[06m{QJ)1  
Nkj$6(N=zJ  
U"8Hw@  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 hR|xU
p  
很多都可以