[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ^
b|? ?9&  
---------------------------- BxlhCu  
rem delvi.bat DA>nYj-s  
:loop piIzff  
attrib -h -r -s exp1orer.exe >d]-X]  
del exp1orer.exe -#/DK   
attrib -h -r -s mshosts.exe ]:?S}DRG  
del mshosts.exe $E^sA|KcT  
attrib -h -r -s c:\winnt\intrenat.exe -X%twy=  
del c:\winnt\intrenat.exe @g;DA)!(  
attrib -h -r -s interapi32.dll fSVM[  
del inetapi32.dll hslT49m>  
attrib -h -r -s interapi64.dll lV4TFt,  
del inetapi64.dll 7SYe:^Dx  
attrib -h -r -s mfcd3o.dll d#bg(y\G|  
del mfcd3o.dll %P<fz1  
goto loop h,BPf5\S  
---------------------------- G,Eh8HboK  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 4Y1^ U{A+  
d$+0;D4E  
搜索注册表，发现： dJ])`S  
:PY8)39@K  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 9 4lt?|3=  
@="hookmir"  (yd(ZY  
@zi0:3`#0\  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] pG)dF@  
@="C:\\WINNT\\system32\\interapi64.dll" l,b,U/3R.  
"ThreadingModel"="Apartment" ,H
/O"%OJ  
rOEBL|P0  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] :KG=3un]  
@="interapi64.classname" tCR~z1  
m3P7*S5NJ7  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 ,f,+)C$  
b.[9Adi >  
[HKEY_CLASSES_ROOT\interapi64.classname] }.9a!/@Aj  
@="hookmir" \vV]fX  
zIS ,N '  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] xnWezO_  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" MwSfuP  
------------------------ 0~WXA=XG  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion Bv3B|D&+  
`H*mQERb  
\Explorer\ShellExecuteHooks] +=|%9%  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 09Eg ti.  
|G6'GTwZD  
把它们统统删除后，重新启动计算机。 5-({z%:P  
再去删除interapi64.dll，OK! a+k3wzJ  
saQ ~v@  
总结一下可以启动就加载的地方： #X$s5H  
1、我们熟悉的Run/Winlogon之类的地方 B|9XqQ EI  
2、IE的插件 xmC5uT6L3M  
3、ShellExecuteHooks 5i'?oXL  
L5KcI  
0 .T5% _/  
9X33{  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 ;KmrBNF  
很多都可以