发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ){UcS/GI=
---------------------------- k-}b{
rem delvi.bat sM9+dh
:loop ^`G}gWBx}w
attrib -h -r -s exp1orer.exe @9"J|}
del exp1orer.exe y:6; LZ9[
attrib -h -r -s mshosts.exe _8E/) M
del mshosts.exe &% -73nYw
attrib -h -r -s c:\winnt\intrenat.exe N ,z6y5Lu
del c:\winnt\intrenat.exe >vA2A1WhW
attrib -h -r -s interapi32.dll Jke k-m
del inetapi32.dll pxa(
attrib -h -r -s interapi64.dll 4]E3c AJ
del inetapi64.dll qT^I?g"!
attrib -h -r -s mfcd3o.dll Ng_!zrx04
del mfcd3o.dll )E o)t>
goto loop K>{ T_ ) {
---------------------------- 53[~bwD
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 YD7Oao4:o
$ ,
u+4h
搜索注册表，发现： )+6MK(<"
->V< D ZK
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] y`=]T>X&x
@="hookmir" Ywwu0 .H<
' <=+;q
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ?5 {>;#0Z
@="C:\\WINNT\\system32\\interapi64.dll" yNbjoFM .i
"ThreadingModel"="Apartment" p fI"36]F
N al9M[]c
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] jB(| ";G
@="interapi64.classname" 4H/fP]u
5^x1cUB]
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 Z+=@<i''
5@BBo eG
[HKEY_CLASSES_ROOT\interapi64.classname] ^cuc.g)c$?
@="hookmir" ZEx}$<)_
\7'+h5a
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 0ik7v<:
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 9_5ow
------------------------ |/)${*a4n
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion :n-]>Q>5=k
s ']Bx=
\Explorer\ShellExecuteHooks] $A-J,_:T<
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" B]l)++~
y9Us n8
把它们统统删除后，重新启动计算机。 sc,vj'r
再去删除interapi64.dll，OK! )'+8}T]xQ
WA&!;Zq
总结一下可以启动就加载的地方： #NryLE!/
1、我们熟悉的Run/Winlogon之类的地方 bXNk%W[n
2、IE的插件 {Sj9%2'M)
3、ShellExecuteHooks H|HYo\@F#
av|g}xnj
?snp8W-WB
4v{o
