发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 0^l )9zE
---------------------------- 3W& f^*
rem delvi.bat :
T` Ni
:loop v@_^h}h/,=
attrib -h -r -s exp1orer.exe W8bh49
del exp1orer.exe BC*)@=7fx
attrib -h -r -s mshosts.exe >"Tivc5
del mshosts.exe I[P43>F3
attrib -h -r -s c:\winnt\intrenat.exe )(^L *
del c:\winnt\intrenat.exe b-'T>1V
attrib -h -r -s interapi32.dll #ZzFAt
del inetapi32.dll ,tZJSfHB
attrib -h -r -s interapi64.dll kMJf!%L (
del inetapi64.dll B4uJT ~,7>
attrib -h -r -s mfcd3o.dll ?o0ro?9j
del mfcd3o.dll 0-s[S
goto loop Z{Si`GA
---------------------------- roiUVisq*
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 DL*/h bG
)R~l@QBN
搜索注册表，发现： pv3SAO4
]H%S GQPn
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] Rix|LKk{
@="hookmir" jUtFDw
u;@~P
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] uD'GI
@="C:\\WINNT\\system32\\interapi64.dll" -a ^%9 U
"ThreadingModel"="Apartment" Bz7rf^H`Z
B\ <;e
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Ne!0 `^`~
@="interapi64.classname" d9qA\ [
'MWu2L!F
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 k'(d$;Jgr
pbXh}YJ&
[HKEY_CLASSES_ROOT\interapi64.classname] c3L)!]kB
@="hookmir" |(evDS5
o.o$dg(r!
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] r2h{#2
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" c] '-:=
------------------------ w$`[C+L
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion Oh&k{DWE$
neLQ>WT
L
\Explorer\ShellExecuteHooks] CO<P$al
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" "ZHA.M]`
"t
^yM`$5[
把它们统统删除后，重新启动计算机。 )XFaVkQ}
再去删除interapi64.dll，OK! s MZ90 Q$
<< XWL:
总结一下可以启动就加载的地方： _Hp[}sv4)
1、我们熟悉的Run/Winlogon之类的地方 ru>c\X^|
2、IE的插件 y\C_HCU H
3、ShellExecuteHooks L-,C5^
Q
1:7 9
Zf,9 k".'C
gfPR3%EXs
