[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 y$tX-9U  
---------------------------- BvSIM%>h  
rem delvi.bat T_OF7?  
:loop ,c)g
,J9  
attrib -h -r -s exp1orer.exe UlQQP^Na  
del exp1orer.exe .%0ne:5  
attrib -h -r -s mshosts.exe Z]:BYX'  
del mshosts.exe u&TdWZe  
attrib -h -r -s c:\winnt\intrenat.exe $X+u={]  
del c:\winnt\intrenat.exe u:`y]  
attrib -h -r -s interapi32.dll g3?U#7i  
del inetapi32.dll ?4)v`*  
attrib -h -r -s interapi64.dll r[Zq3  
del inetapi64.dll S9Yt1qb  
attrib -h -r -s mfcd3o.dll 3#<*k>1G?  
del mfcd3o.dll $~'Tf>e  
goto loop ?Cci:Lin  
---------------------------- O(OmGu4%  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 n!N\zx8  
(3EUy"z-  
搜索注册表，发现： /b.oEGqZX  
Y&'8VdW  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 27#8dV?  
@="hookmir" MPRO !45Z  
f(u&XuZ  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ]RFdLV?  
@="C:\\WINNT\\system32\\interapi64.dll" g<[rH%\6fg  
"ThreadingModel"="Apartment" dA#{Cn;  
$ehg@WK}.  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] v29G:YQe  
@="interapi64.classname" Ud3""C5B  
< `Z%O<X  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 *PM}"s  
IF?xnu  
[HKEY_CLASSES_ROOT\interapi64.classname] 4-:7.I(hq  
@="hookmir" =p\Xy*  
vg5NY =O  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] B2hfD-h,>  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 4=p@2g2"H  
------------------------ }#b %"I0  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
b4
~H3|  
If}lJ6jZ  
\Explorer\ShellExecuteHooks] ;1LG&h,K  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" KP~-$NR  
i;lE
5  
把它们统统删除后，重新启动计算机。 &jJckT  
再去删除interapi64.dll，OK! =FBIrw{w  
t]TyXAr~  
总结一下可以启动就加载的地方： )DZTB  
1、我们熟悉的Run/Winlogon之类的地方 pVOI5>f\  
2、IE的插件 ?*K<*wBw#  
3、ShellExecuteHooks ,ZK]i CGk  
/
{G/|a  
,z66bnjO  
(G5xkygR9  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 uiK:*[  
很多都可以