发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 "C%;9_ig$
---------------------------- S-g`rTx
rem delvi.bat uG~%/7Qt{
:loop 'Q ?nU^:F#
attrib -h -r -s exp1orer.exe IKH#[jW'IB
del exp1orer.exe i e%ZX
attrib -h -r -s mshosts.exe qVx0VR1:
del mshosts.exe O]90 F
attrib -h -r -s c:\winnt\intrenat.exe Ju Kj
del c:\winnt\intrenat.exe 9-I;'
attrib -h -r -s interapi32.dll P*Uu)mG)G
del inetapi32.dll e=QnGT*b5
attrib -h -r -s interapi64.dll /\ (0@To
del inetapi64.dll mq do@
attrib -h -r -s mfcd3o.dll mS6 L6)] S
del mfcd3o.dll OANn!nZ.
goto loop P.=&:ay7?
---------------------------- JEGcZ eq)
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Wl?*AlFlk
@?f3 (G h,
搜索注册表，发现： [?yOJU%`
Xq1n1_Z
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] vH9/}w 2
@="hookmir" Lr V)}1&5
[-=PK\ B
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] Rq< T2}K
@="C:\\WINNT\\system32\\interapi64.dll" eZk
[6H
"ThreadingModel"="Apartment" 7?dB&m6W
n@Y`g{{e~
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ;XRLp:y
@="interapi64.classname" |U>BXX P
=AUR]&_B
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 &S]\)&Yt
-6aGcPq
[HKEY_CLASSES_ROOT\interapi64.classname] 5a&[NN
@="hookmir" fYl$$.
A!x_R {,yH
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] N yFa2Ihd
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" p g ;agtI
------------------------ S2@[F\|r
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion TY] ,H=
Nj@k|_1
\Explorer\ShellExecuteHooks] (G* --+Gn
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" gQCkoQi:j
h 1:uTrtA
把它们统统删除后，重新启动计算机。 ,yNPD}@v>
再去删除interapi64.dll，OK! +MIDq{B
3W 5|Y@0
总结一下可以启动就加载的地方： 0bVtku K;G
1、我们熟悉的Run/Winlogon之类的地方 a{mtG{Wc
2、IE的插件 VX2 KE@
3、ShellExecuteHooks 1.4]T, `
b,cA mZ
^8a,gA8.
ck){N? y
