发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 Qh-4vy =r
---------------------------- ^|?1_r
rem delvi.bat _whF^g8
:loop |<(t}}X
attrib -h -r -s exp1orer.exe X Lb0
9;
del exp1orer.exe C :GvP>
attrib -h -r -s mshosts.exe f xtxu?A>
del mshosts.exe Pp *}R2
attrib -h -r -s c:\winnt\intrenat.exe ~@P )tl>
del c:\winnt\intrenat.exe j=ihbR^]Tl
attrib -h -r -s interapi32.dll Q2c*.Y
del inetapi32.dll N9]xJgTze
attrib -h -r -s interapi64.dll RmO yGSO
del inetapi64.dll 4seci z0?
attrib -h -r -s mfcd3o.dll f#P_xn&et
del mfcd3o.dll x?L hq2
goto loop V]c5
Z$B d
---------------------------- }V]eg,.BJ
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 z-@ -O
J+Bdz6lt
搜索注册表，发现： ?@U AL .y
GMm'of #
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] A5XR3$5P
@="hookmir" r1Z<:}ZwK
Dp^/gL =
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] 54q3R`y
@="C:\\WINNT\\system32\\interapi64.dll" 8=Q V N_
"ThreadingModel"="Apartment" Y6ben7j%-
f1Zt? =
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] kCA5|u
@="interapi64.classname" cNj*E
=~;
io4 a YB\
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 &Rp"rM eW
-t4
[oB
[HKEY_CLASSES_ROOT\interapi64.classname] $bGD%9
z
@="hookmir" I=[cZ;t
&&PgOFD
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 254~:eB0
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" XDYosC:
------------------------ a)9rs\Is{
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 1 6$y`~c-z
@\}YAa>>"I
\Explorer\ShellExecuteHooks] @ Nb%L&=P8
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" X/+OF'po
0 {R/<N
把它们统统删除后，重新启动计算机。 L'9N9CR{i
再去删除interapi64.dll，OK! *IZf^-=Q
HarFE4V
总结一下可以启动就加载的地方： R0<< f]
1、我们熟悉的Run/Winlogon之类的地方 U:|H9+5
2、IE的插件 s, XM9h>P4
3、ShellExecuteHooks Y8ehmz|g]J
H06Bj(Y!
G$5m$\ K
]W)
jmw'mo
