[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 JE~;gz]  
---------------------------- Vi9Kah+  
rem delvi.bat lf`" (:./  
:loop ^*g= 65!1  
attrib -h -r -s exp1orer.exe @zs.M-F  
del exp1orer.exe IjaFNZZC!  
attrib -h -r -s mshosts.exe IuV7~w  
del mshosts.exe NCX`
-SLv  
attrib -h -r -s c:\winnt\intrenat.exe Zb&5)&'
X  
del c:\winnt\intrenat.exe 3*8m!gq7s  
attrib -h -r -s interapi32.dll \&XtPQ  
del inetapi32.dll xj
< K6  
attrib -h -r -s interapi64.dll d?6\  
del inetapi64.dll ?1afW)`a.v  
attrib -h -r -s mfcd3o.dll zg}#X6\G<_  
del mfcd3o.dll v#^_|  
goto loop Z [Q jl*  
---------------------------- y8.3tp  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 k-jlYHsA  
9z'(4U  
搜索注册表，发现： *8%nbR  
^1w<wB\B  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ']C" 'b  
@="hookmir" 
"wi}/,)  
prw% )#,  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] `ElJL{Rn  
@="C:\\WINNT\\system32\\interapi64.dll" ,DIr&5>p2  
"ThreadingModel"="Apartment" [wkSY>Gu  
V*,6_-^l  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] *KYh_i  
@="interapi64.classname" p3Z[-2I  
K3;~|U-l  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 Xs Ey8V  
=Sjf-o1V  
[HKEY_CLASSES_ROOT\interapi64.classname] -/ YY.F-  
@="hookmir" M`D`-vv  
MwE^.6xl{  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] ,>3b|-C-  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" Hfo/\\  
------------------------ XjFaP {  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 4(mRLr%l@`  
w,zm$s^  
\Explorer\ShellExecuteHooks] o>^@s4t  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 2=RQ,@s  
c~)H" n  
把它们统统删除后，重新启动计算机。 3gQ2wP*K  
再去删除interapi64.dll，OK! _m@+d>f_  
ALi
3JU  
总结一下可以启动就加载的地方： Iy;bzHXs  
1、我们熟悉的Run/Winlogon之类的地方 /4>|6l=  
2、IE的插件 yD yMI  
3、ShellExecuteHooks ' JAcN@q~z  
u`gY/]y!  
Uqd2{fji=#  
uB;PaZG?{  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 1#V&'A  
很多都可以