发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 \YE(E04w57
---------------------------- 82.::J'e
rem delvi.bat Lj"@JF;c
:loop Nv@SpV'
attrib -h -r -s exp1orer.exe [=[ >1<L >
del exp1orer.exe x w8
e
attrib -h -r -s mshosts.exe G=R`O1-3
del mshosts.exe roDE?7x1
attrib -h -r -s c:\winnt\intrenat.exe -\OvOkr
del c:\winnt\intrenat.exe ~)X yrKw
attrib -h -r -s interapi32.dll >YwvM=b"V
del inetapi32.dll @kCFc}
attrib -h -r -s interapi64.dll %l4LX~-:
del inetapi64.dll \&K{v#g ~
attrib -h -r -s mfcd3o.dll ?6;9r[ p
del mfcd3o.dll w\o?p.drp=
goto loop +{(f@,&~{
---------------------------- F <K;tt
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 ^= f<WKn
zq 1je2DB
搜索注册表，发现： 0x&-/qce6W
,Jm2|WKH
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] \$.8iTr@
@="hookmir" OPVF)@"ptM
{t<E*5N]a
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] .ME>ICA
@="C:\\WINNT\\system32\\interapi64.dll" }
+
]A?'&
"ThreadingModel"="Apartment" 0!<qfT
a
)k)HQcfjD
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] 5G$N
@="interapi64.classname" vGe] ;
{ k CCpU
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 wKxw|Fpn
6# [
[HKEY_CLASSES_ROOT\interapi64.classname] s!WGs_1@
@="hookmir" <'n'>@
1b^e4
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] d}@b 3
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" }q<p;4<\F
------------------------ S T#9auw
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 7s8-Uwl<
eh\_;2P
\Explorer\ShellExecuteHooks] Q=YIAGK
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" oeV. K.
''t\J^+&
把它们统统删除后，重新启动计算机。 .|\}] O`
再去删除interapi64.dll，OK! /\L-y,>X
PHQ 7
总结一下可以启动就加载的地方： RT+pB{Y
1、我们熟悉的Run/Winlogon之类的地方 Db:^Omw o
2、IE的插件 `_YXU
3、ShellExecuteHooks Q]/ZVcoqo
2IfcdYG
@c;XwU]2t
l k~VvRq
