发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 2 ;ju/9 x
---------------------------- | Pi! UZB
rem delvi.bat -CLBf'a
:loop c <,R,D R
attrib -h -r -s exp1orer.exe aUk]wiwIR9
del exp1orer.exe E<sd\~~A:
attrib -h -r -s mshosts.exe JA~q}C7A7o
del mshosts.exe L u
CiO
attrib -h -r -s c:\winnt\intrenat.exe N;gY5;0m
del c:\winnt\intrenat.exe $i @I |y/
attrib -h -r -s interapi32.dll Y.kgJ #2
del inetapi32.dll 0Ua&_D"
attrib -h -r -s interapi64.dll PUmgcMt
del inetapi64.dll 2p~}<B
attrib -h -r -s mfcd3o.dll OJiwI)a9
del mfcd3o.dll lokKjs
goto loop 9DdR"r'7
---------------------------- nh*6`5yj
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 A DVUx}
gY!?JZC-0
搜索注册表，发现： '0w</g
3~1 Gts
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 54].p7
@="hookmir" +U)4V}S)
M+*K-zt0
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] 1m y 1m
@="C:\\WINNT\\system32\\interapi64.dll" 8SA"
bH:
"ThreadingModel"="Apartment" ?Wc+
J4
[k f6bf@
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ^.9D f A0
@="interapi64.classname" ?j&ZzK'#^
|A\o
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 Eq|5PE^7
}N&? 8s=
[HKEY_CLASSES_ROOT\interapi64.classname] (hEg&@
@="hookmir" _y&XFdp
u+^KP>rM(
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] f,x;t-o+R
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" yLPP6_59$
------------------------ l <p(zLR
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion C1>zwU_z o
QBh*x/J
\Explorer\ShellExecuteHooks] @C%6Wo4l3
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" ST2:&xH(
OG9 '[o`8
把它们统统删除后，重新启动计算机。 ;; 6$d{
再去删除interapi64.dll，OK! Lt
^*L% x
Gt)ij?~
总结一下可以启动就加载的地方： &(lQgi+^!
1、我们熟悉的Run/Winlogon之类的地方 F ^Bk @
2、IE的插件 <HtGp6q
3、ShellExecuteHooks =R<92v
6_:I~TTX
Fv*Et-8tN5
K|Eelhm
