[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。
^oS$>6|  
---------------------------- `wNm%*g  
rem delvi.bat 4bP13f  
:loop 2]L=s3  
attrib -h -r -s exp1orer.exe (C,e6r Y  
del exp1orer.exe U(U@!G)  
attrib -h -r -s mshosts.exe &Fw[YGJayz  
del mshosts.exe `TUZZz  
attrib -h -r -s c:\winnt\intrenat.exe 'S =sj}X  
del c:\winnt\intrenat.exe 3(1]FKZtt  
attrib -h -r -s interapi32.dll b6 $,Xh  
del inetapi32.dll T!MZ+Ph`F  
attrib -h -r -s interapi64.dll dZPW2yf  
del inetapi64.dll x>}B#  
attrib -h -r -s mfcd3o.dll EJ1Bq>u7  
del mfcd3o.dll ARPKzF`Wq  
goto loop cppL0myJ  
---------------------------- 7$!yfMttu  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 H5~1g6b@  
 }VF#\q  
搜索注册表，发现： kW#S]fsfU  
q[-|ZA bbr  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ]JH64~a  
@="hookmir" 9/#0
?(K8  
1o8wy_eSs  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] rvW!7-R  
@="C:\\WINNT\\system32\\interapi64.dll" 2;8Xz6T  
"ThreadingModel"="Apartment" $30oc Tt{  
Rv98\VD"  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] }*NF&PD5RU  
@="interapi64.classname" Y=r!2u6r~  
*RBV'b  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 )D;*DUtMVm  
~e{H#*f&1/  
[HKEY_CLASSES_ROOT\interapi64.classname] Rq) 0i}F  
@="hookmir" d^PD#&"g  
T'E] i!$  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 2+z1h^)W  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" F9-[%l  
------------------------ uS~#4;R   
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 4CLsY n?  
UH[<&v  
\Explorer\ShellExecuteHooks] uKv&7p@|_)  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" hi!`9k  
%dc3z"u  
把它们统统删除后，重新启动计算机。 WJfES2N  
再去删除interapi64.dll，OK! 2UiR~P]%  
GD!- 
qH  
总结一下可以启动就加载的地方： e9&+vsRmA  
1、我们熟悉的Run/Winlogon之类的地方 62M
dm3  
2、IE的插件 '_V #;DI  
3、ShellExecuteHooks +IrZ ;&oy  
TXjloGv^  

yMb|I~k  
e&0K;yU  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 9t?L\
  
很多都可以