发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 Z+@2"%W
---------------------------- ~NW32
O)/
rem delvi.bat \7CGUB>L
:loop ai0XL}!+
attrib -h -r -s exp1orer.exe &x3VCsC\|
del exp1orer.exe w^t/9Nasi
attrib -h -r -s mshosts.exe lRXK\xIP ,
del mshosts.exe zc[Si bT
attrib -h -r -s c:\winnt\intrenat.exe LD !Q8"
del c:\winnt\intrenat.exe GvBHd%Ot
attrib -h -r -s interapi32.dll #8)*1?
del inetapi32.dll ;Iq/l %vX
attrib -h -r -s interapi64.dll l+V>]?j
del inetapi64.dll K4kM M*D
attrib -h -r -s mfcd3o.dll ,G)r=$XU
del mfcd3o.dll T#>7ub
goto loop *QH28%^
---------------------------- 812$`5l
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 t. ;LnrY
~?(N
搜索注册表，发现： r? /'!!4
i-6 Z"b{
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ~c\e'≻
@="hookmir" RsYU59_Y
t<#h$}=:Vt
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] b9!FC$^J
@="C:\\WINNT\\system32\\interapi64.dll" WY r/oRO
"ThreadingModel"="Apartment" BqT y~{)+
*c2YRbU(
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] <~WsD)=$
@="interapi64.classname" H-
$)3"K
x9JD\vZ
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 >D4# y
d QqK^#
[HKEY_CLASSES_ROOT\interapi64.classname] Oeok ; :
@="hookmir" w4gJoxY-`
/HaHH.e
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] v d[0X;
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 4M2j! Sw
------------------------ *6 >.!&
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion >G%o,9i
76`8=!]R
\Explorer\ShellExecuteHooks] }9FSO9*&}
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 3U0`,c\ao*
[C'JH//q*t
把它们统统删除后，重新启动计算机。 ?U2<
再去删除interapi64.dll，OK! 9?SZN L['V
U[ 0=L`0e
总结一下可以启动就加载的地方： va0{>Dc+
1、我们熟悉的Run/Winlogon之类的地方 jEZMUqGY!
2、IE的插件 Rd#WMo2Xd
3、ShellExecuteHooks ojan Bg
Ys\ Wj%6A
H*r)Z 90
4GX-ma,
