发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 :* /<eT_
---------------------------- (xG#D;M0
rem delvi.bat w^A8ZT0^7
:loop |jEKUTv,G
attrib -h -r -s exp1orer.exe P2 !~}{-
del exp1orer.exe yJ/m21f
attrib -h -r -s mshosts.exe YV . *8'*
del mshosts.exe ;}.jRmnJ
attrib -h -r -s c:\winnt\intrenat.exe !}l)okQH<#
del c:\winnt\intrenat.exe ",#rI+ el
attrib -h -r -s interapi32.dll V BIPB
del inetapi32.dll BXZ( %tnY
attrib -h -r -s interapi64.dll !D7\$
g6g
del inetapi64.dll p#^L
ZX
attrib -h -r -s mfcd3o.dll qVZ=:D{
del mfcd3o.dll TN7kt]a2
goto loop O<L /m[]
---------------------------- SKD!V6S
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 '+f!(teLz
'gI58#v
搜索注册表，发现： t=xO12Z
!`=r ( 'l
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] u vc0"g1h
@="hookmir" )#xd]~ <
dm8 veKW'l
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] :*0k:h6g
@="C:\\WINNT\\system32\\interapi64.dll" 87YT;Z;U&
"ThreadingModel"="Apartment" $Z.c9 rY1
O4]Ss}ol
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Q\m"n^ XN
@="interapi64.classname" 5NJ@mm { 0
;=_<\2
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 %/1`"M5ko
Q]{DhDz ?+
[HKEY_CLASSES_ROOT\interapi64.classname] 7yeZ+lD
@="hookmir" iMk`t:!;#"
e7]IEBbX2O
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] S8.nM}x
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" rya4 sxCh
------------------------ s^L\ h r
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 6;*tw i
@#*B|lHE
\Explorer\ShellExecuteHooks] R?Iv<(I
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" D 67H56[
&fiDmUxj
把它们统统删除后，重新启动计算机。 4y>G6TD^
再去删除interapi64.dll，OK! a9F lzR
[GU!],Y
总结一下可以启动就加载的地方： F] M3/M
1、我们熟悉的Run/Winlogon之类的地方 &e cf5jFy
2、IE的插件 #)my)}o\p
3、ShellExecuteHooks ds5<4SLj
-S)HB$8
:bLGDEC
Da?0 B9'
