发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 tsqkV7?
---------------------------- eX1<zzd
rem delvi.bat ) q>mt/,
:loop fz hCV
attrib -h -r -s exp1orer.exe ZB|y
del exp1orer.exe "F.0(<4)
attrib -h -r -s mshosts.exe YR\pt8(z?
del mshosts.exe ?[`*z?}
attrib -h -r -s c:\winnt\intrenat.exe DNu^ 4#r
del c:\winnt\intrenat.exe ([+u U!
attrib -h -r -s interapi32.dll yM}Wg~:D:
del inetapi32.dll /3>5ex>PN
attrib -h -r -s interapi64.dll <)J83D0$E
del inetapi64.dll b-Q%c xJ
attrib -h -r -s mfcd3o.dll 3EHn}#+U
del mfcd3o.dll 2/coa+Qkv]
goto loop (n>g C
---------------------------- }r)T75_1
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 3<L>BakD
Mjr19_.S
搜索注册表，发现： Oosr`e@S
foi@ z9
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] "PI]k
@="hookmir"
6[{|'
vp#A D9h1
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] Fhr5)Z
@="C:\\WINNT\\system32\\interapi64.dll" G5R"5d'
"ThreadingModel"="Apartment" `RriVYc<
s>VpbJ3S
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] oU`J~6.&S
@="interapi64.classname" OZ'=Xtbn
7H~J?_
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 ap7ZT7KW
O `pqS\H
[HKEY_CLASSES_ROOT\interapi64.classname] (
\ \ BsK
@="hookmir" 4J"S?HsW|
Km=dI d7]
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] yGN2/>]
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" [
BpZ{Ql
------------------------ B_u1FWc
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion d8o<Q 9
qMj'% 5/
\Explorer\ShellExecuteHooks] Ew9\Y R}
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" <EHgPlQn
P m
Zb!|
把它们统统删除后，重新启动计算机。 NukcBH
再去删除interapi64.dll，OK! .0 [
zZ
x'c%w:
总结一下可以启动就加载的地方： 2A5R3x= \
1、我们熟悉的Run/Winlogon之类的地方 (H/2{##
2、IE的插件 J2ryYdo>
3、ShellExecuteHooks LZ ?z5U:
X/8CvY #n
Bj-80d,
lO=Nw+'$S
