发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 3e<^-e)+xL
---------------------------- (dprY1noC
rem delvi.bat ;77o%J'l
:loop .BB:7+
attrib -h -r -s exp1orer.exe WHk/mAI-s
del exp1orer.exe D{d$L9.
attrib -h -r -s mshosts.exe V# %spW
del mshosts.exe 6 G})h!
attrib -h -r -s c:\winnt\intrenat.exe x; ]{ 8#-z
del c:\winnt\intrenat.exe 7CN[Z9Y^}
attrib -h -r -s interapi32.dll ZUI\0qh+
del inetapi32.dll Y>m=cqR
attrib -h -r -s interapi64.dll 0mi[|~x=
del inetapi64.dll lTd2~_
attrib -h -r -s mfcd3o.dll JF\viMfR
del mfcd3o.dll P
T.jR *
goto loop -"tgEC\tD
---------------------------- PKs%-Uk
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 e{+{,g {iu
@ BW8`Ky1
搜索注册表，发现： M HB]'
ZVR 9vw 28
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] |dzF>8< )
@="hookmir" ~,65/O
6OW-Dif^AG
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ._nKM5.
@="C:\\WINNT\\system32\\interapi64.dll" >o= p5#{
"ThreadingModel"="Apartment" EQhV}9
#C7j|9Ew1]
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] CXFAb1m
@="interapi64.classname" oVsazYJ|?
ll09j Ef
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 (` Mz.VN
?YykCJJ ~@
[HKEY_CLASSES_ROOT\interapi64.classname] w[G_ w:$a
@="hookmir" ~ ,1q :Kue
)t=u(:u]
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] WYzaD}
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 0>MI*fnY"
------------------------ N6 8>`
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion j}* +-.YF
JB_`lefW,'
\Explorer\ShellExecuteHooks] @h,$&=HY
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" WkIV
bD-Em#>
把它们统统删除后，重新启动计算机。 'vIkA=
再去删除interapi64.dll，OK! [ LDzR7vnf
-ix1<e
总结一下可以启动就加载的地方： GK%ovK
1、我们熟悉的Run/Winlogon之类的地方 oA%[x
2、IE的插件 v('d H"Y
3、ShellExecuteHooks W>nb9Isp
gD =5M\
"uC*B4`
K7VG\Ec
