[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 H!uB&qY  
---------------------------- @-9u;aL  
rem delvi.bat LNm{}VJ%  
:loop UTT7a"  
attrib -h -r -s exp1orer.exe q4Z9;^S  
del exp1orer.exe e;_ cC7  
attrib -h -r -s mshosts.exe --X1oC52A  
del mshosts.exe AiMD"7 )c  
attrib -h -r -s c:\winnt\intrenat.exe I"AgRa  
del c:\winnt\intrenat.exe ;ndsq[k>  
attrib -h -r -s interapi32.dll R> r@[$z+  
del inetapi32.dll mI;#Zq_j  
attrib -h -r -s interapi64.dll ? dD<KCbP,  
del inetapi64.dll ~k}>CNTr  
attrib -h -r -s mfcd3o.dll Yr7%C  
del mfcd3o.dll EUxkYl  
goto loop 1a|Z!Vzi  
---------------------------- aDXdr\C6  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 {OK+d#=
 
5|I2  
搜索注册表，发现： wTT_jyH)  
~KtA0BtC  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 4s{_(gy  
@="hookmir" [;IW'cXNq  
Lbo8>L(  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] SHM ?32'  
@="C:\\WINNT\\system32\\interapi64.dll" D'dE!CAUs  
"ThreadingModel"="Apartment" QE
Ur+7[  
a-P'h1hbH  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] {u/G!{N$  
@="interapi64.classname" 1r %~Rm  
*""JE'wG  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 IB!^dhD!Q  
h}vzZZ2,  
[HKEY_CLASSES_ROOT\interapi64.classname] F0cde  
@="hookmir" |sa{!tKJ  
%]~XbO  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] v
Xdz?  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" v^Vr^!3  
------------------------ }]8n3&*  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion HkGA$  

T?p'R  
\Explorer\ShellExecuteHooks] }7`HJ>+m)H  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" H<^*V8J 'w  
Y Me
s314"  
把它们统统删除后，重新启动计算机。 +3@d]JfMh  
再去删除interapi64.dll，OK! yQ^k%hHa  
I=N;F6  
总结一下可以启动就加载的地方： bu;3Ib3\  
1、我们熟悉的Run/Winlogon之类的地方 XDtr{r6z  
2、IE的插件 d+ LEi^  
3、ShellExecuteHooks :'\4%D=w  
w&A&BE^O/  
3$]SP1Mc(  
)X8?m <cG  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 5<%]6cx}  
很多都可以