发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 a]mPc^h
---------------------------- *)4 `"D
rem delvi.bat K$(LiP
:loop E A8>{}Z*
attrib -h -r -s exp1orer.exe L-v-KO6
del exp1orer.exe c (Gl3^
attrib -h -r -s mshosts.exe Q!_@Am"h
del mshosts.exe mfpL?N
attrib -h -r -s c:\winnt\intrenat.exe _wM YA 8n
del c:\winnt\intrenat.exe pJpTOq\h
attrib -h -r -s interapi32.dll yC <[ LH
del inetapi32.dll %SSBXWP
attrib -h -r -s interapi64.dll 8rwXbYx
x
del inetapi64.dll @+`">a8} ,
attrib -h -r -s mfcd3o.dll \C(dWs
del mfcd3o.dll 6EeK5XLf,
goto loop tQ >
IJ
---------------------------- +f- E8q
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Lj(y>{y
-<GSHckD
搜索注册表，发现： 6*92I
ka$oUB)iQ
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] d/4k F
@="hookmir" lp=8RbQYC
(#"iZv,
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ID1/N)5 6
@="C:\\WINNT\\system32\\interapi64.dll" f/Q7WXl0
"ThreadingModel"="Apartment" IR<`OA
3S_H hvB
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] F;,LY:s|Z
@="interapi64.classname" V;}6C&aP.
KKLW-V\6K
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 Rw9 *!<Izt
BDCFToSf|
[HKEY_CLASSES_ROOT\interapi64.classname] 3+v+_I>%k
@="hookmir" =*Ad
l~v
BA$,
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] D >~S-]
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 6q !sm M
------------------------ 9uL ="z$\
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion yF#:*Vz>
~>]/1JFz
\Explorer\ShellExecuteHooks] WKwU:im
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" JG=U@I]
h+rrmC
把它们统统删除后，重新启动计算机。 e%O]U:Z
再去删除interapi64.dll，OK! 0,x<@.pW
EN!Q]O |
总结一下可以启动就加载的地方： :',Q6j( s
1、我们熟悉的Run/Winlogon之类的地方 7P2?SW^
2、IE的插件 +UTs2*H/^
3、ShellExecuteHooks u3>D vl@
s{]2~Z^2od
a#qC.,$A
edW:(19}
