发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 D`;Q?f C
---------------------------- WJG& `PP
rem delvi.bat yqpb_h9
:loop EJ*
attrib -h -r -s exp1orer.exe JrF\7*rh9
del exp1orer.exe PvzB, 2":
attrib -h -r -s mshosts.exe mQQ5>0^m
del mshosts.exe kan?2x
attrib -h -r -s c:\winnt\intrenat.exe ^-3R+U- S
del c:\winnt\intrenat.exe ]M|Iy~
X
attrib -h -r -s interapi32.dll +jcg[|-' /
del inetapi32.dll q]%c
6 {w
attrib -h -r -s interapi64.dll 8$fiq}a
del inetapi64.dll * i[^-
attrib -h -r -s mfcd3o.dll Sm 2 |I6
del mfcd3o.dll Nl_Sgyx,\
goto loop Xa. _
---------------------------- RlU=
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 &H!#jh\w
\JBJ$lBL
搜索注册表，发现： Hu
.e@7
/J8'mCuC.
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 4Fr0/="H
@="hookmir" &e\A v.n@-
6 6"-Xf~u
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] |V2+4b,
@="C:\\WINNT\\system32\\interapi64.dll" >$]SYF29
"ThreadingModel"="Apartment" f#:7$:{F1
y0Pr[XZ
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Z:|2PQ4
@="interapi64.classname" Gc)
Zu`67
djVE x }
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 eATX8`W
i"uAT$x e
[HKEY_CLASSES_ROOT\interapi64.classname] !$'s?rnh
@="hookmir" W`fE@* k0
CB5 ~!nKv&
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] K
(yuL[p`
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 0:^L>MO
------------------------ $wa )e
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion K[ZgT$zZ
f!}c0n b
\Explorer\ShellExecuteHooks] :%Dw3IrOM
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" h(hb?f@1:
9?)r0`:#
把它们统统删除后，重新启动计算机。 <$s G]l!\
再去删除interapi64.dll，OK! fL7ym,?
".z~c%'
总结一下可以启动就加载的地方： iY~9`Q1E
1、我们熟悉的Run/Winlogon之类的地方 | 9)Q =(
2、IE的插件 S8+Xk= x
3、ShellExecuteHooks rJJI<{$
/IM5#M5~
;8UHnhk_O
]p~QdUR(
