[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ~xyw>m+o.  
---------------------------- <]G${
y*;  
rem delvi.bat P<;7j?  
:loop ?KWj}|%  
attrib -h -r -s exp1orer.exe *'R#4@wmP  
del exp1orer.exe mlu 3K  
attrib -h -r -s mshosts.exe ~ 3T,&?r  
del mshosts.exe QH@>icAb  
attrib -h -r -s c:\winnt\intrenat.exe cA;js;x@  
del c:\winnt\intrenat.exe .q;ED`G  
attrib -h -r -s interapi32.dll Hl7:*]l7b  
del inetapi32.dll 0ys~2Y!eH  
attrib -h -r -s interapi64.dll :&VcB$  
del inetapi64.dll z4M1D9iPY  
attrib -h -r -s mfcd3o.dll O}Le]2'  
del mfcd3o.dll w'ybbv{c  
goto loop =%qEf   
---------------------------- @"|i"Hk^  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 p-$Cs _{Z  
\ijMw  
搜索注册表，发现： u oVNK  
Qv#]81i(1  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}]
d^V$Z6* ]  
@="hookmir" E9 Y\X  
9=+-QdX+0]  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] S>_27r{  
@="C:\\WINNT\\system32\\interapi64.dll" ;-@=  
"ThreadingModel"="Apartment" ;D2E_!N dt  
|4b)>8TL/  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Imym+  
@="interapi64.classname" j9y3hQ+q  
?IYY'fS"  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 #a9_
~\s  
|3eGz%Sd  
[HKEY_CLASSES_ROOT\interapi64.classname] OXhAha`R  
@="hookmir" TbhH&kG)1  
;+Yi.Q/\  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] t})$lM  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 7_\Mwy{P  
------------------------ p1O6+hRio  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion V@ :20m  
O`W%Tr  
\Explorer\ShellExecuteHooks] H[W
eu  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" g-)mav  
cT'w=  
把它们统统删除后，重新启动计算机。 fCUT[d+H  
再去删除interapi64.dll，OK! [Ot,q/hBJ  
I6w~H?ul@*  
总结一下可以启动就加载的地方： B)=~8wsI:Z  
1、我们熟悉的Run/Winlogon之类的地方 >Da~Q WW|  
2、IE的插件 M##';x0  
3、ShellExecuteHooks e!x6bR9EZ  
uJow7-FD  
m],Ud\  
\54}T4R  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 Q/^A #l[  
很多都可以