发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 Ck@M<(x
---------------------------- v8
rem delvi.bat \OA
L Or
:loop Ih3$
attrib -h -r -s exp1orer.exe 6% UY1Q.?
del exp1orer.exe dE GX3 -
attrib -h -r -s mshosts.exe 3fl7~Lw,
del mshosts.exe 506V0]`/
attrib -h -r -s c:\winnt\intrenat.exe F1J#Y$q~L
del c:\winnt\intrenat.exe ydup)[n
attrib -h -r -s interapi32.dll {lMq cK
del inetapi32.dll 2+Zti8
attrib -h -r -s interapi64.dll UO1$UF!
QC
del inetapi64.dll Z)5klg$c
attrib -h -r -s mfcd3o.dll .jaZ|nN8`
del mfcd3o.dll ki3 HcV
goto loop -O %[!&`
---------------------------- Z'e\_C
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 cyBW0wV1
W } Zb~[,
搜索注册表，发现： gw J}]Tf
(V)9s\ Le_
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 7IQqN&J
@="hookmir" # \<P]<C
0mVuD\#=!
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] mt I M W9
@="C:\\WINNT\\system32\\interapi64.dll" 0Nt%YP
"ThreadingModel"="Apartment" o6|"J%9GX
ng
9NE8F
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] qh H+m
@="interapi64.classname" c&b/Joi7@
:l;,m}#@
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 6&mWIk^VC
8yvJ`eL-
[HKEY_CLASSES_ROOT\interapi64.classname] 0$l&i=L
@="hookmir" &1~Re.* B
V(DjF=8
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] F^xaz^=`u
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" !]G jIT]Oh
------------------------ 0 JyqCb l
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion l@#b;M/
K k`<f d
\Explorer\ShellExecuteHooks] G>JxIrN0
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" J+i X,X
z1FL8=
把它们统统删除后，重新启动计算机。 ]| z")gOE
再去删除interapi64.dll，OK! 61kO1,Uz*
sSV^5
总结一下可以启动就加载的地方： 4rm87/u*0
1、我们熟悉的Run/Winlogon之类的地方 F=: c5z
2、IE的插件 $82zy q
3、ShellExecuteHooks >j -
b5g"g
RW)k_#%=
y+= \z*9
:/~_sJt C
