[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 |&@`~OBa  
---------------------------- W56VA>ia  
rem delvi.bat m?gGFxo  
:loop Y78DYbU.  
attrib -h -r -s exp1orer.exe lWH#/5`h  
del exp1orer.exe 0176  
attrib -h -r -s mshosts.exe LqO=wK~  
del mshosts.exe f~,Ml*Zp  
attrib -h -r -s c:\winnt\intrenat.exe S_nAO\h  
del c:\winnt\intrenat.exe *VHWvj  
attrib -h -r -s interapi32.dll orYZ<,u  
del inetapi32.dll =.OzpV)=V  
attrib -h -r -s interapi64.dll $=ESY>MO  
del inetapi64.dll Y DW^N]G  
attrib -h -r -s mfcd3o.dll M6 8foeeN  
del mfcd3o.dll <CJy3<$u  
goto loop ?`xm_udc  
---------------------------- ho)JY $#6  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 [$uKI,l  
@4Zkkj
c4b  
搜索注册表，发现： 6nJQPa  
6tjV^sjs  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] }#
;.b'`  
@="hookmir" K<r5jb  
!Eb|AHa  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ? HNuffk  
@="C:\\WINNT\\system32\\interapi64.dll" `>b,'u6F  
"ThreadingModel"="Apartment" 0rQr#0`  
KX3A|
  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] uJlW$Oc:.  
@="interapi64.classname" yyk@f%  
T@`
Al('  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 >)u{%@Rcy{  
8^D1u`  
[HKEY_CLASSES_ROOT\interapi64.classname] 717G CL@  
@="hookmir" _yX.Apv]  
fP6.  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] QC!SgV  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" Xh}D_c  
------------------------ fYzP4  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion z;?j+ZsdH  
00s)=A_  
\Explorer\ShellExecuteHooks] XPZ8*8JL  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" k.jBu  
49<t2^1q  
把它们统统删除后，重新启动计算机。 )y Zr]  
再去删除interapi64.dll，OK! 6|{&7=1t  
yGSZ;BDW:K  
总结一下可以启动就加载的地方： VXlAK(   
1、我们熟悉的Run/Winlogon之类的地方 lzz;L z  
2、IE的插件 =F Y2O`%a  
3、ShellExecuteHooks pq\N2d  
ASrRMH[  
tl*h"du^  
8h4]<T  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 6w(r}yO]
 
很多都可以