[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 RP1sQ6$
 
---------------------------- h:3^FV&#  
rem delvi.bat :)eU)r"s4  
:loop B65"jy  
attrib -h -r -s exp1orer.exe ~(~ y=M  
del exp1orer.exe WPpS?  
attrib -h -r -s mshosts.exe _ \LPP_  
del mshosts.exe cq#=Vb  
attrib -h -r -s c:\winnt\intrenat.exe &]_2tN=S$  
del c:\winnt\intrenat.exe lv=rL  
attrib -h -r -s interapi32.dll I #8TY/XP  
del inetapi32.dll ?[z@R4at  
attrib -h -r -s interapi64.dll px>g  
del inetapi64.dll #x|IEjoa  
attrib -h -r -s mfcd3o.dll Rxfhk,I  
del mfcd3o.dll .FWi$B';  
goto loop 5%K(tRc|  
---------------------------- %~$coZY^  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 kx.8VUoM V  
YM<F7tp4  
搜索注册表，发现： J7Y lmi  
 Bl1^\[#  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] La9:qpj  
@="hookmir" W0qn$H  
>5c38D7k)  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ?Zv>4+Y'  
@="C:\\WINNT\\system32\\interapi64.dll" ["7]EW\!:  
"ThreadingModel"="Apartment" >)6d~  
lVra&5  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] p/WE[8U  
@="interapi64.classname" .wvgHi  
$z[r(a^a  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 *:tfz*FG$G  
tB/'3#o  
[HKEY_CLASSES_ROOT\interapi64.classname] Q@aDa8Z  
@="hookmir" :|TQi9L$rj  
ul!e!^qwx  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] FNy-&{P2  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" fB"It~ p  
------------------------ <]wQ;14;H  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion FesUE_L2$  
O;CC(  
\Explorer\ShellExecuteHooks] 1}XESAX;0  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" >Nr~7s  
kBr?Q  
把它们统统删除后，重新启动计算机。 vL ]z3  
再去删除interapi64.dll，OK! e4<[|B!O  
K^f&+`v6_  
总结一下可以启动就加载的地方： ]rMHO  
1、我们熟悉的Run/Winlogon之类的地方 Q35jJQ$<`  
2、IE的插件 #y>q)Ph  
3、ShellExecuteHooks $dkkgsw7
 
5JggU  
0Ma3  

KnxK9  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 >4iVVs  
很多都可以