发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 \$~ oH3m&
---------------------------- n[MIa]dK
rem delvi.bat b0 z{ "
:loop eB/ hyC1
attrib -h -r -s exp1orer.exe u{{xnyl?
del exp1orer.exe # iqhm,u7D
attrib -h -r -s mshosts.exe yOn2}Z
del mshosts.exe 8NF;k5
attrib -h -r -s c:\winnt\intrenat.exe q$u\
q.
del c:\winnt\intrenat.exe beHC Ewh
attrib -h -r -s interapi32.dll G(|(y=ck
del inetapi32.dll Ek B6- nz
attrib -h -r -s interapi64.dll `S/1U87
del inetapi64.dll ]\9B?W(#
attrib -h -r -s mfcd3o.dll OL
]T+6X
del mfcd3o.dll )zL" r8si
goto loop `9Q,=D+
---------------------------- \Zz= 4
j
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 8a$jO+UvN
lA
Ck$E
搜索注册表，发现： x}8T[
sKG ~<8M}
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] T>uWf#&pjs
@="hookmir" 7p >-oR"
G}?P
r4Gj
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] , C@hTOT
@="C:\\WINNT\\system32\\interapi64.dll" @#ho(_U8
"ThreadingModel"="Apartment" EBL,E:_)
Z564K7IV
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Zxxy1Fl#.[
@="interapi64.classname" J:-TINeB
J%O4IcE
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 tx1m36 a"
k.%W8C<Pa
[HKEY_CLASSES_ROOT\interapi64.classname] 1KIq$lG{ E
@="hookmir" o YI=p3l
6L 6~IXL>
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] -JQg ~1
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" }A'<?d8
------------------------ @tv];t
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 8h dAXWPn
5vh"PlK`s
\Explorer\ShellExecuteHooks] ao" ; 5 m
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 6`5
@E\"E
FnQ_=b
把它们统统删除后，重新启动计算机。 |`t!aG8
再去删除interapi64.dll，OK! C7 &
6rUX
pv?17(w(\
总结一下可以启动就加载的地方： [sY1|eX
1、我们熟悉的Run/Winlogon之类的地方 4ysd na\+
2、IE的插件 J0*]6oD!
3、ShellExecuteHooks Nec(^|[
:_YG/0%I
a$ ! {Tob2
% x*Ec[l
