发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 vXWESy
---------------------------- ;U:o'9^9T
rem delvi.bat }v|[h[cZ
:loop ]r{ #268
attrib -h -r -s exp1orer.exe l9Cy30O6
del exp1orer.exe &^Q~G>A
attrib -h -r -s mshosts.exe XzR WY\x
del mshosts.exe iF2IR {h
attrib -h -r -s c:\winnt\intrenat.exe &cv /q$W 4
del c:\winnt\intrenat.exe N 7|W.(
attrib -h -r -s interapi32.dll "i5AAP?_]{
del inetapi32.dll <P)% Ms
attrib -h -r -s interapi64.dll 7}HA _@[
del inetapi64.dll ,2L,>?r6
attrib -h -r -s mfcd3o.dll tYxlM!
del mfcd3o.dll T)?@E/VaS
goto loop WlJRK M2
---------------------------- <zWQ[^
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Bf}0'MK8zQ
r -DD*'R
搜索注册表，发现： ;]ZHD$ g
9"v ox
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 6(;[ ov1
@="hookmir" !i lDR<
<@2?2l+`X
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] 53#5p;k
@="C:\\WINNT\\system32\\interapi64.dll" L?5t <`#lw
"ThreadingModel"="Apartment" rEyMSLN
W2V@\
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] (IWd?,H,n
@="interapi64.classname" Gl\RAmdc
=$`")3y3
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 S)1:*>@
@n y{.s+
[HKEY_CLASSES_ROOT\interapi64.classname] +hYmL
Sq
@="hookmir" '3 ,JL!
-cS4B//IK8
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 2yg'?tp j
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" Wa<NId
------------------------ Y+PxV*"a
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ?q8g< -?
R(# ;yn
\Explorer\ShellExecuteHooks] KuAGy*:4T
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" _J#Hq 'K
aQ3vG08L>
把它们统统删除后，重新启动计算机。 iw6M3g#
再去删除interapi64.dll，OK! G5@@m-
J~ rC
总结一下可以启动就加载的地方： W` rE \P
1、我们熟悉的Run/Winlogon之类的地方 -CNv=vj 3
2、IE的插件 S 2` ;7
3、ShellExecuteHooks 7
@Qlp$[F
CHSD 8D
l`G:@}P>G
-x5bdC(d
