发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ">'`{mXew
---------------------------- =(]||1 .
rem delvi.bat '/ GZ,~q
:loop O`2 hTY\
attrib -h -r -s exp1orer.exe #_4 JTGJ
del exp1orer.exe 2R`/Oox
attrib -h -r -s mshosts.exe @ >Ul0&Mf?
del mshosts.exe zH1 :kko
attrib -h -r -s c:\winnt\intrenat.exe Q2RO&dL
9
del c:\winnt\intrenat.exe =J827c{.
attrib -h -r -s interapi32.dll D",~?
del inetapi32.dll &46 Ro|XE`
attrib -h -r -s interapi64.dll PtT$#>hx]
del inetapi64.dll ) d"s6i
attrib -h -r -s mfcd3o.dll ` EgO&;1D)
del mfcd3o.dll kz?m `~1
goto loop +i6XCN1=
---------------------------- & dvL`
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 K0z@gWGE
mFeoeI,Jv
搜索注册表，发现： U(u$5
V0a)9\x(\
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] *pKj6x
@="hookmir" d ~3G EK
N
Uq'96 {Y
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] XdGA8%^cY
@="C:\\WINNT\\system32\\interapi64.dll" DgRA\[c
"ThreadingModel"="Apartment" G8Sx;Xi
h0n,WU/Kw
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] )Qixde>]p
@="interapi64.classname" [ ;8vO=Z
zx=AT
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 M`gr*p
]q|^?C
[HKEY_CLASSES_ROOT\interapi64.classname] < o.?T *Q9
@="hookmir" HzD=F3\r|
BZ -) XF'4
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] xH/Pw? ^
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" &s<'fSI
------------------------ nN[gAM (
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion )R]gJ_ ,c
m9m]q&hx
\Explorer\ShellExecuteHooks] [m{uJ dj\
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" kK il] L
"
H; i Av
把它们统统删除后，重新启动计算机。 +Rb0:r>kU
再去删除interapi64.dll，OK! aI W W[xZ
v#o<.
Ig
总结一下可以启动就加载的地方： 7(< z= F
1、我们熟悉的Run/Winlogon之类的地方 Q2 @Ugt$
2、IE的插件 4> $weu^
3、ShellExecuteHooks Lyj0$wbH`
3f^~mTY9>]
KMZEUmY1R1
Y~ ( <H e?
