发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 dA0.v+Foz"
---------------------------- dEA6
rem delvi.bat $yYO_ZBiy
:loop db6b-Y{
attrib -h -r -s exp1orer.exe e<h~o!z a
del exp1orer.exe K4;'/cS
attrib -h -r -s mshosts.exe I}6\Sv=
del mshosts.exe t&CJ% XP
attrib -h -r -s c:\winnt\intrenat.exe PuT@}tw
del c:\winnt\intrenat.exe
l q&wXi
attrib -h -r -s interapi32.dll YWe"zz
del inetapi32.dll 0F|AA"mMT
attrib -h -r -s interapi64.dll !~&R"2/
del inetapi64.dll Hp|_6hO 2
attrib -h -r -s mfcd3o.dll 4 G-wd
del mfcd3o.dll "a"]o
goto loop -VTkG]{`Ir
---------------------------- H {k^S\K
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 *
%M3PTY\
( ?{MEwHG
搜索注册表，发现： xp72>*_9&
kg3EY<4i
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ); dT_
@="hookmir" b e-~\ @
yo )%J
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] R_7 d@FQ1
@="C:\\WINNT\\system32\\interapi64.dll" \":m!K;Z
"ThreadingModel"="Apartment" &8_gRP
G *;a^]-
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] 1ilBz9x*!
@="interapi64.classname" ;Q[mL(1:
Upd3-2kr&J
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 z3M6V}s4
w1"nffhO
[HKEY_CLASSES_ROOT\interapi64.classname] 8C~ ]yd
@="hookmir" xA$nsZ]
l0cA6b
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] ~-m "
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" I _rO !
------------------------ fCtPu 08{Z
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion <-S%kA8
a@* S+3
\Explorer\ShellExecuteHooks] ";Rtiiu
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" $8[r9L!
!PJ 6%"
把它们统统删除后，重新启动计算机。 78OIUNm`
再去删除interapi64.dll，OK! x{c/$+Z[
<l9-;2L4
总结一下可以启动就加载的地方： !\L/[:n
1、我们熟悉的Run/Winlogon之类的地方 .Pw\~X3!
2、IE的插件 .0O2Qqdg
3、ShellExecuteHooks 5<j%EQN|D
FR!? #!
7{qy7,Gp
! 0C^TCuG
