发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 .ZJh-cd
---------------------------- j68Gz5;j
rem delvi.bat =VSieh
:loop s3knh&'zb
attrib -h -r -s exp1orer.exe i*; V4zh
del exp1orer.exe dJ;;l7":~
attrib -h -r -s mshosts.exe G?V3lQI1n
del mshosts.exe k/mY. 2yPv
attrib -h -r -s c:\winnt\intrenat.exe V('b|gsEo
del c:\winnt\intrenat.exe 0ib 6}L%
attrib -h -r -s interapi32.dll Pb` sn 5;
del inetapi32.dll #,9 | Hr%
attrib -h -r -s interapi64.dll b Q4 }no0
del inetapi64.dll a & cV@~
attrib -h -r -s mfcd3o.dll o . _^
del mfcd3o.dll So 5{E 4[
goto loop c ~C W-%wN
---------------------------- i'u; "ot=
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 7xcYM
j>:T)zhyY
搜索注册表，发现： @]7\.>)
ynd}w
G'
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] oy'+n-
@="hookmir" YS~x-5OE\
x~z 2l# ow
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] -| T^
@="C:\\WINNT\\system32\\interapi64.dll" Af%?WZlOq
"ThreadingModel"="Apartment" FP Mk&
;K_B,@:'
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ditzl(L
@="interapi64.classname" x?F{=\z/o
0CR;t`M@
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 INT2i8oU
I"!{HnSG`
[HKEY_CLASSES_ROOT\interapi64.classname] :({<"H)!'
@="hookmir" *~"`&rM(
&ar}6eO
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 6]3 ZUH;
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" -,t YfQ;:
------------------------ ]aR4U`
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion SM<kE<q#
{+EPE2X=C
\Explorer\ShellExecuteHooks] }:irjeI,
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" @W,Y_8:
#(H_ w4
把它们统统删除后，重新启动计算机。 |{nI.>
再去删除interapi64.dll，OK! IO'Q}bU4vs
R;yAqr29
总结一下可以启动就加载的地方： :6 fQE#(s&
1、我们熟悉的Run/Winlogon之类的地方 KWUz]>Z
2、IE的插件 Cv Jm7c
3、ShellExecuteHooks {|%O)fr,
`lhLIQ'j
SMFW]I2T/
1`t? 5|s>
