发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 L']"I^( N
---------------------------- o FS2*u
rem delvi.bat
M/J?$j
:loop } `uFLBG3
attrib -h -r -s exp1orer.exe fW z=bJ"V
del exp1orer.exe eq6>C7 .$
attrib -h -r -s mshosts.exe VxAG= E
del mshosts.exe V]5MIiNl
attrib -h -r -s c:\winnt\intrenat.exe Ju@8_ ?8=
del c:\winnt\intrenat.exe A:4?Jd>
attrib -h -r -s interapi32.dll Ow50M ;E
del inetapi32.dll WI6h
G
attrib -h -r -s interapi64.dll X8\UTHT& 0
del inetapi64.dll !I jU *c@
attrib -h -r -s mfcd3o.dll %}}?Y`/W )
del mfcd3o.dll x+8%4]u`
goto loop p~3 (nk<+
---------------------------- C7=N`s}
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 `Fx+HIng,
H# /Hs#
搜索注册表，发现： ;-Ki`x.oJ
~Z:)Y*
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] wA2^ I70-
@="hookmir" 7ND4Booul
r7jh)Q;BbR
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] GCj[ySCD
@="C:\\WINNT\\system32\\interapi64.dll" Gq]/6igzX
"ThreadingModel"="Apartment" :ggXVwpe
`>Ms7G9S~e
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] -x VZm8y
@="interapi64.classname" tN G[|Bi#
hYbaVE
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 nt_FqUJ
W+I""I*mV
[HKEY_CLASSES_ROOT\interapi64.classname] 7DPxz'7):
@="hookmir" ^O
QeOTF
0WSOA[R%[b
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] L _Xbca=
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" A=+1PgL66
------------------------ iyv5\
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 6&;h+;h
D!V~g7 2j
\Explorer\ShellExecuteHooks] *| as-!${k
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" <8ih >s(C
U'LPaf$O
把它们统统删除后，重新启动计算机。 kD
me>E=
再去删除interapi64.dll，OK! t\WU}aKML
fb[? sc
总结一下可以启动就加载的地方： b#( X+I
1、我们熟悉的Run/Winlogon之类的地方 tTb fyI
2、IE的插件 UCo`l~K)qg
3、ShellExecuteHooks rV
fZ_\|
{8"Uxj_6V
8[H bg
3/ '5#$
