[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 nLv~)IQ}:  
---------------------------- qfxEo76'  
rem delvi.bat ^W@%(,xb  
:loop (~E-=+R[$&  
attrib -h -r -s exp1orer.exe 8ZM#.yBB  
del exp1orer.exe GU/-L<g  
attrib -h -r -s mshosts.exe
b0f6p>~q^  
del mshosts.exe |>m'szca4  
attrib -h -r -s c:\winnt\intrenat.exe I;eoy,  
del c:\winnt\intrenat.exe eO*s,*  
attrib -h -r -s interapi32.dll RO%M9LISI  
del inetapi32.dll |_-w{2K  
attrib -h -r -s interapi64.dll o90
g;Vog  
del inetapi64.dll v&WK9F\  
attrib -h -r -s mfcd3o.dll M5t.l(  
del mfcd3o.dll *p#@W-:9E  
goto loop [^6z>  
---------------------------- Iwh0PfWJ  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 g
;nLR<]  
v2p0EOS  
搜索注册表，发现： n"D` =  
[
m6+I9  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] fqq4Qc)#U&  
@="hookmir" m.! M#x2!  
Di4GaKa/  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] >w,jaQ  
@="C:\\WINNT\\system32\\interapi64.dll" ED" fi$  
"ThreadingModel"="Apartment" XuHR  
Wi>m}^}9  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] %N`_g' r!  
@="interapi64.classname" 6akI5\b  
$?]`2*i  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 *FZav2]-  
4#]g852  
[HKEY_CLASSES_ROOT\interapi64.classname] M6^ \LtFt  
@="hookmir" d,Oagx  
\@N~{72:k  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] g7*Uuh#  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" NqNU:_}  
------------------------ ~1twGG_;  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion }HmkTk  
k`|E&+
og  
\Explorer\ShellExecuteHooks] '<uM\v^k  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" S4{vS?>j  
!J X7y%J  
把它们统统删除后，重新启动计算机。 M"/Jn[  
再去删除interapi64.dll，OK! jX(${j<  
&NoA, `|7  
总结一下可以启动就加载的地方： WWZ<[[ >  
1、我们熟悉的Run/Winlogon之类的地方  (FaYagD  
2、IE的插件 bDJ!Fc/  
3、ShellExecuteHooks q1x[hv3 pP  
~9yKMUf  
tgi%#8ZDpz  
vR2);ywX  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 j%-Ems*H  
很多都可以