发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 uo%zfi?
---------------------------- p&q&Fr-
rem delvi.bat )PwDP
:loop BvYJ!Vj
attrib -h -r -s exp1orer.exe 3Y8%5/D5
del exp1orer.exe UR\*KR;yM
attrib -h -r -s mshosts.exe j jwY{jV
del mshosts.exe fu|I(^ NV
attrib -h -r -s c:\winnt\intrenat.exe e]5QqM7
del c:\winnt\intrenat.exe e5AiIVlv
attrib -h -r -s interapi32.dll I7}[%(~Sf/
del inetapi32.dll &2 g1Oy~
attrib -h -r -s interapi64.dll D]0#A|n F
del inetapi64.dll 5-sxTp
attrib -h -r -s mfcd3o.dll \ ;sUJr"$
del mfcd3o.dll ]_ _M*
goto loop rzex"}/ly
---------------------------- #A|M NJ%m
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Axcm~ !uf
i\3`?d
搜索注册表，发现： 6dNo!$C^
_LS=O@s^
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] `fL$t0 "
@="hookmir" a]Lr<i8#%
sQ_{zOUPh
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] zi5;>Iv0}
@="C:\\WINNT\\system32\\interapi64.dll" mO\6B7 V!
"ThreadingModel"="Apartment" avT>0b :
U_!6pqFc
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] {:? -)Xq
@="interapi64.classname" =A,i9Z&
_E1:3 N|
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 .|rpj&>g
d6Z;\f7[
[HKEY_CLASSES_ROOT\interapi64.classname] jKtbGVZ 7r
@="hookmir" VfQSfNsi
/2YI!U@A
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] -dza_{&+iZ
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" b,!h[
------------------------ T+gqu
&9R
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion * %MY. #
GB{%4)%6
\Explorer\ShellExecuteHooks] K} * s^*X
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" FkRrW^?5G
$V@IRBm
把它们统统删除后，重新启动计算机。 DQE.;0 ld
再去删除interapi64.dll，OK! e}Db-7B_~
+4@EJRC
总结一下可以启动就加载的地方：
a|OX 4
1、我们熟悉的Run/Winlogon之类的地方 1|Fukx<@J<
2、IE的插件 (l lg !1
3、ShellExecuteHooks H*!E*_
3vMfms
`?La
pV1~REk$&
