发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 `@|Kx\y4=j
---------------------------- N b@zn0A(;
rem delvi.bat %QrpFE5 V5
:loop au 5qbP
attrib -h -r -s exp1orer.exe ;p 'Ej'E
del exp1orer.exe xBi``x2eY
attrib -h -r -s mshosts.exe ]pP [0 S
del mshosts.exe yjxv D
attrib -h -r -s c:\winnt\intrenat.exe Gfn?1Kt{
del c:\winnt\intrenat.exe ?_7^MP>
attrib -h -r -s interapi32.dll z g Dc=
del inetapi32.dll seo.1.Da2
attrib -h -r -s interapi64.dll } ~`l!ApD
del inetapi64.dll Rc k k
attrib -h -r -s mfcd3o.dll )X-/0G=N-
del mfcd3o.dll :IlJQ{=W
goto loop 'VTLp.~G~
---------------------------- rfS kQT
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 73OYHp_j
(Cjw^P|Y@
搜索注册表，发现： uKocEWB=/F
H '(Ky
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] ;nB.f.e`
@="hookmir" 1Qz1 Ehz>
CERT`W%o
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] s>^$: wzu
@="C:\\WINNT\\system32\\interapi64.dll" !q_fcd^c
"ThreadingModel"="Apartment" 3A.T_mGCs
{y
k0Zef_
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] jh&WL
@="interapi64.classname" L
H`z '7&/
KnuQ 5\y
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 i'bUX=JK
KcQe1mT!+
[HKEY_CLASSES_ROOT\interapi64.classname] K-b'jP\
@="hookmir" -<tfbaA
N^{+1u7
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] ,HLgb}~
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" z(&~O;;N#
------------------------ I,xV&j+<
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 2E":6:Wsw
+Tw ]u`
\Explorer\ShellExecuteHooks] J< U,~ra\
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" !3'&_vmG$
@(m Xi K
把它们统统删除后，重新启动计算机。 `<:D.9vO "
再去删除interapi64.dll，OK! ZeyA bo
%VD>S
总结一下可以启动就加载的地方： w,QO!)j!
1、我们熟悉的Run/Winlogon之类的地方 0'9z XJ"
2、IE的插件 5E!G
3、ShellExecuteHooks >1n[Y- r
H(T Y.
L'?0*t
=icynW^Fr
