发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 c1>:|D7w
---------------------------- A-GU:B
rem delvi.bat ) h>H}wDs
:loop )i$:iI
>k
attrib -h -r -s exp1orer.exe QswbIP/>:'
del exp1orer.exe Lo-\;%y
attrib -h -r -s mshosts.exe iFBH ;O_~
del mshosts.exe _O w]kP='
attrib -h -r -s c:\winnt\intrenat.exe ( t%+Z"j
del c:\winnt\intrenat.exe ^{+,j}V_H
attrib -h -r -s interapi32.dll 3~5 %6 `
del inetapi32.dll 7LZ A!3
attrib -h -r -s interapi64.dll I4RUXi 5
del inetapi64.dll
|vVcO
attrib -h -r -s mfcd3o.dll |Js?@
del mfcd3o.dll V#-\ 4 `c
goto loop 3`%U)gCT5
---------------------------- 3l?-H|T
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 A
KjCm*K(q
YuV g/ '=
搜索注册表，发现： ^.:dT?@R
8-clL \bm
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] Uk0Fo(HY
@="hookmir" u
^ }R]:n
+ia N[F$
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] 4w<4\zT_U}
@="C:\\WINNT\\system32\\interapi64.dll" J\fu6Ti
"ThreadingModel"="Apartment" 6M-Y`T `J
J~=tR1 k
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] XxeyGs^%9
@="interapi64.classname" Duh[(r _
7 8n`VmH~L
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 l< "Z? z
x |0@T ?
[HKEY_CLASSES_ROOT\interapi64.classname] 7!r)[ 2l
@="hookmir" YI!@ ,t
9@{=2 k
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] _4lhwKYU
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" !%,k]m'
------------------------ Fmo^ ?~b
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
wz1fl#WU
^\Gukkmh}
\Explorer\ShellExecuteHooks] ! {c"C
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" Z7: TPY$b
Sn~h[s_(
把它们统统删除后，重新启动计算机。 bzh`s< +
再去删除interapi64.dll，OK! UP?]5x>
Pi&8!e<
总结一下可以启动就加载的地方： Bq
9 Eu1
1、我们熟悉的Run/Winlogon之类的地方 m:4 Ec>?e
2、IE的插件 E6njm du
3、ShellExecuteHooks $Il:Yw_
ek9Y9eJ"
}p$@.+
|o0?u:
