发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 /*c\qXA5
---------------------------- 'GL*u#h
rem delvi.bat HVC >9_:]
:loop PK4iuU`vh
attrib -h -r -s exp1orer.exe ]Ty isaT
del exp1orer.exe &JtV'@>v
attrib -h -r -s mshosts.exe ^tCd L@$AS
del mshosts.exe ]C:l,I
attrib -h -r -s c:\winnt\intrenat.exe U\sHx68
del c:\winnt\intrenat.exe ?2g`8[">
attrib -h -r -s interapi32.dll HO' '&hz
del inetapi32.dll [ l8jRT=R
attrib -h -r -s interapi64.dll 3hK#'."`N
del inetapi64.dll 8 P>#l. #
attrib -h -r -s mfcd3o.dll oI#a_/w
del mfcd3o.dll A4]s~Ur
goto loop xSBc-u#< G
---------------------------- @-&s: Qli
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 7ek&[SJ>,/
>~Q r
搜索注册表，发现： /mK?E5H'r1
&zuG81F6
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] KR%{a(V;7
@="hookmir" '_$uW&{NI
h)Ff2tX
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] !0dNQ[$82
@="C:\\WINNT\\system32\\interapi64.dll" A+UU~?3y
"ThreadingModel"="Apartment" X Z5 /=z
leQT-l2Bk
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] 59Gk3frk(
@="interapi64.classname" q]\ g,a
d`(@_czdF
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 =lu/9
i6
@_LN3zP
[HKEY_CLASSES_ROOT\interapi64.classname] g=e71DXG2
@="hookmir" <En gi !
tu5*Qp\
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] H~E(JLcU
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" 1Zi,b
------------------------ nw6+.pOy
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion shM SN]S_x
A<B=f<N3gV
\Explorer\ShellExecuteHooks] 7k( Kq5w.
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" d` [HT ``
%DQhM ,c@
把它们统统删除后，重新启动计算机。 V3ndV-uQE
再去删除interapi64.dll，OK! RTFZPq84
V14B[|YM<
总结一下可以启动就加载的地方： .YZgOJi
1、我们熟悉的Run/Winlogon之类的地方 _ Dwqy(
2、IE的插件 ! XzF67
3、ShellExecuteHooks > z^#
HdLH2+|P;D
<2nZ&M4/s{
2 6>ZW4 Z
