[安全]exp1orer.exe木马解除方法

发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ;i&t|5y~  
---------------------------- l!%V&HJV  
rem delvi.bat 6jz~q~I  
:loop &a";jO GB  
attrib -h -r -s exp1orer.exe `5Em: 8 M  
del exp1orer.exe ]!cLFXa  
attrib -h -r -s mshosts.exe 8%^W<.Y  
del mshosts.exe r&nEM6  
attrib -h -r -s c:\winnt\intrenat.exe 6o]>lQ}  
del c:\winnt\intrenat.exe \`8?=_ST  
attrib -h -r -s interapi32.dll iG=XRctgj)  
del inetapi32.dll KwhATYWQb  
attrib -h -r -s interapi64.dll 3y*dBw  
del inetapi64.dll USbFUHdDc  
attrib -h -r -s mfcd3o.dll [k7 ;^A5/  
del mfcd3o.dll r[AqA  
goto loop &dJ\}O[r  
---------------------------- l1]'3]P(  
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 n;~6'fxe  
~{[,0,lWU  
搜索注册表，发现： :bz;_DZP  

BzI(  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] Klqte*!  
@="hookmir" wK  Je^7  
[)nU?l  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] 64f6D"."
 
@="C:\\WINNT\\system32\\interapi64.dll" rqhRrG{L|&  
"ThreadingModel"="Apartment" P^'}3*8S  
!6`&0eY  
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] H;RgYu2J  
@="interapi64.classname" I.)9:7  
{AAi x  
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 _"- ,ia[D  
D~@lpcI  
[HKEY_CLASSES_ROOT\interapi64.classname] !-q)9K?  
@="hookmir" q8R
ep  

fnudy%oo  
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] S?#'Y*h  
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" tMr$N[@r  
------------------------ 2G}@s.iE  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ?,
FL"ye  
}Z% j=c"d  
\Explorer\ShellExecuteHooks] wW0m}L  
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" >TS=tK  
TV(%e4U=  
把它们统统删除后，重新启动计算机。 <"!'>ZUt  
再去删除interapi64.dll，OK! P;p;o]  
sW!MVv  
总结一下可以启动就加载的地方： $>=w<=r|;  
1、我们熟悉的Run/Winlogon之类的地方 zWf(zxGAz  
2、IE的插件 9v76A~~  
3、ShellExecuteHooks mH!\]fmR~  
)|<g\>/  
10$:^  
@wa<nYd  

可以在windows和system目录下建立一个空文件夹 取名 exp1orer.exe 属性只读和隐藏 就可以免疫了 "nC=.5/$  
很多都可以