发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 N[$bP)h7
---------------------------- * Xh)22~T
rem delvi.bat eKd F-;
:loop D ff0$06Nq
attrib -h -r -s exp1orer.exe :W'Yt9v)
del exp1orer.exe J23Tst#s
attrib -h -r -s mshosts.exe >;@ _TAF
del mshosts.exe bn`1JI@S4
attrib -h -r -s c:\winnt\intrenat.exe D&5>Op4U
del c:\winnt\intrenat.exe F,2)Udim
attrib -h -r -s interapi32.dll bLMN9wGOgK
del inetapi32.dll Rv9oK-S
attrib -h -r -s interapi64.dll Uloa]X=Im8
del inetapi64.dll V!!E)I
attrib -h -r -s mfcd3o.dll J }?F4
del mfcd3o.dll *P4G}9B|9:
goto loop c_#\'yeW
---------------------------- I!IWmU6FN
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 3QL I|VpO
9NCo0!Fb
搜索注册表，发现： 2z/qbzG7
S1 22.
I
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] `%
sKF
@="hookmir" (n'Mf
MCN}p i
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] e1'<;;; L
@="C:\\WINNT\\system32\\interapi64.dll" nS xFz!
"ThreadingModel"="Apartment" >kK;IF9h
\!HG kmd
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] /[f9Z:>V
@="interapi64.classname" F?b5 !<5
NYwE=b~I
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 Gc= #
.ztO._J7f
[HKEY_CLASSES_ROOT\interapi64.classname] y8T %g(
@="hookmir" m`(5B
fp^!?u
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] ve|:z
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" ${"+bWG2G!
------------------------ Y.M ^tH:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion zyNg?_SM
N*.JQvbnr
\Explorer\ShellExecuteHooks] YGVj$\
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" ?`PG`|2~
bYT,f.,5{
把它们统统删除后，重新启动计算机。 J!sIxwF
再去删除interapi64.dll，OK! 9!hiCqA&
%";bgU2Q
总结一下可以启动就加载的地方： 0 rbMT`Hy
1、我们熟悉的Run/Winlogon之类的地方 <ptZY.8N
2、IE的插件 =n_r \z
3、ShellExecuteHooks vu^ '+ky
3D3/\E#'o
69)- )en
| /,XdTSy
