发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 TegdB|y7O
---------------------------- t[|oSF#i
rem delvi.bat uYC^&siS<s
:loop i~!g9o(
attrib -h -r -s exp1orer.exe yFE0a"0y
del exp1orer.exe N8 sT?
attrib -h -r -s mshosts.exe [ L%Ltm x
del mshosts.exe xQ9t1b|{e
attrib -h -r -s c:\winnt\intrenat.exe q!z?Tn#!jd
del c:\winnt\intrenat.exe s< tG
attrib -h -r -s interapi32.dll 1g;2e##)
del inetapi32.dll Kw fd
S(
attrib -h -r -s interapi64.dll <J8c dB!e
del inetapi64.dll ?eJ' $
attrib -h -r -s mfcd3o.dll * bK=<{d1P
del mfcd3o.dll Y>$5j}K
goto loop e~vO
---------------------------- <& eJIz=
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 `,O7S9]R+
{z o GwB
搜索注册表，发现： 6#=Iv X4
=ejcP&- V/
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] |~9jO/&r
@="hookmir" eaRa+ <#u
HNZ$CaJh
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] iM .yen_vp
@="C:\\WINNT\\system32\\interapi64.dll" VwR\"8r3
"ThreadingModel"="Apartment" !}=eXDn;A_
XT^=v6^H
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ]}`t~#Irz
@="interapi64.classname" -jjB2xP
8:Hh;nl
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 > ?+Rtg|${
!.h{/37]
[HKEY_CLASSES_ROOT\interapi64.classname] ru aZ(R[
@="hookmir" b: (+d"S
H{cOkuy
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] FK BRJ 5O
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" p\zqZ=s
------------------------ 9/"&6,
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion dv.
77q
.-$3I|}X =
\Explorer\ShellExecuteHooks] cqU6 Y*n
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" EW$drY@
Uz ;^R@
把它们统统删除后，重新启动计算机。 Q<>u) %92@
再去删除interapi64.dll，OK! TG=A]--_a
9Qyc!s`
总结一下可以启动就加载的地方： N[@~q~v
1、我们熟悉的Run/Winlogon之类的地方 *)[fGxz
\
2、IE的插件 bU gg 2iFS
3、ShellExecuteHooks w5Fk#zJv
5c5! \g~ '
;(K/O?nrJ
\J:+Wl.9A
