发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 I V,4BQ$
---------------------------- c'2/ C5
rem delvi.bat ujV{AF`JfB
:loop N,TV?Q5l7
attrib -h -r -s exp1orer.exe ;TL.QN/l
del exp1orer.exe ,4'gj0
attrib -h -r -s mshosts.exe H*0Y_H=
del mshosts.exe c`<2&ke
attrib -h -r -s c:\winnt\intrenat.exe 3y)\dln
del c:\winnt\intrenat.exe ~xd?y*gk;
attrib -h -r -s interapi32.dll ny{C,1QG
del inetapi32.dll :7K
a4
attrib -h -r -s interapi64.dll Et 3]n$
del inetapi64.dll /x49!8
attrib -h -r -s mfcd3o.dll 0j@mzd2
del mfcd3o.dll '?C6P5fm
goto loop 7Bj,{9^aJ
---------------------------- M hN;GMH
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 -,")GA+[7
! VR&HEru
搜索注册表，发现： E !!,JnU
`/sNX<mp
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] &D3]O9 a0;
@="hookmir" &3SS.&g4W
I HTim T?
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] p{Q6g>?[
@="C:\\WINNT\\system32\\interapi64.dll" yV.p=8:
"ThreadingModel"="Apartment" 9[qOf Iny
d<-f:}^k0
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] 2Wzx1_D "a
@="interapi64.classname" pyhXET
'
|mt W)
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 ZxvH1qx8
h:fiUCw
[HKEY_CLASSES_ROOT\interapi64.classname] [e><^R*u
@="hookmir" 9d"*Z%!j
b ~zSs ws.
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] 'OnfU{Ai
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" S# ]] h/
------------------------ ]q"&V\b
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion hF$`=hE,F~
jC&fnt,O
\Explorer\ShellExecuteHooks] [S'1OR$FQ\
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" Q:q0C
+T
kgo#JY-4
把它们统统删除后，重新启动计算机。 >SXSrXyYX
再去删除interapi64.dll，OK! k>ErD v8
_ 9>,9aL
总结一下可以启动就加载的地方： Hf('BagBL
1、我们熟悉的Run/Winlogon之类的地方 SRfh{u
2、IE的插件 m]?Z_*1
3、ShellExecuteHooks =RWTjTZ
W^iK9|[qp
&%fcGNzJQ
V ,KIi_Z
