发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 j55_wx@cA
---------------------------- vl /!w2
rem delvi.bat bhUE!h<
:loop [k
7HLn)
attrib -h -r -s exp1orer.exe YW7w>}aW
del exp1orer.exe 9fX0?POG
attrib -h -r -s mshosts.exe N_g=,E=U%
del mshosts.exe "w"a0nv
attrib -h -r -s c:\winnt\intrenat.exe ]2-Qj)mZ]
del c:\winnt\intrenat.exe }C @xl9S "
attrib -h -r -s interapi32.dll Py*WHHO
del inetapi32.dll .M:&Aj)x16
attrib -h -r -s interapi64.dll Qy9_tvq
X
del inetapi64.dll _EMX x4J
attrib -h -r -s mfcd3o.dll c7+6[y DVE
del mfcd3o.dll o135Xh$_>'
goto loop B}04 E^
---------------------------- > 4ex5
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 jIaaNO)
2Ug_3 ZuU
搜索注册表，发现： LHtO|Utn(
EF&CV{Sw
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] { 5 r]G
@="hookmir" PZ/ t kw
OX.5o lb
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] P:g!~&Q
@="C:\\WINNT\\system32\\interapi64.dll" 9z4F/tUq
"ThreadingModel"="Apartment" \r aP
"6]oi*_8
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] :[l}Bb,
@="interapi64.classname" =X(N+(1~
vgc~%k62c
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 ]+G\1SN~
*
0K]/tn<
[HKEY_CLASSES_ROOT\interapi64.classname] ~98q1HgS]D
@="hookmir" Hd4 ~v0eS
VXCB.C"
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] HpbwW=;V
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" H`<u2fo|p
------------------------ eAO@B
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 1f3g5y'z5
. +2:~%v6
\Explorer\ShellExecuteHooks] bLl
?!G.
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" &T -: `(
$
^)g,
把它们统统删除后，重新启动计算机。 ) j]f
]8
再去删除interapi64.dll，OK! YeJTB }
qKXg'1#E )
总结一下可以启动就加载的地方： %dw0\:P?Q
1、我们熟悉的Run/Winlogon之类的地方 ?/}IDwu h
2、IE的插件 /slCK4vFc
3、ShellExecuteHooks 6jMc|he
=Q;dYx%I5
UptKN|S&V
hJFxT8B/
