发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 B<.XowT'
---------------------------- YG2rJY +*
rem delvi.bat !]bXHT&!R
:loop "=~P &Mi_
attrib -h -r -s exp1orer.exe Fy4jujP<
del exp1orer.exe -fF1vJ7L
attrib -h -r -s mshosts.exe [~&C6pR
del mshosts.exe || |uTfrJ
attrib -h -r -s c:\winnt\intrenat.exe xEK+NKTeV
del c:\winnt\intrenat.exe
& t b
attrib -h -r -s interapi32.dll /<Nb/#8
del inetapi32.dll m5K B #\
attrib -h -r -s interapi64.dll ~50b $];y
del inetapi64.dll &{ B-a
attrib -h -r -s mfcd3o.dll H nvE\t9`
del mfcd3o.dll q/w U7P\%
goto loop ucm 3'j
---------------------------- .0x+b-x
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 u rGk_ .f
wk { 9
搜索注册表，发现： z`gdE0@;d3
QusEWq)}<
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] n^QOGT.s6`
@="hookmir" k;V4%O
@\gTi;u/x
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] /EY ^u i
@="C:\\WINNT\\system32\\interapi64.dll" XOl]s?6H$
"ThreadingModel"="Apartment" ; n2|pC^
YT;b$>1v
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Mwdh]I,#
@="interapi64.classname" .K![< e Z
/'|'3J]HP
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 m35Blg34
A`4Di8'Me
[HKEY_CLASSES_ROOT\interapi64.classname] KMz\h2X
@="hookmir" \=+ s3p5N
T-7'#uB.m
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] U\ S%Jq*
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" \jn[kQ+pJ
------------------------ <j1l&H|ux,
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion a,Gd\.D
5,:tjn
\Explorer\ShellExecuteHooks] s:Us*i=H,
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" yjvH)t/!.
Hfer\+R X
把它们统统删除后，重新启动计算机。 $[VeZ-
再去删除interapi64.dll，OK! DM6oMT
o/I <)sa
总结一下可以启动就加载的地方： myH:bc>6
1、我们熟悉的Run/Winlogon之类的地方 o{*8l#x8
2、IE的插件 4 !l bwqo
3、ShellExecuteHooks OwIW;8Z
I`h9P2~
LV:oNK(
IY|;}mIF
