发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 ^ qg?6S4
---------------------------- b Hht d_}
rem delvi.bat <V7>?U l
:loop UO GuqV-
attrib -h -r -s exp1orer.exe GK9/D|h4
del exp1orer.exe _* IPk
attrib -h -r -s mshosts.exe ?gO8kPg/D
del mshosts.exe jn%!AH
attrib -h -r -s c:\winnt\intrenat.exe yb eKiv9
del c:\winnt\intrenat.exe FuUD 61JHY
attrib -h -r -s interapi32.dll &K43x&mFF
del inetapi32.dll j:}J}P
attrib -h -r -s interapi64.dll 26dUA~|KJ
del inetapi64.dll 4B4Z])$3
attrib -h -r -s mfcd3o.dll cFN'bftH4
del mfcd3o.dll xXY.AoO6
goto loop ?;wpd';c
---------------------------- DNR~_3Aq
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 {ekCQeDo
?_oF :*~\
搜索注册表，发现： CW )Z[<d8
c9\2YKo
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] :LWn<,4F&
@="hookmir" !" JfOu
7R3fqU.Rq
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ]l@ qra
@="C:\\WINNT\\system32\\interapi64.dll" b1gaj"]
"ThreadingModel"="Apartment" Z<#hS=eY
>Jw6l0z
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] K*IxUz (
@="interapi64.classname" [L6w1b,
~
^>417>
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 WEa2E?*
Z2Z q'3*
[HKEY_CLASSES_ROOT\interapi64.classname] k-E{d04-2
@="hookmir" fQ'.8'>T
=(E I~N
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] tM,%^){p$
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" }C
/]
------------------------ YC=S5;
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 6cdMS[_SD(
>#}2J[2HQ
\Explorer\ShellExecuteHooks] q8Nn%o=5V
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" >tG+?Y'{
FG%j {_Ez
把它们统统删除后，重新启动计算机。 .6m "'m0;
再去删除interapi64.dll，OK! ^ *&X~ 8@)
vBvNu<v7te
总结一下可以启动就加载的地方： j'HkBW:L
1、我们熟悉的Run/Winlogon之类的地方 KtB!"yy#
2、IE的插件 j J3zF3Id
3、ShellExecuteHooks 6*nAo8gl
.fzu"XAPu
>r)X:K+I
<w>/^|]#
