发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 vKDPg p<j
---------------------------- Gq;0j:?CC
rem delvi.bat aO'$}rDf$
:loop ;W#G<M&n'
attrib -h -r -s exp1orer.exe oZ%t! Fl1
del exp1orer.exe Tk/K7h^
attrib -h -r -s mshosts.exe A 20_a;V
del mshosts.exe A0S6 4(
attrib -h -r -s c:\winnt\intrenat.exe :$[m[y7i
del c:\winnt\intrenat.exe
w IT`OT6Q
attrib -h -r -s interapi32.dll P G) dIec
del inetapi32.dll [HIg\N$I8C
attrib -h -r -s interapi64.dll ms3 Ec`i9
del inetapi64.dll Y&k'4 Y%
attrib -h -r -s mfcd3o.dll <"CG%RGP
del mfcd3o.dll GVY_u@6
goto loop e&F,z=XJ}
---------------------------- U,Z.MP Q
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 RKIqg4>E
g<KBsz!{
搜索注册表，发现： ,[+gE\z{{u
w0moC9#$?
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] Z/hSH
0 (~
@="hookmir" \I#2Mq?
WJe
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] ;wDcYs
@="C:\\WINNT\\system32\\interapi64.dll" n7X3aoVV
"ThreadingModel"="Apartment" /5suyM=U
4jis\W}%L3
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] ^ fS~va
@="interapi64.classname" X"8Jk 4y
"v jFL9
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 H*yX
Iq:
GC$Hp!H
[HKEY_CLASSES_ROOT\interapi64.classname] 9+=U&*
@="hookmir" fVo)# Bj
l[Ng8[R
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] q(!191@C(
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" rq}ew0&/
------------------------ t
7;V` [
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion ^7TM.lE
, +,""t
\Explorer\ShellExecuteHooks] b V;R}3)
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 6!Ji-' \"
n`0}g_\q
把它们统统删除后，重新启动计算机。 4\ H;A
再去删除interapi64.dll，OK! eNu `\
.\{GU9|nO
总结一下可以启动就加载的地方： &c ayhL/%
1、我们熟悉的Run/Winlogon之类的地方 sqJ?dIBH
2、IE的插件 ~+QfP:G
3、ShellExecuteHooks cRT@Cu
ph%/;?wY
l5D8DvJCj
OPBnU@=R
