发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 <)"iL4 kDI
---------------------------- Scf.4~H 0
rem delvi.bat 3!1&DII4
:loop x vHOY :
attrib -h -r -s exp1orer.exe ;\1b{-' l
del exp1orer.exe 5,Qy/t}K
attrib -h -r -s mshosts.exe p~ mN2x ]
del mshosts.exe :0{AP_tvcC
attrib -h -r -s c:\winnt\intrenat.exe 0;'j!`l9
del c:\winnt\intrenat.exe ))$ CEh"X
attrib -h -r -s interapi32.dll *?s/Ho &'
del inetapi32.dll *-+C<2"
attrib -h -r -s interapi64.dll j`Tm\!q
del inetapi64.dll #dL5x{gV=
attrib -h -r -s mfcd3o.dll r';Hxa '
del mfcd3o.dll I<IC-k"Y
goto loop |:{g?4Mi
---------------------------- hLCsQYNDU
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 9$8X> T^
$]xE$dzJ
搜索注册表，发现： ]U#JsMS
6_x}.bkIx=
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] 3{I=.mUUm
@="hookmir" ^"PfDTyA
:A,O(
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] T,A!5V>cX
@="C:\\WINNT\\system32\\interapi64.dll" 5R& x{jf$
"ThreadingModel"="Apartment" |)~Ex 9%ev
wbn^R'
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] 7cy+Nz
@="interapi64.classname" ;B,nzx(L
6oPUYn-
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 `4se7{'UK`
8Ix -i
[HKEY_CLASSES_ROOT\interapi64.classname] $b&BH'*'~
@="hookmir" `" i^'VL,
EolE?g@l8
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] uv?8V@x2
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" x;<oaT$X
------------------------
<|ka{=T
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 721{Ga4~S
v/QEu^C
\Explorer\ShellExecuteHooks] i/l!Cr2
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" Pm;x]Aj
-9hp+0 <
把它们统统删除后，重新启动计算机。 Zb 12:?
再去删除interapi64.dll，OK! eV@4VxaZ
oF X"F0rx
总结一下可以启动就加载的地方： m 4wPuW
1、我们熟悉的Run/Winlogon之类的地方 z7D*z8,i
2、IE的插件 OaX HJ^k
3、ShellExecuteHooks \ 65vfE~ O
ubiQ8Bx
[1t\|v
//ne ']L
