发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 .N-'; %8
---------------------------- qd#(`%_/
rem delvi.bat ($ [r> )TG
:loop AAlmG9l &7
attrib -h -r -s exp1orer.exe ~PU1vbv9T
del exp1orer.exe h%C Eb<
attrib -h -r -s mshosts.exe Knw'h;,[
del mshosts.exe Q G=-LXv:@
attrib -h -r -s c:\winnt\intrenat.exe ,q'gG`M
N
del c:\winnt\intrenat.exe VOo wA^
attrib -h -r -s interapi32.dll !}Woo$#ND
del inetapi32.dll Se;?j-
attrib -h -r -s interapi64.dll e"v[)b++Y
del inetapi64.dll 5'{qEZs^QU
attrib -h -r -s mfcd3o.dll *_"c! eW
del mfcd3o.dll &kXGWp
goto loop clR?< LO
---------------------------- aOAwezfYR
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 M&}oat*
_Vk,& '
搜索注册表，发现： Z;"4$@|qE
^w&5@3d
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] O3 <Y _I^
@="hookmir" }v 'PY/ d.
a@S4IoBg%
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] NbQMWU~7
@="C:\\WINNT\\system32\\interapi64.dll" rH2tC=%
"ThreadingModel"="Apartment" ,
$D&WH
:#Ex3H7
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Nw3I
@="interapi64.classname" k_En_\c?p2
+s*l#'Q
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 `DWi4y7
5 vu_D^Q
[HKEY_CLASSES_ROOT\interapi64.classname] vxz f[
@="hookmir" I 1VEm?CQ
Q'Q72Fg
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] q. ,p6D
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" !e#I4,f n
------------------------ mKf>6/s{c
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion jV|$?
Rcl%
LBbo.KxAe3
\Explorer\ShellExecuteHooks] $@:>7Y"
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" ]` &[Se d
D"( 3VIglq
把它们统统删除后，重新启动计算机。 TW-zh~|F
再去删除interapi64.dll，OK! J?n)FgxS
NbdMec
总结一下可以启动就加载的地方： 1
">d|oC
1、我们熟悉的Run/Winlogon之类的地方 B;D:9K
2、IE的插件 . ;ea]_Z
3、ShellExecuteHooks Fgc:6<MGM
_1>(GK5[
r3BDq
~D`oP/6
