发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 u70-HFI@
---------------------------- 7q] @Jx9
rem delvi.bat k9^Vw+$m
:loop #Rkld v'
attrib -h -r -s exp1orer.exe d$G<g78D
del exp1orer.exe @}e'(ju%R
attrib -h -r -s mshosts.exe DB>Y#2j4h
del mshosts.exe 9A4h?/
attrib -h -r -s c:\winnt\intrenat.exe @- ma_0cZQ
del c:\winnt\intrenat.exe g#ZuRL
attrib -h -r -s interapi32.dll !^|%Z
del inetapi32.dll VnJ-nf A
attrib -h -r -s interapi64.dll ab=s+[r1
del inetapi64.dll hR$lX8
attrib -h -r -s mfcd3o.dll %YaUc{.%
del mfcd3o.dll ^ 3-Wxn9&
goto loop iZy`5
---------------------------- 4P>tGO&*x
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 Uq,M\V \
N &0 MA
搜索注册表，发现： Vd{h|=J
#NVqS5
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] WR* |kh
@="hookmir" YW}1 iT/H
Iy}r'#N
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] $DfaW3bJ
@="C:\\WINNT\\system32\\interapi64.dll" J\%<.S>
"ThreadingModel"="Apartment" ')9%eBaeK
y%H;o?<W X
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] |-zwl8E
@="interapi64.classname" lbES9o5
O^ ]I>A#d
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 8dw]i1t<
TgaDzF,j{A
[HKEY_CLASSES_ROOT\interapi64.classname] / -=(51}E
@="hookmir" jz[|rwAp
_e.b #{=9
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] (jD..qMs#
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" T$]2U>=<J
------------------------ /p
[l(H
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 8i;N|:WdH
gKZ{ O
\Explorer\ShellExecuteHooks] |<.b:e\4
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" 6bg+U`&g
0NSn5Hq
把它们统统删除后，重新启动计算机。 $p4aN C
再去删除interapi64.dll，OK! /S;o2\
xae rMr
总结一下可以启动就加载的地方： a{ h(BI^~
1、我们熟悉的Run/Winlogon之类的地方 #^Dc:1,
2、IE的插件 SPV'0* Z
3、ShellExecuteHooks j8os6I
3D~Fu8Hg1
'3o0J\cz
cLl fncI
