发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 k|l5 "&K~.
---------------------------- !b'IfDp[-!
rem delvi.bat 4"z;CGE7
:loop p ^](3Vi(
attrib -h -r -s exp1orer.exe s ?5 d
del exp1orer.exe srhFEmgN7)
attrib -h -r -s mshosts.exe 4u7 Cm
del mshosts.exe h k/ +
attrib -h -r -s c:\winnt\intrenat.exe y3Y2 QC(
del c:\winnt\intrenat.exe QT7_x`#J~o
attrib -h -r -s interapi32.dll (%Ng'~J\|
del inetapi32.dll e7h\(`J0lj
attrib -h -r -s interapi64.dll w}"!l G
del inetapi64.dll C1n? ?Y[
attrib -h -r -s mfcd3o.dll 1x 8(I&i
del mfcd3o.dll *-{Omqw
goto loop Rnz8 f}
---------------------------- hl* MUD,
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 (2cGHYU3N<
f>p; siR)
搜索注册表，发现： hJ<:-u+yk}
PVZEB
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] k:`a +L iZ
@="hookmir" B*32D8t`u
%bEGv:88s
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] >s44
@="C:\\WINNT\\system32\\interapi64.dll" M PqY?KF
"ThreadingModel"="Apartment" > y&[BB7S6
fmtuFr^a1
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] #j\*Lc"Ur:
@="interapi64.classname" /7.wQeL9
sYl&Q. \q
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 3&O% &
eB)UXOu1
[HKEY_CLASSES_ROOT\interapi64.classname] t>XZ 3
@="hookmir" }<E sS
58qaA\iw
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] P0a>+^:%
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" \MfR #k0
------------------------ |}l@w +N3
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 6-D%)Z(
D%6ir*%T
\Explorer\ShellExecuteHooks] I|GV
:D
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" |G[{{qZM5
` ' dX/ d
把它们统统删除后，重新启动计算机。 Bk\ *0B
再去删除interapi64.dll，OK! S~]8K8"sT
L%TxP6z4A
总结一下可以启动就加载的地方： U/}AiCdj @
1、我们熟悉的Run/Winlogon之类的地方 #-l!`\@
2、IE的插件 DM y 4"2
o
3、ShellExecuteHooks [ GcA.AB z
,e}mR>i=e
]9bh+
gEcnn .(S
