iexplore.exe病毒分析及清理方法

在日常使用电脑时，偶尔会在任务管理器里看到一个叫iexplore.exe的进程。这到底是个什么玩意儿？它到底是正常的系统程序还是病毒？如果不小心遇到了恶意版本，又该怎么处理？这篇文章就来把这件事彻底说清楚。

iexplore.exe是什么

iexplore.exe本质上是Microsoft Internet Explorer（IE浏览器）的主程序。当你在网上冲浪或访问本地Intranet网络时，它就会运行起来。需要说明的是，它并非纯粹的系统核心程序，但如果贸然终止它，可能会引发一些不可预料的问题。此外，它也是A vant网络浏览器（一款基于IE的免费浏览器）的组成部分。不过，这里有一个关键提醒：iexplore.exe同样可能是Trojan.KillA V.B病毒的伪装，这类病毒会试图终止你的反病毒软件以及某些Windows系统工具。因此，该进程的安全等级是——建议删除。

iexplore.exe病毒判断

说到这个东西，它可以说是病毒，也可以说不是——关键看它在哪。微软的浏览器程序就是IEXPLORE.EXE（注意大小写），正常情况下它被安装在C:\Program Files\Internet Explorer目录下。如果在这个路径下发现该文件，绝大多数情况不是病毒（当然，不排除文件已被感染的特殊情形）。但要是它在C:\WINDOWS\system32\下面，那十有八九就是恶意程序。

iexplore.exe进程——病毒

不少木马会伪装成系统进程，其中一种叫Trojan.PowerSpider.ac（又叫“密码结巴”），它的目标就是偷取用户的各种密码：游戏账号、局域网密码、QQ账号和密码、POP3邮箱密码、Win9x缓存密码以及拨号账号等等。这种木马覆盖的密码范围极广，对互联网用户的潜在威胁相当大。

iexplore.exe病毒现象

判断是否中招，可以通过两个典型现象来观察：

1. 系统进程中间出现了iexplore.exe在运行——注意，文件名是小写字母。

2. 搜索这个iexplore.exe文件，发现它并不在C盘的Program Files目录下，而是位于Windows32文件夹中。

iexplore病毒如何清理

针对iexplore.exe病毒，有几种不同的清理思路，下面逐一说明。

方法一：手动删除关键文件与注册表项

1. 进入C:\WINDOWS\system32目录，找到iexplore.exe和psinthk.dll，将其彻底删除。

2. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run，找到键值为"mssysint"=iexplore.exe的项，将其删除。

方法二：重装系统或利用WinPE修复

如果手动操作不放心，或者系统已经严重受损，可以考虑直接重装系统，或者进入WinPE环境进行修复。

方法三（推荐）：全面查杀与清理

这套流程相对比较彻底，适用于情况复杂的感染。

步骤1：打开任务管理器或资源管理器查看进程。注意，winrpcsrv.exe、winrpc.exe、wingate.exe、syshelp.exe、rpcsrv.exe、iexplore.exe、winVNC.exe等进程都可能是病毒（或由病毒生成的后门软件）。其他一切不常见的进程也值得怀疑。如果不能确定，可以找一台未被感染的服务器的进程列表来做对比。

步骤2：结束掉上述病毒（后门）进程。如果有些进程无法正常结束，可以使用附件中的pskill.exe工具（命令格式：pskill 进程名）。

步骤3：打开“服务”管理界面，筛选出那些没有“描述”的服务。重点查找是否存在“Browser Telnet”、“Event Thread”、“Windows Management Extension”等服务。如果找到，依次删除注册表中对应的键值，包括：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BRWWTELK]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\prom0n.exe]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management Extension]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Window Remote Service]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run(Run Services]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run(Run Services]

另外还有WinVNC相关的键值，请一并移除。

步骤4：删除注册表中这些键值：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dll_reg]

[HKEY_CLASSES_ROOT\Applications\winrpc.exe]

步骤5：修改[HKEY_CLASSES_ROOT\txtfile\shell\open\command]右侧的默认键值为"%SystemRoot%\system32\NOTEPAD.EXE %1"。完成这一步后，.txt文件可能无法正常双击打开，但可以通过右键选择“打开方式”并选用记事本来解决。

步骤6：进入系统system32目录，删除以下程序（注意大部分恶意程序的文件大小都是78,848字节）：

winrpcsrv.exe、winrpc.exe、wingate.exe、syshelp.exe、rpcsrv.exe、iexplore.exe、prom0n.exe（注意中间是数字0）、irftpd.exe、irftpd.dll、iexplore.exe、reg.dll、task.dll、ily.dll、Thdstat.exe、1.dll、winvnc.exe

步骤7：清空C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5目录下除了desktop.ini之外的所有文件。这个路径下经常隐藏着后门软件。

步骤8：关闭所有目录的“完全共享”——这是切断病毒通过网络感染其他设备的重要一步。

步骤9：重新启动计算机，观察是否还有类似的恶意进程出现。特别留意irftpd.exe，它可能由前面第三步提到的“服务”程序自动生成。

以上就是关于iexplore.exe是什么、如何判断以及清理方法的完整梳理。希望这篇文章能帮你彻底搞懂这个进程的真面目，并在遇到问题时知道该从哪里下手。