然后用SSM检测可知：这个cc.exe将自身复制到C:\WINDOWS目录下，并且又注册了一个服务。启动傀儡IE，利用SetWindowsHookEx注入DLL实现全局钩子。
木马感染完毕，用KsProcessMon扫描一下，得出日志：
（这仅仅是一部分，完整的请看附件）
KsProcessMonitor Scanner V 1.00
Made By Lightning(kxsystem@163.com)
//---------------------------------------------------------------------//
进程
PID:0 [System Idle Process] NT OS KERNEL
PID:4 [System] NT OS KERNEL
PID:372 \SystemRoot\System32\smss.exe
PID:540 C:\WINDOWS\system32\csrss.exe
PID:576 C:\WINDOWS\system32\winlogon.exe
PID:684 C:\WINDOWS\system32\services.exe
PID:696 C:\WINDOWS\system32\lsass.exe
PID:856 C:\WINDOWS\system32\svchost.exe
PID:936 C:\WINDOWS\system32\svchost.exe
PID:1052 C:\WINDOWS\System32\svchost.exe
PID:1220 C:\WINDOWS\system32\svchost.exe
PID:1308 C:\Program Files\System Safety Monitor\SysSafe.exe
PID:1420 C:\WINDOWS\system32\svchost.exe
PID:1432 C:\WINDOWS\Explorer.EXE
PID:1644 C:\WINDOWS\system32\spoolsv.exe
PID:1756 C:\Program Files\VMware\VMware Tools\VMwareTray.exe
PID:1764 C:\Program Files\VMware\VMware Tools\VMwareUser.exe
PID:1772 C:\WINDOWS\system32\ctfmon.exe
PID:244 C:\WINDOWS\system32\wdfmgr.exe
PID:344 C:\Program Files\VMware\VMware Tools\VMwareService.exe
PID:1600 C:\WINDOWS\system32\wscntfy.exe
PID:1136 C:\WINDOWS\system32\wuauclt.exe
PID:1092 C:\Documents and Settings\Lightning\桌面\ProcessMon.exe
PID:1340 C:\WINDOWS\system32\conime.exe
PID:2004 C:\Documents and Settings\Lightning\桌面\autoruns.exe
PID:468 C:\Documents and Settings\Lightning\桌面\IceSword.exe
PID:512 C:\Program Files\Internet Explorer\IEXPLORE.EXEBrowser Helper
Objects
系统服务与驱动
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
Browser %SystemRoot%\system32\svchost.exe -k netsvcs
cc C:\WINDOWS\cc.exe SVKP \??\C:\WINDOWS\system32\SVKP.sys//---------------------------------------------------------------------//
[font_color=#0]
我以红色标示出了木马项。
因为KsProcessMon尚在测试时期，没有标出木马的DLL（想想在哪里检测比较好再添加。）。
完整日志见附件：
附件:
422471200791200802.txt