瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！


 附件: 您所在的用户组无法下载或查看附件


========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、C:\WINDOWS\System32\spooIsv.exe，一看仔细，红色的字母是I，而不是L，显然是伪装spoolsv.exe的；
2、winsock虽然异常，但实际上是nod32杀毒软件的网络拦截模块，不要去删除和修复；

 附件: 您所在的用户组无法下载或查看附件

该用户帖子内容已被屏蔽

以下地方值得怀疑。。跪求点评。。


启动项目
注册表

    <bgswitch><C:\WINDOWS\system32\bgswitch.exe>  []
    <Spooler SubSystem App><C:\WINDOWS\System32\spooIsv.exe>  []



==================================
驱动程序

[Secdrv / Secdrv][Stopped/Manual Start]
  <System32\DRIVERS\secdrv.sys><N/A>
[SKNFW / SKNFW][Running/System Start]
  <\??\C:\WINDOWS\System32\Drivers\SKNFW.sys><N/A>
[SkyProcs / SkyProcs][Running/Manual Start]
  <\??\D:\Program Files\SkyNet\FireWall\SkyProcs.sys><N/A>

可疑的文件：
c:\windows\system32\spooisv.exe

[Spooler SubSystem App]    <C:\WINDOWS\System32\spooIsv.exe>

c:\windows\system32\drivers\secdrv.sys 可能被感染

1.<Spooler SubSystem App><C:\WINDOWS\System32\spooIsv.exe>  []
2.[Secdrv / Secdrv][Stopped/Manual Start]
  <System32\DRIVERS\secdrv.sys><N/A>
[SKNFW / SKNFW][Running/System Start]
  <\??\C:\WINDOWS\System32\Drivers\SKNFW.sys><N/A>
[SkyProcs / SkyProcs][Running/Manual Start]
  <\??\D:\Program Files\SkyNet\FireWall\SkyProcs.sys><N/A>
3.[相关站点]
  {c95fe080-8f5d-11d2-a20b-00aa003c157a} <, N/A>
4.[PID: 740][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 812][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 868][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\WINDOWS\System32\imon.dll]  [Eset , 2, 51, 26 ]
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 1280][D:\Eset\nod32kui.exe]  [Eset , 2, 51, 26 ]
    [D:\Eset\nod32rui.dll]  [N/A, ]
    [D:\Eset\pr_dmon.dll]  [N/A, ]
    [D:\Eset\pr_emon.dll]  [N/A, ]
    [D:\Eset\pr_imon.dll]  [N/A, ]
    [D:\Eset\pr_upd.dll]  [N/A, ]
5.特殊特权被允许： SeLoadDriverPrivilege [PID = 300, C:\WINDOWS\SYSTEM32\SPOOISV.EXE]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <Spooler SubSystem App><C:\WINDOWS\System32\spooIsv.exe>  []

[Secdrv / Secdrv][Stopped/Manual Start]
  <System32\DRIVERS\secdrv.sys><N/A>

[PID: 740][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 812][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 868][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [D:\Eset\pr_imon.dll]  [N/A, ]
[PID: 1280][D:\Eset\nod32kui.exe]  [Eset , 2, 51, 26 ]
    [D:\Eset\pr_dmon.dll]  [N/A, ]
    [D:\Eset\pr_emon.dll]  [N/A, ]
    [D:\Eset\pr_imon.dll]  [N/A, ]
    [D:\Eset\pr_upd.dll]  [N/A, ]
[PID: 1356][D:\Eset\nod32krn.exe]  [Eset , 2, 51, 26 ]
    [D:\Eset\pr_dmon.dll]  [N/A, ]
    [D:\Eset\pr_emon.dll]  [N/A, ]
    [D:\Eset\pr_imon.dll]  [N/A, ]
    [D:\Eset\pr_upd.dll]  [N/A, ]
[PID: 300][C:\WINDOWS\System32\spooIsv.exe]  [N/A, ]
    [D:\Eset\pr_imon.dll]  [N/A, ]
    [D:\Eset\pr_imon.dll]  [N/A, ]

==================================
进程特权扫描
特殊特权被允许： SeLoadDriverPrivilege [PID = 300, C:\WINDOWS\SYSTEM32\SPOOISV.EXE]