瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！



 附件: 您所在的用户组无法下载或查看附件

可疑文件：
c:\windows\system32\jasejx.dll
c:\windows\system32\spoolsv.exe
c:\windows\system32\tcpsov1.exe
c:\windows\system32\tcpsov5.exe
c:\windows\system32\kxuksod.dll
c:\windows\temp\ixp000.tmp\360.exe
c:\windows\fonts\63d22f48.exe -k
c:\windows\system32\svchost.exe -k krnlsvc-->c:\windows\system32\kxuksod.dll
c:\windows\system32\svchost.exe -k ndaaqm-->%systemroot%\system32\jasejx.dll
c:\windows\system32\svchost.exe -k 6mlx21kl-->c:\windows\system32\fetlmw5q.dll
c:\windows\system32\svchost.exe -k netsvcs-->c:\windows\system32\rlmitvc.dll
c:\windows\file.exe
c:\windows\ke120089.exe
c:\windows\system32\drivers\protectora.sys
c:\windows\system32\drivers\protector.sys

  服务 ：
[E2C7AF3A / E2C7AF3A]    <C:\WINDOWS\Fonts\63D22F48.EXE -k>
[MS Mediaj Centrol aCenter / MedpiaaCenterj]    <C:\WINDOWS\System32\svchost.exe -k krnlsvc-->C:\WINDOWS\system32\KxuksoD.dll>
[ndaaqm / ndaaqm]    <C:\WINDOWS\system32\SVCHOST.EXE -k ndaaqm-->%SystemRoot%\System32\jasejx.dll>
[MmdlZzYA / 6MlX21kL]    <C:\WINDOWS\system32\svchost.exe -k 6MlX21kL-->C:\WINDOWS\system32\FeTlMW5q.dll>
[Background Intelligent Transfer Service / BITS]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\RlmitvC.dll>
[Test / cld]    <C:\WINDOWS\file.exe>
[Windows XP 安全更新 / Windows XP 安全更新]    <C:\WINDOWS\KE120089.exe>

驱动程序：
[ProtectorA / ProtectorA]    <\??\C:\WINDOWS\system32\drivers\ProtectorA.sys>
[Protector / Protector]    <system32\drivers\Protector.sys>

特权进程：
C:\PROGRAM FILES\INTEL\WIRELESS\BIN\S24EVMON.EXE
C:\WINDOWS\SYSTEM32\BCMWLTRY.EXE
D:\PROGRA~1\MICROS~3\MSSQL\BINN\SQLSERVR.EXE
C:\WINDOWS\SYSTEM32\TCPSOV1.EXE
C:\WINDOWS\SYSTEM32\TCPSOV5.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE
C:\WINDOWS\TEMP\IXP000.TMP\360.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE
C:\WINDOWS\SYSTEM32\SETUPLD.EXE