瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: srenglog5.log

参考解决方案（摘自原求助帖）

删除 d:\ctfmen.exe

其他的看不懂了

d:\program files\tencent\qq\wsock32.dll    这个漏了，没仔细看啊

学习学习。。。

d:\ctfmen.exe这个文件为什么加载的全是正常系统文件.

d:\ctfmen.exe


还有个驱动没签名，但停了，算了

<SiSPower><Rundll32.exe SiSPower.dll,ModeAgent>  [Silicon Integrated Systems Corporation]这个是什么

对答案

only  d:\ctfmen.exe

哎，wsock.dll没有细查，还以为是QQ调用的

看看答案~~

答案，必须的

老师辛苦了，:kaka1:

答案

答案

注册表：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
    <tzc02,0,tzchange.exe /F Pacific SA Standard Time /S 10 6 2 23 59 59 999 /E 3 6 2 23 59 59 999 /G><>  [N/A] 删除此项
就可以了
给力啊lqqk7哥

看看答案~

建议使用XDelBox删除以下文件
复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入,重启删除



2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[tzc02,0,tzchange.exe /F Pacific SA Standard Time /S 10 6 2 23 59 59 999 /E 3 6 2 23 59 59 999 /G]    <>



又错了，怎么上面那个启动项目没问题呢？
1、 文件名： ctfmen.exe

　　木马名称：Trojan/Win32.Agent.chgj

　　通常路径：D:\ctfmen.exe

　　产品名称：Microsoft(R) Windows(R) Operating System
2、d:\program files\tencent\qq\wsock32.dll
   

学习