瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: SREngLOG1.log

以下为参考处理方案（摘自原帖）

lx辛苦了.学习研究中.

学习一下

1.建议使用XDelBox删除以下文件：(XDelBox1.3下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\clhbbltu.dll
c:\windows\system32\12496e12.dll
c:\windows\system32\7d76c16b.dll
c:\windows\system32\bf50f3f9.dll
c:\windows\system32\d640cc5a.dll
c:\windows\system32\895a5fb1.dll
c:\windows\system32\cf02013c.dll
c:\windows\system32\035224a5.dll
hbkdxy.dll,hbwulin2.dll,hbjxsj.dll,hbxmj.dll,hbshq.dll,hbw2i.dll,035224a5.dll,cf02013c.dll,895a5fb1.dll,d640cc5a.dll,bf50f3f9.dll,7d76c16b.dll,12496e12.dll,hbchibi.dll,hbqqxx.dll,hbqqffo.dll squalne.dll,hbqqsg.dll,hbmhly.dll meyotme.dll
c:\windows\system32\svchost.exe -k netsvcs-->c:\windows\system32\servergmh.dll
c:\windows\system32\c6424110.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[clhbbltu.dll]    <C:\WINDOWS\system32\clhbbltu.dll>
[12496E12]    <C:\WINDOWS\system32\12496E12.dll>
[7D76C16B]    <C:\WINDOWS\system32\7D76C16B.dll>
[BF50F3F9]    <C:\WINDOWS\system32\BF50F3F9.dll>
[D640CC5A]    <C:\WINDOWS\system32\D640CC5A.dll>
[895A5FB1]    <C:\WINDOWS\system32\895A5FB1.dll>
[CF02013C]    <C:\WINDOWS\system32\CF02013C.dll>
[035224A5]    <C:\WINDOWS\system32\035224A5.dll>
注意该项[AppInit_DLLs]修改：把<HBKDXY.dll,HBWULIN2.dll,HBJXSJ.dll,HBXMJ.dll,HBSHQ.dll,HBW2I.dll,035224A5.dll,CF02013C.dll,895A5FB1.dll,D640CC5A.dll,BF50F3F9.dll,7D76C16B.dll,12496E12.dll,HBCHIBI.dll,HBQQXX.dll,HBQQFFO.dll squalne.dll,HBQQSG.dll,HBmhly.dll meyotme.dll>修改为<>即清空

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[$ServerGMH / $GMH]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\ServerGMH.dll>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[c6424110 / c6424110]    <\??\C:\WINDOWS\system32\c6424110.sys>

老师幸苦了

老师辛苦了，对下答案。

1.建议使用XDelBox删除以下文件
c:\windows\system32\sh18047.dll
c:\windows\system32\sh19029.dll
c:\windows\system32\csrss.dll
c:\windows\system32\035224a5.dll
c:\windows\system32\12496e12.dll
c:\windows\system32\7d76c16b.dll
c:\windows\system32\895a5fb1.dll
c:\windows\system32\bf50f3f9.dll
c:\windows\system32\cf02013c.dll
c:\windows\system32\d640cc5a.dll
c:\windows\system32\hbchibi.dll
c:\windows\system32\hbjxsj.dll
c:\windows\system32\hbmhly.dll
c:\windows\system32\hbshq.dll
c:\windows\system32\hbw2i.dll
c:\windows\system32\hbwulin2.dll
c:\windows\system32\hbxmj.dll
c:\program files\internet explorer\ftsketnt.7ps
c:\windows\system32\56bc86c7.dll
c:\windows\system32\08223b03.dll
c:\windows\system32\alien32.dll
c:\windows\system32\clhbbltu.dll
c:\windows\system32\jvcript32.dll
56bc86c7.dll
08223b03.dll
alien32.exe
service.exe
system.exe
; devdetect.exe -autorun
c:\program files\kieueirnr.exe
c:\windows\system32\ly_server2008.exe
c:\program files\stormii\stormliv.exe /asservice
c:\windows\system32\迅雷更新下载组件.exe
c:\windows\winword.exe
c:\windows\system32\081231-6-4.exe
c:\windows\system32\drivers\paz.sys
c:\windows\system32\c6424110.sys
c:\windows\system32\drivers\aliimz.sys
c:\program files\common files\pushware\cpush.dll
c:\windows\rose\pbhealth.dll
c:\program files\iwon\iwonbar\1.bin\iwonbar.dll

2.删除重启后使用SREng修复下面各项：


    启动项目 －－ 注册表之如下项删除：
[clhbbltu.dll]    <C:\WINDOWS\system32\clhbbltu.dll>
[12496E12]    <C:\WINDOWS\system32\12496E12.dll>
[7D76C16B]    <C:\WINDOWS\system32\7D76C16B.dll>
[BF50F3F9]    <C:\WINDOWS\system32\BF50F3F9.dll>
[D640CC5A]    <C:\WINDOWS\system32\D640CC5A.dll>
[895A5FB1]    <C:\WINDOWS\system32\895A5FB1.dll>
[CF02013C]    <C:\WINDOWS\system32\CF02013C.dll>
[035224A5]    <C:\WINDOWS\system32\035224A5.dll>
[{7D182ECE-BFD3-4482-902F-035F4CE9A3C4}]    <C:\Program Files\Internet Explorer\ftsKetNt.7ps>
[{71A78CD4-E470-4a18-8457-E0E0283DD507}]    <C:\WINDOWS\system32\clhbbltu.dll>
[{12496E12-B14D-488B-93CB-E046094F65E5}]    <C:\WINDOWS\system32\12496E12.dll>
[{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}]    <56BC86C7.dll>
[{7D76C16B-B251-4C78-9A95-6077E8A56A75}]    <C:\WINDOWS\system32\7D76C16B.dll>
[{BF50F3F9-0082-4A03-A52C-22E6F14F0E5D}]    <C:\WINDOWS\system32\BF50F3F9.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <08223B03.dll>
[{D640CC5A-5DD4-4E82-999C-9B7076FF7761}]    <C:\WINDOWS\system32\D640CC5A.dll>
[{895A5FB1-CE21-453C-BC5B-1E196B3B539F}]    <C:\WINDOWS\system32\895A5FB1.dll>
[{CF02013C-01CE-4DAA-82B9-C8B89FDCA6E3}]    <C:\WINDOWS\system32\CF02013C.dll>
[{035224A5-FE74-43A0-9A7B-CF5C56EBA7A1}]    <C:\WINDOWS\system32\035224A5.dll>
[nwiz]    <alien32.exe>
[Windows Service]    <service.exe>
[Windows Service]    <service.exe>
[HBService32]    <System.exe>
[Device Detector]    <; DevDetect.exe -autorun>
清空appinit的值

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[Qnvoncoii / Qnvoncoii]    <C:\Program Files\Kieueirnr.exe>
[123 / 123]    <C:\WINDOWS\System32\Ly_Server2008.exe>
[Contrl Center of Storm Media / ccosm]    <C:\Program Files\StormII\stormliv.exe /asservice>
[Thuidr / Thuidr]    <C:\WINDOWS\system32\迅雷更新下载组件.exe>
[Network  Connections / Natman]    <C:\WINDOWS\winword.exe>
[Windows Accounts Driver / WindowsRemote]    <C:\WINDOWS\system32\081231-6-4.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[terk / terk]    <\SystemRoot\system32\drivers\paz.sys>
[c6424110 / c6424110]    <\??\C:\WINDOWS\system32\c6424110.sys>
[aliimz / aliimz]    <System32\Drivers\aliimz.sys>

    系统修复－－　浏览器加载项之如下项删除：
[]    <C:\Program Files\Internet Explorer\ftsKetNt.7ps>
[CAdLogic Object]    <C:\Program Files\Common Files\PushWare\cpush.dll>
[]    <C:\Program Files\Internet Explorer\ftsKetNt.7ps>
[Info cache]    <C:\WINDOWS\Rose\pbhealth.dll>
[Info cache]    <C:\WINDOWS\Rose\pbhealth.dll>
[iWon Co-Pilot BHO]    <C:\Program Files\iWon\iWonBar\1.bin\IWONBAR.DLL>
[i&Won Co-Pilot]    <C:\Program Files\iWon\iWonBar\1.bin\IWONBAR.DLL>
[i&Won Co-Pilot]    <C:\Program Files\iWon\iWonBar\1.bin\IWONBAR.DLL>
[iWon Co-Pilot BHO]    <C:\Program Files\iWon\iWonBar\1.bin\IWONBAR.DLL>

将新spoolsv.exe 、rpcss.dll
winlogon.exe替换放入c：\windows\system32\
映像劫持修复

最进不能上网  所以下载回去练习:kaka6:

看看答案，老师辛苦了

看答案...

老师辛苦了，谢谢分享。:kaka1:

答案

很期待。。。。

好的 用pla试下

看看，学习一下

第一次听说，先下载回去看看，了解了解

看一看原因啊

菜鸟学习下了，刚接触日志分析。

学习一下

老师辛苦了

第一次接触，学习一下

哎  希望能达到一定层次:kaka1:

看看答案

来看看答案~~学习ing...

学习一下日记分析

这个系统貌似已经被恶意软件占了先手了 启动项禁止了一些杀毒软件的启动 这个病毒貌似还有这样一个功能 所有的exe运行之后都会加载到病毒所指定的文件 为了达到监控?? 这个病毒释放的垃圾文件太多了 建议修复安全模式后 进入安装杀软 升级全盘扫描 这样应该可以避免病毒对exe程序的劫持~~

:kaka1:

对下答案

[c6424110 / c6424110][Running/Manual Start]
  <\??\C:\WINDOWS\system32\c6424110.sys><N/A>
[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]
  <C:\WINDOWS\system32\081231-6-4.exe><(File is missing)>
[$ServerGMH / $GMH][Stopped/Manual Start]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\ServerGMH.dll><>
[123 / 123][Stopped/Auto Start]
  <C:\WINDOWS\System32\Ly_Server2008.exe><(File is missing)>
启动文件夹
[TTPlayer.exe]
  <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\TTPlayer.exe.lnk --> C:\PROGRA~1\TTPlayer\TTPlayer.exe [Alen Soft]><N>
<internetnet><C:\WINDOWS\system32\spoolsv.exe>  [File is missing]

<AppInit_DLLs><HBKDXY.dll,HBWULIN2.dll,HBJXSJ.dll,HBXMJ.dll,HBSHQ.dll,HBW2I.dll,035224A5.dll,CF02013C.dll,895A5FB1.dll,D640CC5A.dll,BF50F3F9.dll,7D76C16B.dll,12496E12.dll,HBCHIBI.dll,HBQQXX.dll,HBQQFFO.dll squalne.dll,HBQQSG.dll,HBmhly.dll meyotme.dll>  [N/A]

我找的这不知是不是啊 看看答案 呵呵