瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: SREngLOG9.log

以下为参考处理方案（摘自原帖）

向lz学习.

十分感谢LZ的辛苦劳动。

(ˇˍˇ） 学习学习

:kaka12: fighting!

1.建议使用XDelBox删除以下文件：(XDelBox1.3下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。
c:\windows\fonts\gth01568.ttf
c:\windows\system32\08223b03.dll
c:\windows\system32\56bc86c7.dll
c:\windows\system32\704c3595.dll
c:\windows\system32\76b9ba7a.dll
c:\windows\system32\skcfujq5edn.dll
c:\windows\system32\wf87w8xjgdw5es6tua.dll
c:\windows\system32\yp77tt3ucg74j.dll
c:\windows\fonts\comres1.ttf
c:\windows\fonts\q9unbawwnusv4.fon
c:\windows\system32\qb5bkzy7vr5m.dll
c:\windows\system32\ufqcu5.dll
c:\windows\system32\vntu2waqucza6.dll
c:\windows\system32\gaz2akyyg.dll
2.删除重启后使用SREng修复下面各项：
    启动项目 －－ 注册表之如下项删除：
[{76B9BA7A-81D0-4979-8598-8471F2AB5186}]    <C:\windows\system32\76B9BA7A.dll>
[{704C3595-DB85-40F6-A601-8D6F346907BD}]    <C:\windows\system32\704C3595.dll>
[{704C3595-DB85-40F6-A601-8D6F346907BD}]    <C:\windows\system32\704C3595.dll>
[{E88AE11C-26DF-4F4D-8726-C043F513990E}]    <C:\windows\system32\yp77Tt3UCG74J.dll>
[{B82E7FC1-A1BC-48ED-A977-53BAD6207AA5}]    <C:\windows\system32\GaZ2AKyYG.dll>
[{76CBCF38-0583-44C7-A1AE-D463DFE625EC}]    <C:\windows\system32\skcfujQ5EDN.dll>
[{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}]    <C:\windows\system32\56BC86C7.dll>
[RsTray]    <C:\windows\system32\scvhost.exe>
最后替换userinit.exe和comres.dll文件

最进不能上网  所以下载回去练习:kaka6:

看看答案， 继续练习，老师辛苦了:kaka12:

谢谢老师分享

答案

终于看到了一篇文件关联是好的的日志啊呵呵、

注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><C:\windows\system32\56BC86C7.dll>   
    <{76CBCF38-0583-44C7-A1AE-D463DFE625EC}><C:\windows\system32\skcfujQ5EDN.dll> 
    <{B82E7FC1-A1BC-48ED-A977-53BAD6207AA5}><C:\windows\system32\GaZ2AKyYG.dll>   
    <{E88AE11C-26DF-4F4D-8726-C043F513990E}><C:\windows\system32\yp77Tt3UCG74J.dll>   
    <{704C3595-DB85-40F6-A601-8D6F346907BD}><C:\windows\system32\704C3595.dll>   
    <{76B9BA7A-81D0-4979-8598-8471F2AB5186}><C:\windows\system32\76B9BA7A.dll>   
进程：   
    [C:\windows\fonts\GTH01568.ttf] 
    [C:\windows\fOnTs\comres1.ttf]
    [C:\windows\system32\56BC86C7.dll]   
    [C:\windows\system32\skcfujQ5EDN.dll] 
    [C:\windows\system32\yp77Tt3UCG74J.dll] 
    [C:\windows\system32\704C3595.dll] 
    [C:\windows\system32\76B9BA7A.dll] 
    [C:\windows\system32\08223B03.dll] 
    [C:\windows\system32\wF87W8XjgDW5Es6tuA.dll] 
    [C:\windows\system32\VnTU2WAqUcZA6.dll] 
    [C:\windows\system32\qB5BKZy7vR5m.dll] 
    [C:\windows\system32\ufQCU5.dll] 
    [C:\windows\fonts\Q9UnbAWWNuSv4.fon] 
    [C:\windows\system32\COMRes.dll] 
    [C:\windows\fonts\GTH26560.ttf] 
    [C:\windows\fonts\GTH33560.ttf] 
    [C:\windows\fonts\GTH37560.ttf] 
    [C:\windows\fonts\GTH61390.Ttf] 
    [C:\windows\fonts\GTH79405.Ttf] 

用冰刃把这些进程都杀掉。。。

对对答案

今天就练习到这里吧~~继续完善笔记了~