即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！



 附件: 您所在的用户组无法下载或查看附件


========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、处理时注意userinit项，不要删除该键值，而是改成c:\windows\system32\userinit.exe,
2、劫持项只要清除对应的注册表键值即可，不要试图删除劫持指向的文件，C:\WINDOWS\system32\csrss.exe是系统文件，不可删除
3、C:\WINDOWS\system32\drivers\GuiHelp.sys对于不熟悉的文件，通过网络搜索，发现众说纷纭，这时不要轻易去做处理，可以讲拿不准的文件上报给反病毒厂商进一步诊断
4、D:\HFEE\SVOHOST.EXE，不多说了，明显伪装系统文件


 附件: 您所在的用户组无法下载或查看附件

眉头上的时间又弄没了

我发觉你特不注意那时间

我觉得差不多就这样了

前排占座

***** 该内容需回复才可浏览 *****

C:\WINDOWS\system32\csrss.exe 是一个系统文件吧
用它劫持了好多文件，那些都是有问题的吧

昨晚有事.. 今天才仔细看完了讲义...
学到了不少 呵呵  首先体会到的是 日志分析果然只是辅助手段。。。日志那么多内容一看就眼花了..
再者，就是先问问.. 
  1。启动项目 注册表
<通讯簿 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install>  [File is missing]    此处  [File is missing]  何解？ 只表示说丢失？

2 。像这个  [Microsoft Corporation]
        [(Verified)Microsoft Corporation]  是不是表示 后者经过修改？？

3 。NtCreateFile  NtCreateKey  这些函数 具体是干什么的？？
API HOOK
入口点错误：NtCreateFile (危险等级: 高,  被下面模块所HOOK: 0x003D5CBD)
入口点错误：NtCreateKey (危险等级: 高,  被下面模块所HOOK: 0x003D5E5D)
入口点错误：NtLoadDriver (危险等级: 高,  被下面模块所HOOK: 0x003D65AD)
入口点错误：NtSetValueKey (危险等级: 高,  被下面模块所HOOK: 0x003D5F2D)
入口点错误：NtWriteFile (危险等级: 高,  被下面模块所HOOK: 0x003D5D8D)
入口点错误：ZwCreateFile (危险等级: 高,  被下面模块所HOOK: 0x003D5CBD)
入口点错误：ZwCreateKey (危险等级: 高,  被下面模块所HOOK: 0x003D5E5D)
入口点错误：ZwSetValueKey (危险等级: 高,  被下面模块所HOOK: 0x003D5F2D)
入口点错误：ZwWriteFile (危险等级: 高,  被下面模块所HOOK: 0x003D5D8D)
入口点错误：CreateServiceA (危险等级: 高,  被下面模块所HOOK: 0x003D626D)
入口点错误：CreateServiceW (危险等级: 高,  被下面模块所HOOK: 0x003D633D)
入口点错误：LoadLibraryA (危险等级: 高,  被下面模块所HOOK: 0x003D6F6D)
入口点错误：LoadLibraryExW (危险等级: 高,  被下面模块所HOOK: 0x003D5B55)
入口点错误：CreateFileW (危险等级: 高,  被下面模块所HOOK: 0x003D6A8D)
入口点错误：CreateProcessA (危险等级: 高,  被下面模块所HOOK: 0x003D6E9D)
入口点错误：CreateProcessW (危险等级: 高,  被下面模块所HOOK: 0x003D6CFD)

[ code ] 和 [ /code ] ，还有那个时间。。。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\0.EXE]
    <IFEO[0.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\00.EXE]
    <IFEO[00.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\000.EXE]
    <IFEO[000.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\2005116234123330.EXE]
    <IFEO[2005116234123330.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DataExplore.EXE]
    <IFEO[DataExplore.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DiskGenius.EXE]
    <IFEO[DiskGenius.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DRW.EXE]
    <IFEO[DRW.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DRW0.EXE]
    <IFEO[DRW0.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EasyRecovery.EXE]
    <IFEO[EasyRecovery.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FinalData.EXE]
    <IFEO[FinalData.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\finalrecovery.EXE]
    <IFEO[finalrecovery.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FolderSniffer.EXE]
    <IFEO[FolderSniffer.EXE]><C:\WINDOWS\system32\sysocmgr.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HandyRecovery.EXE]
    <IFEO[HandyRecovery.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSwor.EXE]
    <IFEO[IceSwor.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword1.EXE]
    <IFEO[IceSword1.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword2.EXE]
    <IFEO[IceSword2.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword3.EXE]
    <IFEO[IceSword3.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ntbackup.EXE]
    <IFEO[ntbackup.EXE]><C:\WINDOWS\system32\sysocmgr.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PowerDataRecovery.EXE]
    <IFEO[PowerDataRecovery.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QuadroUneraser.EXE]
    <IFEO[QuadroUneraser.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Recover4all Professional.EXE]
    <IFEO[Recover4all Professional.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RecoverMyFiles.EXE]
    <IFEO[RecoverMyFiles.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TOTALCMD.EXE]
    <IFEO[TOTALCMD.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\undelete_plus.EXE]
    <IFEO[undelete_plus.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Wsyscheck1.EXE]
    <IFEO[Wsyscheck1.EXE]><C:\WINDOWS\system32\sysocmgr.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Wsyscheck2.EXE]
    <IFEO[Wsyscheck2.EXE]><C:\WINDOWS\system32\sysocmgr.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Wsyscheck3.EXE]
    <IFEO[Wsyscheck3.EXE]><C:\WINDOWS\system32\sysocmgr.exe>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\YtReFile.EXE]
    <IFEO[YtReFile.EXE]><C:\WINDOWS\system32\csrss.exe>  [(Verified)Microsoft Windows Component Publisher]

这些都是IFEO景象劫持吧。。。话说有IFEO的全部都是算病毒的？？

帮忙分析下，计算机有没有什么问题；

 附件: 您所在的用户组无法下载或查看附件

 附件: 您所在的用户组无法下载或查看附件

==================================
太正常了

怎么都用分析助手分析的啊？