即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！



 附件: 您所在的用户组无法下载或查看附件


========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、<shell><Explorer.exe>  []由此项可见，explorer.exe已经被病毒修改，不要直接删除，应该从相同的系统中拷贝一个；
2、c:\windows\mfc43.exe、C:\WINDOWS\temp\explorer.exe这些伪装系统文件夹的不要漏掉；
3、C:\WINDOWS\system32\COMRes.dll也被病毒修改过了；
4、hosts虽有很多内容，但通过网址判断，应该是免疫用的，可以不去处理；

 附件: 您所在的用户组无法下载或查看附件

该用户帖子内容已被屏蔽

这个貌似不能用分析助手，一分析读取就假死~~
开始自己分析了

1  注册表启动项有谷歌工具栏，不知道现在还算不算流氓软件~

2 c:\windows\mfc43.exe 为病毒项

3 [C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe          当打开CDE盘是会打开1.EXE 感染病毒


4 c:\windows\system32\krnlhelp.exe 为病毒项

先记事本打开
在文件最后加一行：
==================================
就可以用分析助手了

进程有:
C:\WINDOWS\temp\explorer.exe
\SystemRoot\System32\smss.exe
C:\WINDOWS\aboy.dll
启动项:
被杀毒软件查杀了..
还有U盘病毒:
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe
删除每个盘符下的autorun.inf

可疑的文件：
c:\windows\system32\krnlhelp.exe

c:\windows\mfc43.exe
C:\WINDOWS\system32\COMRes.dll
C:\WINDOWS\aboy.dll


还有1.exe
Autorun.inf
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe

似乎这个东西有点争议 kmon.dll
我个人是不用瑞星的，希望老师能给一个比较客观的评价

1.[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  []是被病毒修改了吧？
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><kmon.dll>  [(Verified)Beijing Rising Information Technology Corporation Limited]里面的值应该清空
<{1ECE2FCB-C1BB-4706-920C-F4C1076FD155}><C:\WINDOWS\system32\kT2NuqZeGma.dll>  [File is missing]
    <{E11FB24A-F766-4D0F-ADF5-237958FFA262}><C:\WINDOWS\fonts\f13ERxR2Urh.fon>  [File is missing]
    <{76B9BA7A-81D0-4979-8598-8471F2AB5186}><C:\WINDOWS\system32\76B9BA7A.dll>  [File is missing]
    <{C2EE4B05-6467-40E1-8638-C8B895AE335A}><C:\WINDOWS\fonts\CtZ8uc499k.fon>  [File is missing]
    <{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><C:\WINDOWS\system32\08223B03.dll>  [File is missing]
    <{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><C:\WINDOWS\system32\56BC86C7.dll>  [File is missing]
    <{FBFAD3A6-0B1E-4122-9C2B-92A4623875EC}><C:\WINDOWS\system32\v6yj3gxacYQU.dll>  [File is missing]
    <{737858A9-9AEA-4838-9B49-54DA731F7F37}><C:\WINDOWS\system32\BMsg6pdMD4ht.dll>  [File is missing]
    <{E88AE11C-26DF-4F4D-8726-C043F513990E}><C:\WINDOWS\system32\yp77Tt3UCG74J.dll>  [File is missing]
    <{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><C:\WINDOWS\system32\2EF0D734.dll>  [File is missing]
    <{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><C:\WINDOWS\system32\E4814792.dll>  [File is missing]
    <{FC8F4603-4AB2-4A0D-B17F-886CC8AAAFD2}><C:\WINDOWS\fonts\CESPVP8FQd.fon>  [File is missing]
    <{0D267113-499A-4EEF-998D-C45731C1B313}><C:\WINDOWS\system32\VnTU2WAqUcZA6.dll>  [File is missing]
    <{CCCA2FB9-2D5D-4481-8BFE-1CDDC458A3F4}><C:\WINDOWS\system32\CCCA2FB9.dll>  [File is missing]
    <{19250D1E-B733-4F49-BC56-44EFCF3BF650}><C:\WINDOWS\system32\m37tEtTX7Ye5c.dll>  [File is missing]
    <{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}><C:\WINDOWS\system32\ed78ab9.dll>  [File is missing]
    <{171565E3-F0BB-4FF0-9A42-C9406C79DB78}><C:\WINDOWS\system32\wF87W8XjgDW5Es6tuA.dll>  [File is missing]
    <{6B74576A-BB20-47B3-AE0A-046B062897D0}><C:\WINDOWS\system32\ACg9ycsarj8y.dll>  [File is missing]
    <{C722AD57-35DA-4460-8353-328372F32AB2}><C:\WINDOWS\system32\ufQCU5.dll>  [File is missing]
    <{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}><C:\WINDOWS\system32\A1A6BC2E.dll>  [File is missing]
    <{93DA1E7D-7C46-4F90-8674-EC90511FCA72}><C:\WINDOWS\system32\CDuAUVkGy9.dll>  [File is missing]什么东西全部丢失？
2.[krnlhelp / krnlhelp][Running/Auto Start]
  <c:\windows\system32\krnlhelp.exe><N/A>
[mfc43 / mfc43][Running/Auto Start]
  <c:\windows\mfc43.exe><N/A>可疑
3.[音乐钥匙]
  {45CEDCCF-21BD-474C-B691-8CF787647E68} <C:\WINDOWS\system32\lmonaqpdik.dll, www.yy14.com>
签名是网址？
4，是不是进程一[N/A, ]就全部可疑啊？
5。Autorun.inf
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe
CDE盘中度
6.进程特权扫描还是……