即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！



 附件: 您所在的用户组无法下载或查看附件

<AppInit_DLLs><C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon,kmon.dll>  []


    <{B8898C49-7B3A-4306-A9EF-8E186EDEE5EA}><C:\WINDOWS\system32\Qh6xX7VN48sVPnK.dll>  []
    <{CEBB8F8A-308B-43E9-9789-B6FD6BE1BD97}><C:\WINDOWS\system32\v54M9wWBuNGTf2m.dll>  []
    <{9726072A-8039-4958-B609-565CF7A16B38}><C:\WINDOWS\system32\JPccCJnKygDdp3.dll>  []
    <{81A00901-A518-45E4-AB3C-5B0179A05D75}><C:\WINDOWS\system32\zvadNUhWHnAA69wD.dll>  []
    <{762D618C-E2CB-4217-8275-03302A93073F}><C:\WINDOWS\fonts\zEfE48cw9EmcFaR.fon>  []
    <{49043CF7-E4A4-47D7-B393-E1523D262189}><C:\WINDOWS\system32\hNdcS96gQxDk.dll>  []
    <{76CBCF38-0583-44C7-A1AE-D463DFE625EC}><C:\WINDOWS\system32\skcfujQ5EDN.dll>  []
    <{5C901F36-6395-4667-AF85-B1B64AD3693F}><C:\WINDOWS\system32\XatgKbDb3Yxc.dll>  []
    <{37C5D66A-8B1B-4545-8112-3751194F6A4A}><C:\WINDOWS\system32\taNjsFa2tT2Dh.dll>  []
    <{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><C:\WINDOWS\system32\E4814792.dll>  []
    <{15882A2F-A06D-486E-8958-E84C86CBF273}><C:\WINDOWS\fonts\fyrwJf5Qfhh.fon>  []
    <{BE4D19AC-C2B7-4E43-A4A5-2696B19E4082}><C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon>  []
    <{6B8FB03D-D56C-4D2A-A11A-5A28B9F3DE06}><C:\WINDOWS\fonts\VBw9ZHsJt3M8tVgF.fon>  []
    <{16886058-6A31-4D53-B4AC-4CC7D2248D69}><C:\WINDOWS\fonts\vwuXtYbhj.fon>  []
    <{23DA65D2-C696-4EE4-BEE8-B4841DEC3E30}><C:\WINDOWS\system32\ndxq9awMc.dll>  []
    <{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><C:\WINDOWS\system32\08223B03.dll>  []
    <{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}><C:\WINDOWS\system32\dhDhwS7fFW.dll>  []
    <{F8C6B7B5-DAE0-4B78-BF2A-101C9A9CCA27}><C:\WINDOWS\system32\Va7SpUWgCA5f.dll>  []
    <{41912A21-4337-4E99-8C30-80A8434B0793}><C:\WINDOWS\system32\zHvqM6hMxwpem.dll>  []
    <{C1606DC4-C352-4B1F-A0B5-52DF3204E05D}><C:\WINDOWS\system32\up9fEkYRsKHT.dll>  []
    <{CD95107F-52A5-42A4-9914-18949993E798}><C:\WINDOWS\fonts\tY5UFS434YYd.fon>  []
    <{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><C:\WINDOWS\system32\2EF0D734.dll>  []
    <{93DA1E7D-7C46-4F90-8674-EC90511FCA72}><C:\WINDOWS\system32\CDuAUVkGy9.dll>  []
    <{9D3E893F-55DA-42BF-94EF-B634AB358A24}><C:\WINDOWS\system32\wadSSw5k.dll>  []
    <{69B265A2-A172-4D27-BDF1-917E6D8B1DCC}><C:\WINDOWS\fonts\jUxfqJDwmfQEHcy2.fon>  []
    <{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}><C:\WINDOWS\system32\ed78ab9.dll>  []
    <{52C8608A-21A6-4978-B377-B276014501DC}><C:\Documents and Settings\Administrator\Application Data\Set7.dll>  []



这一段、、太彪悍了

该用户帖子内容已被屏蔽

被感染：
c:\windows\system32\comres.dll
c:\windows\explorer.exe
可疑文件：
c:\documents and settings\administrator\application data\set7.dll
c:\windows\fonts\fyrwjf5qfhh.fon
c:\windows\fonts\ty5ufs434yyd.fon
c:\windows\fonts\vwuxtybhj.fon
c:\windows\fonts\zefe48cw9emcfar.fon
c:\windows\phpq.dll
c:\windows\system32\08223b03.dll
c:\windows\system32\2ef0d734.dll
c:\windows\system32\hndcs96gqxdk.dll
c:\windows\system32\jpcccjnkygddp3.dll
c:\windows\system32\qh6xx7vn48svpnk.dll
c:\windows\system32\skcfujq5edn.dll
c:\windows\system32\tanjsfa2tt2dh.dll
c:\windows\system32\va7spuwgca5f.dll
c:\windows\system32\zvadnuhwhnaa69wd.dll
c:\windows\fonts\juxfqjdwmfqehcy2.fon
c:\windows\fonts\vbw9zhsjt3m8tvgf.fon
c:\windows\fonts\zapwgsjgrspdse4.fon
c:\windows\temp\explorer.exe
c:\windows\system32\cduauvkgy9.dll
c:\windows\system32\dhdhws7ffw.dll
c:\windows\system32\e4814792.dll
c:\windows\system32\ed78ab9.dll
c:\windows\system32\ndxq9awmc.dll
c:\windows\system32\up9fekyrskht.dll
c:\windows\system32\v54m9wwbungtf2m.dll
c:\windows\system32\wadssw5k.dll
c:\windows\system32\xatgkbdb3yxc.dll
c:\windows\system32\zhvqm6hmxwpem.dll
c:\windows\fonts\zapwgsjgrspdse4.fon,kmon.dll
c:\windows\system32\ssmarque.scr
c:\windows\system32\drivers\pcidump.sys

注册表启动项：
注意该项[AppInit_DLLs]修改：把<C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon,kmon.dll>修改为<>即清空
注意该项[shell]修改：把<Explorer.exe>修改为<Explorer.exe>即清除Explorer.exe后面的内容
[{52C8608A-21A6-4978-B377-B276014501DC}]    <C:\Documents and Settings\Administrator\Application Data\Set7.dll>
[{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}]    <C:\WINDOWS\system32\ed78ab9.dll>
[{69B265A2-A172-4D27-BDF1-917E6D8B1DCC}]    <C:\WINDOWS\fonts\jUxfqJDwmfQEHcy2.fon>
[{9D3E893F-55DA-42BF-94EF-B634AB358A24}]    <C:\WINDOWS\system32\wadSSw5k.dll>
[{93DA1E7D-7C46-4F90-8674-EC90511FCA72}]    <C:\WINDOWS\system32\CDuAUVkGy9.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}]    <C:\WINDOWS\system32\2EF0D734.dll>
[{CD95107F-52A5-42A4-9914-18949993E798}]    <C:\WINDOWS\fonts\tY5UFS434YYd.fon>
[{C1606DC4-C352-4B1F-A0B5-52DF3204E05D}]    <C:\WINDOWS\system32\up9fEkYRsKHT.dll>
[{41912A21-4337-4E99-8C30-80A8434B0793}]    <C:\WINDOWS\system32\zHvqM6hMxwpem.dll>
[{F8C6B7B5-DAE0-4B78-BF2A-101C9A9CCA27}]    <C:\WINDOWS\system32\Va7SpUWgCA5f.dll>
[{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}]    <C:\WINDOWS\system32\dhDhwS7fFW.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <C:\WINDOWS\system32\08223B03.dll>
[{23DA65D2-C696-4EE4-BEE8-B4841DEC3E30}]    <C:\WINDOWS\system32\ndxq9awMc.dll>
[{16886058-6A31-4D53-B4AC-4CC7D2248D69}]    <C:\WINDOWS\fonts\vwuXtYbhj.fon>
[{6B8FB03D-D56C-4D2A-A11A-5A28B9F3DE06}]    <C:\WINDOWS\fonts\VBw9ZHsJt3M8tVgF.fon>
[{BE4D19AC-C2B7-4E43-A4A5-2696B19E4082}]    <C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon>
[{15882A2F-A06D-486E-8958-E84C86CBF273}]    <C:\WINDOWS\fonts\fyrwJf5Qfhh.fon>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}]    <C:\WINDOWS\system32\E4814792.dll>
[{37C5D66A-8B1B-4545-8112-3751194F6A4A}]    <C:\WINDOWS\system32\taNjsFa2tT2Dh.dll>
[{5C901F36-6395-4667-AF85-B1B64AD3693F}]    <C:\WINDOWS\system32\XatgKbDb3Yxc.dll>
[{76CBCF38-0583-44C7-A1AE-D463DFE625EC}]    <C:\WINDOWS\system32\skcfujQ5EDN.dll>
[{49043CF7-E4A4-47D7-B393-E1523D262189}]    <C:\WINDOWS\system32\hNdcS96gQxDk.dll>
[{762D618C-E2CB-4217-8275-03302A93073F}]    <C:\WINDOWS\fonts\zEfE48cw9EmcFaR.fon>
[{81A00901-A518-45E4-AB3C-5B0179A05D75}]    <C:\WINDOWS\system32\zvadNUhWHnAA69wD.dll>
[{9726072A-8039-4958-B609-565CF7A16B38}]    <C:\WINDOWS\system32\JPccCJnKygDdp3.dll>
[{CEBB8F8A-308B-43E9-9789-B6FD6BE1BD97}]    <C:\WINDOWS\system32\v54M9wWBuNGTf2m.dll>
[{B8898C49-7B3A-4306-A9EF-8E186EDEE5EA}]    <C:\WINDOWS\system32\Qh6xX7VN48sVPnK.dll>
[SCRNSAVE.EXE]    <C:\WINDOWS\system32\ssmarque.scr>

驱动程序：
[pcidump / pcidump]    <System32\DRIVERS\pcidump.sys>

以下文件被感染，需替换之

c:\windows\system32\comres.dll
c:\windows\explorer.exe

删除下列文件

c:\documents and settings\administrator\application data\set7.dll
c:\windows\fonts\fyrwjf5qfhh.fon
c:\windows\fonts\ty5ufs434yyd.fon
c:\windows\fonts\vwuxtybhj.fon
c:\windows\fonts\zefe48cw9emcfar.fon
c:\windows\phpq.dll
c:\windows\system32\08223b03.dll
c:\windows\system32\2ef0d734.dll
c:\windows\system32\hndcs96gqxdk.dll
c:\windows\system32\jpcccjnkygddp3.dll
c:\windows\system32\qh6xx7vn48svpnk.dll
c:\windows\system32\skcfujq5edn.dll
c:\windows\system32\tanjsfa2tt2dh.dll
c:\windows\system32\va7spuwgca5f.dll
c:\windows\system32\zvadnuhwhnaa69wd.dll
c:\windows\temp\explorer.exe
c:\windows\system32\drivers\pcidump.sys
c:\windows\fonts\juxfqjdwmfqehcy2.fon
c:\windows\fonts\vbw9zhsjt3m8tvgf.fon
c:\windows\fonts\zapwgsjgrspdse4.fon
c:\windows\system32\cduauvkgy9.dll
c:\windows\system32\dhdhws7ffw.dll
c:\windows\system32\e4814792.dll
c:\windows\system32\ed78ab9.dll
c:\windows\system32\ndxq9awmc.dll
c:\windows\system32\up9fekyrskht.dll
c:\windows\system32\v54m9wwbungtf2m.dll
c:\windows\system32\wadssw5k.dll
c:\windows\system32\xatgkbdb3yxc.dll
c:\windows\system32\zhvqm6hmxwpem.dll
d:\ctfmen.exe


注册表：

[{52C8608A-21A6-4978-B377-B276014501DC}]    <C:\Documents and Settings\Administrator\Application Data\Set7.dll>
[{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}]    <C:\WINDOWS\system32\ed78ab9.dll>
[{69B265A2-A172-4D27-BDF1-917E6D8B1DCC}]    <C:\WINDOWS\fonts\jUxfqJDwmfQEHcy2.fon>
[{9D3E893F-55DA-42BF-94EF-B634AB358A24}]    <C:\WINDOWS\system32\wadSSw5k.dll>
[{93DA1E7D-7C46-4F90-8674-EC90511FCA72}]    <C:\WINDOWS\system32\CDuAUVkGy9.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}]    <C:\WINDOWS\system32\2EF0D734.dll>
[{CD95107F-52A5-42A4-9914-18949993E798}]    <C:\WINDOWS\fonts\tY5UFS434YYd.fon>
[{C1606DC4-C352-4B1F-A0B5-52DF3204E05D}]    <C:\WINDOWS\system32\up9fEkYRsKHT.dll>
[{41912A21-4337-4E99-8C30-80A8434B0793}]    <C:\WINDOWS\system32\zHvqM6hMxwpem.dll>
[{F8C6B7B5-DAE0-4B78-BF2A-101C9A9CCA27}]    <C:\WINDOWS\system32\Va7SpUWgCA5f.dll>
[{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}]    <C:\WINDOWS\system32\dhDhwS7fFW.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <C:\WINDOWS\system32\08223B03.dll>
[{23DA65D2-C696-4EE4-BEE8-B4841DEC3E30}]    <C:\WINDOWS\system32\ndxq9awMc.dll>
[{16886058-6A31-4D53-B4AC-4CC7D2248D69}]    <C:\WINDOWS\fonts\vwuXtYbhj.fon>
[{6B8FB03D-D56C-4D2A-A11A-5A28B9F3DE06}]    <C:\WINDOWS\fonts\VBw9ZHsJt3M8tVgF.fon>
[{BE4D19AC-C2B7-4E43-A4A5-2696B19E4082}]    <C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon>
[{15882A2F-A06D-486E-8958-E84C86CBF273}]    <C:\WINDOWS\fonts\fyrwJf5Qfhh.fon>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}]    <C:\WINDOWS\system32\E4814792.dll>
[{37C5D66A-8B1B-4545-8112-3751194F6A4A}]    <C:\WINDOWS\system32\taNjsFa2tT2Dh.dll>
[{5C901F36-6395-4667-AF85-B1B64AD3693F}]    <C:\WINDOWS\system32\XatgKbDb3Yxc.dll>
[{76CBCF38-0583-44C7-A1AE-D463DFE625EC}]    <C:\WINDOWS\system32\skcfujQ5EDN.dll>
[{49043CF7-E4A4-47D7-B393-E1523D262189}]    <C:\WINDOWS\system32\hNdcS96gQxDk.dll>
[{762D618C-E2CB-4217-8275-03302A93073F}]    <C:\WINDOWS\fonts\zEfE48cw9EmcFaR.fon>
[{81A00901-A518-45E4-AB3C-5B0179A05D75}]    <C:\WINDOWS\system32\zvadNUhWHnAA69wD.dll>
[{9726072A-8039-4958-B609-565CF7A16B38}]    <C:\WINDOWS\system32\JPccCJnKygDdp3.dll>
[{CEBB8F8A-308B-43E9-9789-B6FD6BE1BD97}]    <C:\WINDOWS\system32\v54M9wWBuNGTf2m.dll>
[{B8898C49-7B3A-4306-A9EF-8E186EDEE5EA}]    <C:\WINDOWS\system32\Qh6xX7VN48sVPnK.dll>
注意该项[AppInit_DLLs]修改：把<C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon,kmon.dll>修改为<kmon.dll>


驱动：

[pcidump / pcidump]    <System32\DRIVERS\pcidump.sys>