即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！



 附件: 您所在的用户组无法下载或查看附件

可疑文件：
c:\windows\system32\comres.dll  被感染
c:\windows\system32\6to4.dll
c:\windows\system32\appmgmts.dll
c:\windows\system32\browser.dll
c:\windows\system32\ias.dll
c:\windows\system32\iprip.dll
c:\windows\system32\mspmsnsv.dll
c:\windows\system32\nwcworkstation.dll
c:\windows\system32\nwsapagent.dll
c:\windows\system32\wmdmpmsp.dll
c:\windows\system32\6to4.dll
%systemroot%\system32\appmgmts.dll
c:\windows\system32\qmgr.dll
%systemroot%\system32\browser.dll
c:\windows\system32\wmdmpmsp.dll
c:\windows\system32\mspmsnsv.dll
%systemroot%\system32\rasauto.dll
c:\windows\system32\nwsapagent.dll
c:\windows\system32\nwcworkstation.dll
%systemroot%\system32\ntmssvc.dll
c:\windows\system32\iprip.dll
c:\windows\system32\ias.dll
c:\windows\system32\drivers\pcidump.sys
c:\windows\system32\drivers\wmisvc.sys
c:\windows\system32\drivers\klan.sys
 
注册表：
映像劫持

[{81A00901-A518-45E4-AB3C-5B0179A05D75}]    <C:\WINDOWS\system32\zvadNUhWHnAA69wD.dll>
[{762D618C-E2CB-4217-8275-03302A93073F}]    <C:\WINDOWS\fonts\zEfE48cw9EmcFaR.fon>
[{AB900155-F1F0-4165-9E73-67BC13BBCE89}]    <C:\WINDOWS\system32\xg4hAPNygs29.dll>
[{49043CF7-E4A4-47D7-B393-E1523D262189}]    <C:\WINDOWS\system32\hNdcS96gQxDk.dll>
[{76CBCF38-0583-44C7-A1AE-D463DFE625EC}]    <C:\WINDOWS\system32\skcfujQ5EDN.dll>
[{25BC5491-68B6-4416-BC69-6E8442312604}]    <C:\WINDOWS\system32\aEUzzDyN4fVnJ.dll>
[{37C5D66A-8B1B-4545-8112-3751194F6A4A}]    <C:\WINDOWS\system32\taNjsFa2tT2Dh.dll>
[{704C3595-DB85-40F6-A601-8D6F346907BD}]    <C:\WINDOWS\system32\704C3595.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}]    <C:\WINDOWS\system32\E4814792.dll>
[{15882A2F-A06D-486E-8958-E84C86CBF273}]    <C:\WINDOWS\fonts\fyrwJf5Qfhh.fon>
[{A0C86020-5935-4B87-B20E-0B656D450264}]    <C:\WINDOWS\system32\A0C86020.dll>
[{BE4D19AC-C2B7-4E43-A4A5-2696B19E4082}]    <C:\WINDOWS\fonts\zAPWgSjGrSpdsE4.fon>
[{71C4F360-FF1E-413E-B17A-0CA267A78E97}]    <C:\WINDOWS\system32\qB5BKZy7vR5m.dll>
[{6B8FB03D-D56C-4D2A-A11A-5A28B9F3DE06}]    <C:\WINDOWS\fonts\VBw9ZHsJt3M8tVgF.fon>
[{16886058-6A31-4D53-B4AC-4CC7D2248D69}]    <C:\WINDOWS\fonts\vwuXtYbhj.fon>
[{23DA65D2-C696-4EE4-BEE8-B4841DEC3E30}]    <C:\WINDOWS\system32\ndxq9awMc.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <C:\WINDOWS\system32\08223B03.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}]    <C:\WINDOWS\system32\122B901E.dll>
[{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}]    <C:\WINDOWS\system32\dhDhwS7fFW.dll>
[{F8C6B7B5-DAE0-4B78-BF2A-101C9A9CCA27}]    <C:\WINDOWS\system32\Va7SpUWgCA5f.dll>
[{41912A21-4337-4E99-8C30-80A8434B0793}]    <C:\WINDOWS\system32\zHvqM6hMxwpem.dll>
[{C1606DC4-C352-4B1F-A0B5-52DF3204E05D}]    <C:\WINDOWS\system32\up9fEkYRsKHT.dll>
[{CD95107F-52A5-42A4-9914-18949993E798}]    <C:\WINDOWS\fonts\tY5UFS434YYd.fon>
[{50EBD6A5-0CF6-4E59-AE08-CCD991AA0596}]    <C:\WINDOWS\system32\GU6f5sW42mdc.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}]    <C:\WINDOWS\system32\2EF0D734.dll>
[{93DA1E7D-7C46-4F90-8674-EC90511FCA72}]    <C:\WINDOWS\system32\CDuAUVkGy9.dll>
[{9D3E893F-55DA-42BF-94EF-B634AB358A24}]    <C:\WINDOWS\system32\wadSSw5k.dll>
[{750DBD56-AF03-47CB-BB28-BBF312B059F9}]    <C:\WINDOWS\fonts\xbpCfXnG6wUVF.fon>
[{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}]    <C:\WINDOWS\system32\ed78ab9.dll>
[{52C8608A-21A6-4978-B377-B276014501DC}]    <C:\Documents and Settings\Administrator\Application Data\Set7.dll>
[{427E02E6-39DB-4424-A49C-7553CD1331F5}]    <C:\WINDOWS\system32\WcCtgJ4zcxHF.dll>

服务 ：
[6to4 / 6to4]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\6to4.dll>
[Application Management / AppMgmt]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\System32\appmgmts.dll>
[Background Intelligent Transfer Service / BITS]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\qmgr.dll>
[Computer Browser / Browser]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\System32\browser.dll>
[WmdmPmSp / WmdmPmSp]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\WmdmPmSp.dll>
[Portable Media Serial Number Service / WmdmPmSN]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\MsPMSNSv.dll>
[Remote Access Auto Connection Manager / RasAuto]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\System32\rasauto.dll>
[Nwsapagent / Nwsapagent]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\Nwsapagent.dll>
[NWCWorkstation / NWCWorkstation]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\NWCWorkstation.dll>
[Removable Storage / NtmsSvc]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\system32\ntmssvc.dll>
[Iprip / Iprip]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\Iprip.dll>
[Ias / Ias]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\Ias.dll>

驱动程序：
[pcidump / pcidump]    <\??\C:\WINDOWS\system32\drivers\pcidump.sys>
[WmiSvc / WmiSvc]    <\??\C:\WINDOWS\system32\drivers\WmiSvc.sys>
[klan / klan]    <\??\C:\WINDOWS\system32\drivers\klan.sys>

autorun：
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe
[F:\]
[autorun]
Open=1.exe

C:\WINDOWS\SYSTEM32\WINLOGON.EXE
C:\WINDOWS\TEMP\EXPLORER.EXE
C:\WINDOWS\TEMP\EXPLORER.EXE
D:\ISEE\ISEE.EXE
D:\ISEE\ISEE.EXE
C:\PROGRAM FILES\ALIWANGWANG\PLUGINS\11460\WWMAIL.EXE
C:\PROGRAM FILES\ALIWANGWANG\PLUGINS\11460\WWMAIL.EXE
C:\PROGRAM FILES\THUNDER\PROGRAM\THUNDER5.EXE
C:\PROGRAM FILES\THUNDER\PROGRAM\THUNDER5.EXE
C:\WINDOWS\TEMP\RAR$EX01.656\SRENGLDR.EXE
C:\WINDOWS\TEMP\RAR$EX01.656\SRENGLDR.EXE