根据SRENG日志也难搞掂的一只木马
样本来自“剑盟”。
这个马，瑞星今天最新的病毒库还查不到。多引擎扫描结果————也没几家报。
中招的，那就只好扫日志在别人的帮助下手工杀毒。是这样吧？
好了。下一个问题：用什么扫日志？autoruns？扫不出异常。HijackThis？更不行了！
现在最流行的日志工具是SREng。那就用它扫个吧！
SREng日志中的异常项是这些：
1、服务
[C85B5A86 / C85B5A86]
<C:\windows\system32\C85B5A86.EXE -service><Microsoft Corporation>
2、正在运行的进程
[PID: 684][\??\C:\windows\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]
[PID: 1376][C:\windows\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]
由SREng日志可见，这东东够恶毒！插入了两个关键进程winlogon.exe和Explorer.EXE。
下一个问题：怎么动手杀？
根据这样的一份日志，一般思路是：先干掉它的服务项。重启后，删除：
C:\windows\system32\C85B5A86.EXE
C:\windows\system32\C85B5A86.DLL
好了。动手（图1）
重启。
【图1】
