7月8日日志分析练习10 bbs.ikaka.com

lqqk7 - 2009-7-8 16:12:00

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: 您所在的用户组无法下载或查看附件

========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、<shell><Explorer.exe> []由此项可见，explorer.exe已经被病毒修改，不要直接删除，应该从相同的系统中拷贝一个；
2、c:\windows\mfc43.exe、C:\WINDOWS\temp\explorer.exe这些伪装系统文件夹的不要漏掉；
3、C:\WINDOWS\system32\COMRes.dll也被病毒修改过了；
4、hosts虽有很多内容，但通过网址判断，应该是免疫用的，可以不去处理；

附件: 您所在的用户组无法下载或查看附件

精神病院看门的 - 2009-7-8 20:06:00

该用户帖子内容已被屏蔽

se7ensun - 2009-7-8 20:15:00

这个貌似不能用分析助手，一分析读取就假死~~
开始自己分析了

1 注册表启动项有谷歌工具栏，不知道现在还算不算流氓软件~

2 c:\windows\mfc43.exe 为病毒项

3 [C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe 当打开CDE盘是会打开1.EXE 感染病毒

4 c:\windows\system32\krnlhelp.exe 为病毒项

zapline - 2009-7-8 20:18:00

:kaka12: 先记事本打开
在文件最后加一行：
==================================
就可以用分析助手了

凡尘之沙 - 2009-7-8 20:35:00

zapline - 2009-7-8 20:41:00

dipahole - 2009-7-8 21:25:00

进程有:
C:\WINDOWS\temp\explorer.exe
\SystemRoot\System32\smss.exe
C:\WINDOWS\aboy.dll
启动项:
被杀毒软件查杀了..
还有U盘病毒:
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe
删除每个盘符下的autorun.inf

daemonz - 2009-7-9 9:10:00

可疑的文件：
c:\windows\system32\krnlhelp.exe

c:\windows\mfc43.exe
C:\WINDOWS\system32\COMRes.dll
C:\WINDOWS\aboy.dll

还有1.exe
Autorun.inf
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe

似乎这个东西有点争议 kmon.dll
我个人是不用瑞星的，希望老师能给一个比较客观的评价

merrk_chuan - 2009-7-10 12:20:00

零度的穷浪漫 - 2009-7-29 4:18:00

1.[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe> []是被病毒修改了吧？
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><kmon.dll> [(Verified)Beijing Rising Information Technology Corporation Limited]里面的值应该清空
<{1ECE2FCB-C1BB-4706-920C-F4C1076FD155}><C:\WINDOWS\system32\kT2NuqZeGma.dll> [File is missing]
<{E11FB24A-F766-4D0F-ADF5-237958FFA262}><C:\WINDOWS\fonts\f13ERxR2Urh.fon> [File is missing]
<{76B9BA7A-81D0-4979-8598-8471F2AB5186}><C:\WINDOWS\system32\76B9BA7A.dll> [File is missing]
<{C2EE4B05-6467-40E1-8638-C8B895AE335A}><C:\WINDOWS\fonts\CtZ8uc499k.fon> [File is missing]
<{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><C:\WINDOWS\system32\08223B03.dll> [File is missing]
<{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><C:\WINDOWS\system32\56BC86C7.dll> [File is missing]
<{FBFAD3A6-0B1E-4122-9C2B-92A4623875EC}><C:\WINDOWS\system32\v6yj3gxacYQU.dll> [File is missing]
<{737858A9-9AEA-4838-9B49-54DA731F7F37}><C:\WINDOWS\system32\BMsg6pdMD4ht.dll> [File is missing]
<{E88AE11C-26DF-4F4D-8726-C043F513990E}><C:\WINDOWS\system32\yp77Tt3UCG74J.dll> [File is missing]
<{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><C:\WINDOWS\system32\2EF0D734.dll> [File is missing]
<{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><C:\WINDOWS\system32\E4814792.dll> [File is missing]
<{FC8F4603-4AB2-4A0D-B17F-886CC8AAAFD2}><C:\WINDOWS\fonts\CESPVP8FQd.fon> [File is missing]
<{0D267113-499A-4EEF-998D-C45731C1B313}><C:\WINDOWS\system32\VnTU2WAqUcZA6.dll> [File is missing]
<{CCCA2FB9-2D5D-4481-8BFE-1CDDC458A3F4}><C:\WINDOWS\system32\CCCA2FB9.dll> [File is missing]
<{19250D1E-B733-4F49-BC56-44EFCF3BF650}><C:\WINDOWS\system32\m37tEtTX7Ye5c.dll> [File is missing]
<{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}><C:\WINDOWS\system32\ed78ab9.dll> [File is missing]
<{171565E3-F0BB-4FF0-9A42-C9406C79DB78}><C:\WINDOWS\system32\wF87W8XjgDW5Es6tuA.dll> [File is missing]
<{6B74576A-BB20-47B3-AE0A-046B062897D0}><C:\WINDOWS\system32\ACg9ycsarj8y.dll> [File is missing]
<{C722AD57-35DA-4460-8353-328372F32AB2}><C:\WINDOWS\system32\ufQCU5.dll> [File is missing]
<{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}><C:\WINDOWS\system32\A1A6BC2E.dll> [File is missing]
<{93DA1E7D-7C46-4F90-8674-EC90511FCA72}><C:\WINDOWS\system32\CDuAUVkGy9.dll> [File is missing]什么东西全部丢失？
2.[krnlhelp / krnlhelp][Running/Auto Start]
<c:\windows\system32\krnlhelp.exe><N/A>
[mfc43 / mfc43][Running/Auto Start]
<c:\windows\mfc43.exe><N/A>可疑
3.[音乐钥匙]
{45CEDCCF-21BD-474C-B691-8CF787647E68} <C:\WINDOWS\system32\lmonaqpdik.dll, www.yy14.com>
签名是网址？:kaka11:
4，是不是进程一[N/A, ]就全部可疑啊？
5。Autorun.inf
[C:\]
[autorun]
Open=1.exe
[D:\]
[autorun]
Open=1.exe
[E:\]
[autorun]
Open=1.exe
CDE盘中度
6.进程特权扫描还是……:kaka6: :kaka11:

零度的穷浪漫 - 2009-7-29 4:18:00

终于分析完8号的日志了

still刀刀 - 2009-7-30 23:56:00

1.[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe> []是被病毒修改了吧？
是的！
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><kmon.dll> [(Verified)Beijing Rising Information Technology Corporation Limited]里面的值应该清空
不用清空，这是这是卡卡插入进程的dll文件，正常文件

3.[音乐钥匙]
{45CEDCCF-21BD-474C-B691-8CF787647E68} <C:\WINDOWS\system32\lmonaqpdik.dll, www.yy14.com>
签名是网址？这项可疑
4，是不是进程一[N/A, ]就全部可疑啊？
我觉得是
个人拙见，仅供参考

零度的穷浪漫 - 2009-7-31 16:08:00

谢谢楼上的，长进了！

乐陶猪 - 2009-8-4 22:57:00

[mfc43 / mfc43][Running/Auto Start]
<c:\windows\mfc43.exe><N/A>
[Qvod Terminal / Qvod Terminal][Stopped/Auto Start]
<E:\my things\q vod\QvodTerminal.exe><(File is missing)>

[PID: 528 / SYSTEM][\??\C:\WINDOWS\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.5512 (xpsp.080413-2113)]
[C:\WINDOWS\system32\COMRes.dll] [N/A, ]

[PID: 1408 / Administrator][C:\WINDOWS\Explorer.EXE] [, 1, 0, 0, 1]
[C:\WINDOWS\aboy.dll] [N/A, ]
[C:\WINDOWS\system32\COMRes.dll] [N/A, ]

[PID: 1236 / SYSTEM][c:\windows\mfc43.exe] [N/A, ]

==================================
进程特权扫描
特殊特权被允许： SeLoadDriverPrivilege [PID = 528, C:\WINDOWS\SYSTEM32\WINLOGON.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 1408, C:\WINDOWS\EXPLORER.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 376, C:\WINDOWS\TEMP\EXPLORER.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 376, C:\WINDOWS\TEMP\EXPLORER.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 1996, C:\WINDOWS\VM303_STI.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 1996, C:\WINDOWS\VM303_STI.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 488, C:\PROGRAM FILES\GRIDSERVICE\PEER.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 488, C:\PROGRAM FILES\GRIDSERVICE\PEER.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 876, C:\WINDOWS\SYSTEM32\LCHOST.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 876, C:\WINDOWS\SYSTEM32\LCHOST.EXE]
特殊特权被允许： SeDebugPrivilege [PID = 3160, E:\MY THINGS\杀毒工具\SRENG2\我爱小狮子.BAT]
特殊特权被允许： SeLoadDriverPrivilege [PID = 3160, E:\MY THINGS\杀毒工具\SRENG2\我爱小狮子.BAT]

瑞星卡卡安全论坛