瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: SREngLOG3.log

参考解决方案（摘自原求助帖）

可疑文件：
c:\windows\system32\e661be\1dc444.exe
c:\users\leonna\appdata\local\temp\e_n4\dp1.fne
c:\users\leonna\appdata\local\temp\e_n4\eapi.fne
c:\users\leonna\appdata\local\temp\e_n4\htmlview.fne
c:\users\leonna\appdata\local\temp\e_n4\internet.fne
c:\users\leonna\appdata\local\temp\e_n4\krnln.fnr
c:\users\leonna\appdata\local\temp\e_n4\shell.fne
c:\users\leonna\appdata\local\temp\e_n4\spec.fne
c:\windows\system32\2f0777\hx-2f077.exe
c:\windows\system32\2f0777\dp1.fne
c:\windows\system32\2f0777\eapi.fne
c:\windows\system32\2f0777\krnln.fnr

注册表启动项目：
[1DC444]    <C:\Windows\system32\E661BE\1DC444.EXE>
启动文件夹
[1DC444]    <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk>
[1DC444]    <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk>

那两个 exe 加载的东东没有问题吗？

看不懂

.fne
是什么类型的文件啊？

病毒文件
C:\Windows\system32\2F0777\HX-2F077.EXE
C:\Windows\System32\E661BE\1DC444.EXE
C:\Users\leonna\AppData\Local\Temp\E_N4\dp1.fne
C:\Users\leonna\AppData\Local\Temp\E_N4\eAPI.fne
C:\Users\leonna\AppData\Local\Temp\E_N4\HtmlView.fne
C:\Users\leonna\AppData\Local\Temp\E_N4\internet.fne
C:\Users\leonna\AppData\Local\Temp\E_N4\krnln.fnr
C:\Users\leonna\AppData\Local\Temp\E_N4\shell.fne
C:\Users\leonna\AppData\Local\Temp\E_N4\spec.fne
C:\Windows\system32\2F0777\dp1.fne
C:\Windows\system32\2F0777\eAPI.fne
C:\Windows\system32\2F0777\krnln.fnr

因为没有网  不得不在网吧下载回去慢慢 对答案

建议使用费尔删除以下文件：(费尔下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入（右键不检查路径导入）后在要删除文件上点击右键，选择立刻重启删除(请勾上“抑制再生”的选项），电脑会重启进入DOS界面进行删除操作。

c:\windows\system32\2f0777\hx-2f077.exe
c:\windows\system32\e661be\1dc444.exe
有个leonna易语言软件，确定是否可靠，否则删除下面几个
c:\windows\system32\2f0777\dp1.fne
c:\windows\system32\2f0777\eapi.fne
c:\windows\system32\2f0777\krnln.fnr
c:\users\leonna\appdata\local\temp\e_n4\dp1.fne
c:\users\leonna\appdata\local\temp\e_n4\eapi.fne
c:\users\leonna\appdata\local\temp\e_n4\htmlview.fne
c:\users\leonna\appdata\local\temp\e_n4\internet.fne
c:\users\leonna\appdata\local\temp\e_n4\krnln.fnr
c:\users\leonna\appdata\local\temp\e_n4\shell.fne

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[1DC444]    <C:\Windows\system32\E661BE\1DC444.EXE>

看答案

看一下答案了

老师辛苦了，:kaka1:

答案

答案

启动文件夹
  牙控制盘]
  <C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\蓝牙控制盘.lnk --> C:\PROGRA~1\Lenovo\BLUETO~1\BTTray.exe [Broadcom Corporation.]><N>
[1DC444]
  <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk --> C:\Windows\System32\E661BE\1DC444.EXE [N/A]><N>
[1DC444]
  <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk --> C:\Windows\System32\E661BE\1DC444.EXE [N/A]><N>
[蓝牙控制盘]
  <C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\蓝牙控制盘.lnk --> C:\PROGRA~1\Lenovo\BLUETO~1\BTTray.exe [Broadcom Corporation.]><N>

<1DC444><C:\Windows\system32\E661BE\1DC444.EXE>  []

  <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk --> C:\Windows\System32\E661BE\1DC444.EXE [N/A]><N>
[1DC444]


    [C:\Users\leonna\AppData\Local\Temp\E_N4\HtmlView.fne]  [N/A, ]
    [C:\Users\leonna\AppData\Local\Temp\E_N4\shell.fne]  [N/A, ]
    [C:\Users\leonna\AppData\Local\Temp\E_N4\dp1.fne]  [N/A, ]
    [C:\Users\leonna\AppData\Local\Temp\E_N4\eAPI.fne]  [N/A, ]
    [C:\Users\leonna\AppData\Local\Temp\E_N4\internet.fne]  [N/A, ]
    [C:\Users\leonna\AppData\Local\Temp\E_N4\spec.fne]  [N/A, ]

[PID: 5440 / leonna][C:\Windows\system32\2F0777\HX-2F077.EXE]  [N/A, ]
[C:\Windows\system32\2F0777\krnln.fnr]  [N/A, ]
  [C:\Windows\system32\2F0777\dp1.fne]  [N/A, ]
    [C:\Windows\system32\2F0777\eAPI.fne]  [N/A, ]

文件关联修复
host文件修复
\
我的神啊  越看日志头越大啊

看看答案~~

建议使用XDelBox删除以下文件
复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入,重启删除

c:\windows\system32\2f0777\hx-2f077.exe
c:\windows\system32\2f0777\dp1.fne
c:\windows\system32\2f0777\eapi.fne
c:\windows\system32\2f0777\krnln.fnr
c:\windows\system32\e661be\1dc444.exe
c:\users\leonna\appdata\local\temp\e_n4\dp1.fne
c:\users\leonna\appdata\local\temp\e_n4\eapi.fne
c:\users\leonna\appdata\local\temp\e_n4\htmlview.fne
c:\users\leonna\appdata\local\temp\e_n4\internet.fne
c:\users\leonna\appdata\local\temp\e_n4\krnln.fnr
c:\users\leonna\appdata\local\temp\e_n4\shell.fne
c:\users\leonna\appdata\local\temp\e_n4\spec.fne
c:\users\leonna\appdata\roaming\microsoft\windows\start menu\programs\startup\1dc444.lnk

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[1DC444]    <C:\Windows\system32\E661BE\1DC444.EXE>

    启动项目 －－　启动文件夹之如下项删除：
[1DC444]    <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk>
[1DC444]    <C:\Users\leonna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1DC444.lnk>
    系统修复－－ HOSTS文件－－重置
    另外修复文件关联

host文件若后两项是日记扫描者自己添加的，则不做修改，若不是建议将其重置

练习练习