→ linlin110:推 :D 11/03 22:01
推 allenhorse:很詳盡,辛苦大大了～～ 11/04 01:29
推 xiaooooooooo:謝謝~~~^^ 11/04 01:39
※ 編輯: blman 來自: 218.167.59.179 (11/04 12:20)
推 doogdoog:多謝！ 11/04 13:42
惡意程式分析工具(2) SREng
網頁：http://www.kztechs.com/sreng/index1.html
下載：http://download.kztechs.com/files/sreng2.zip
優點：可以發現許多可疑的程式，很詳盡。
缺點：功能強大，但人工分析費時，也容易漏看。
建議：適合當作第二個分析工具，輔助 HijackThis 不足之處。
如是否有惡意的 dll, hosts file，或 Autorun.inf 。
產生報告
執行後，選擇【Smart Scan/智慧掃描】，
然後勾選【Verify the digital signature of process modules】/
中文是【檢查進程模組的數位簽章】，並開始【Scan/掃描】。
結束後，按【Save Reports/保存報告】，會產生 SREngLOG.txt是純文字檔。
開啟後，將內容貼到網路空間上。
處理流程
分析產生的報告
↓
首先看是否有惡意的 dll: "Running Processes" 的區段
第1眼: 快速掃過未有廠商簽章的程序 (1)
第2眼: 看是否有可疑的程序名稱 (2)
↓
第二步: Winsock Provider 區段
看是否有惡意程式 (3)
↓
第三步: Autorun.inf 區段
看是否有惡意的自動執行檔 (3)
↓
第四步: HOSTS file 區段
看是否有惡意的 DNS 指向 (3)
↓
第五步: Process Privileges Scan 區段
看是否有惡意的程序 (3)
↓
第六步: API HOOK 區段
看是否有惡意的 API HOOK (3)
↓
第七步: Hidden Process 區段
看是否有惡意的隱藏程序在執行 (3)
↓
初步分析完成，若有很多時間可全篇分析
↓
完成
說明
(1) 廠商簽章會顯示在每個檔案後面，往往惡意程式都沒有簽章
型式如下：
[C:\Program Files\WinRAR\rarext.dll] [N/A, ]
[C:\Program Files\avp.exe] []
注意: 並非沒有簽章都是惡意程式；反之有簽章也未必是正常程式。
(2) 惡意程式有時會產生很奇怪的檔名，如：
[C:\WINDOWS\Dll42DF534D.dll] [N/A, ]
(3) 如果不懂是哪個程式，可上 http://www.google.com/ 查詢資料。
實戰
如果你拿到以下的 SREng Log 。你會怎麼處理？
http://antbsd.twbbs.org/~ant/antivirus/tutorial/SREng_Sample1.txt
解答
有問題的程序為：
執行 SREng，
1. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><e1.dll> [N/A]
左邊點選 "Boot Items"，然後在右邊的頁籤選擇 "Registry"，
找到 AppInit_DLLs 的項目，將值清空。
注意: AppInit_DLLs 的項目不能刪除，否則可能會有問題，只能清空。
2. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<myZt1><C:\DOCUME~1\Users\LOCALS~1\Temp\Zt1\SVCH0ST.EXE> [N/A]
左邊點選 "Boot Items"，然後在右邊的頁籤選擇 "Registry"，
找到 myZt1 的項目，將值刪除 delete → Yes。
3. [PID: 884 / NETWORK SERVICE][C:\WINDOWS\system32\svchost.exe] [Micro...
[C:\WINDOWS\system32\od3mdi.dll] [N/A, ]
[PID: 1596 / Wus][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation,
[C:\WINDOWS\system32\od3mdi.dll] [N/A, ]
[C:\WINDOWS\ZFTMP\ZMenu9861.DLL] [N/A, ]
[PID: 508 / Wus][C:\Documents and Settings\Wus\桌面\SREng.PIF] [Smal...
[C:\WINDOWS\system32\od3mdi.dll] [N/A, ]
SREng 不支援直接砍檔，可以下載 icesword 來刪除。
http://mail.ustc.edu.cn/%7Ejfpan/download/IceSword122en.zip
如果系統是 Vista 則下載
http://202.38.64.10/%7Ejfpan/download/is120en_vista.zip
執行後，點選左邊欄下方的 "file"，然後找到該檔案的路徑，
右鍵點選該檔案 → "delete"。
4. MSAFD Tcpip [TCP/IP]
C:\WINDOWS\system32\od3mdi.dll(, N/A)
MSAFD Tcpip [RAW/IP]
C:\WINDOWS\system32\od3mdi.dll(, N/A)
SREng 左邊點選 "System Repair"，然後在右邊的頁籤選擇 "Winsock provider"，
找到上面的項目後，按右下方的 "Delete Selected"。
5. HOSTS File
SREng 左邊點選 "System Repair"，然後在右邊的頁籤選擇 "HOSTS file"，
只留下 "127.0.0.1 localhost"，
注意: 並不是每次都只留 localhost。
補充
關於解答的第4項，於前一篇 HijackThis 一樣，在處理 WinSock 時，
有兩種解決方式。
1. 在刪除 WinSock 前，Windows XP 版本請先下載 WinSockXPFix
http://www.pchell.com/downloads/WinsockXPFix.exe
Windows 2000 以前版本請下載 WinSockFix
http://www.softpedia.com/get/Tweak/Network-Tweak/WinSockFix.shtml
在修復後若發現無法上網，則使用這些工類修復。
2. 不使用 SREng 刪除，改用 LSP-Fix 修復。
http://cexx.org/lspfix.htm
執行後，勾選 "I know what I'm doing"，然後在左邊選擇有問題的清單，
再按中間的 ">>" 鍵將項目移到右邊，最後按右下角的 "finish >>" 即可。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 218.167.59.179