这个马，瑞星今天最新的病毒库还查不到。多引擎扫描结果————也没几家报。
中招的，那就只好扫日志在别人的帮助下手工杀毒。是这样吧？
好了。下一个问题：用什么扫日志？autoruns？扫不出异常。HijackThis？更不行了！现在最流行的日志工具是SREng。那就用它扫个吧！
SREng日志中的异常项是这些：
1、服务[C85B5A86 / C85B5A86]
2、正在运行的进程[PID: 684][\??\C:\windows\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]
[PID: 1376][C:\windows\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]
由SREng日志可见，这东东够恶毒！插入了两个关键进程winlogon.exe和Explorer.EXE。
下一个问题：怎么动手杀？
根据这样的一份日志，一般思路是：先干掉它的服务项。重启后，删除：
C:\windows\system32\C85B5A86.EXE
C:\windows\system32\C85B5A86.DLL
好了。动手
重启。
重启后，核实一下效果（如下图）。汗！！那个服务项又回来了！！
接着，SSM报告：winlogon.exe要添加注册表项（如下图）。抓狂了吧？
可能的原因：（1）这东东监控注册表；（2）可能还有漏掉的注册表项。
打开注册表编辑器，搜吧。
搜索包含C85B5A86的注册表项。
有收获！
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services
C85B5A86
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
C85B5A86
看见了吧？本机以及当前用户两个分支下各有一个服务项C85B5A86！前面，根据SREng日志只删除了其中一个（应该是本机的那个）。
这下明白了。用IceSword搞吧！连服务项带病毒文件————咱给它来个“一勺烩”！
注：先删除服务也行；先删除文件也行。
重启。再检查一下效果。干净了。
[图文]杀毒专家baohe根据SRENG日志也难搞掂的一只木马及最终解决方法
您现在的位置：