系统进程lsass.exe和病毒进程LSASS.EXE

executable-48x48 由于前段时间多种木马程序光临了我的电脑,所以最近会时不时的打开任务管理器察看一下,看看是否有什么奇怪的东西“不请自来”,结果一个lsass.exe的进程引起了我的注意。

注意标题中的lsass.exe和LSASS.EXE,假如你的任务中同时看到了这两个进程,那么恭喜你,你的电脑中招了。由系统执行的lsass.exe是“无害”的系统进程,用于微软Windows系统的安全机制,本地安全和登陆策略。单独出现lsass.exe那是正常的,不过出现了LSASS.EXE就说明你的电脑中了Windang.worm、irc.ratsou.b、Webus.B、MyDoom.L、Randex.AR、Nimos.worm病毒,或者是该病毒的变种。该病毒通过软盘(这个基本上绝种了吧?)、群发邮件和P2P文件共享进行传播。

如果不幸中招了,那也不要紧张,我们可以通过下面步骤手动清除它。

●打开“我的电脑”——工具——文件夹选项——查看

●把“隐藏受保护的操作系统文件(推荐)”和“隐藏已知文件类型的扩展名”前面的勾去掉;

●勾中“显示所有文件和文件夹”

●用Ctrl+Alt+Del调出windows务管理器,想通过右击当前用户名的LSASS.EXE(也有可能是小写的lsass.exe,但是注意是当前用户的)来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;点到任务管理器进程面版,点击菜单,”查看”-“选择列”,在弹出的对话框中选择”PID(进程标识符)”,并点击”确定”。找到映象名称为”LSASS.exe“,并且用户名不是”SYSTEM”的一项,记住其PID号.点击”开始”——运行,输入”CMD”,点击”确定”打开命令行控制台。

  输入”ntsd –c q -p (这里填写你在任务管理器里看到的LSASS.EXE的PID列的数字,是当前用户名进程的PID,别看错了)”,比如计算机上进程PID是2264,那就输入”ntsd –c q -p 2264″.这样进程就结束了。

▼如果结束了又会出现,那么用下面的方法

  进程里面有2个lsass.exe进程,一个是system的,一个是当前用户名的(该进程为病毒).

  用EWIDO可以直接禁止结束掉的

●上面主要是把进程中止,接下来是删除病毒文件

需要删除的文件有这么一些:
  C:/Program Files/Common Files/INTEXPLORE.pif (有的没有.pif)
  C:/Program Files/Internet Explorer/INTEXPLORE.com
  C:/WINDOWS/EXERT.exe
  C:/WINDOWS/IO.SYS.BAK
  C:/WINDOWS/LSASS.exe
  C:/WINDOWS/Debug/DebugProgram.exe
  C:/WINDOWS/system32/dxdiag.com
  C:/WINDOWS/system32/MSCONFIG.COM
  C:/WINDOWS/system32/regedit.com

●做的彻底一些,删除注册表中的其他垃圾信息,这一步工作如果你装有Free Window Registry Repair这样的注册表清理工具的话,那就不需要手动清除了,执行Free Window Registry Repair进行清理就可以了。下面是手动清除的需要删除的项目:
  1、HKEY_CLASSES_ROOT/WindowFiles
  2、HKEY_CURRENT_USER/Software/VB and VBA Program Settings
  3、HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main下面的 Check_Associations项
  4、HKEY_LOCAL_MACHINE/SOFTWARE/Clients/StartMenuInternet/INTEXPLORE.pif
  5、HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run 下面的ToP项

●修复注册表中被篡改的键值

  ①、将HKEY_CLASSES_ROOT/.exe的默认值修改为 “exefile”(原来是windowsfile)

  ②、将HKEY_CLASSES_ROOT/Applications/iexplore.exe/shell/open/command 的默认值修改为 “C:/Program Files/Internet Explorer/iexplore.exe” %1 (原来是intexplore.com)

  ③、将HKEY_CLASSES_ROOT/CLSID/{871C5380-42A0-1069-A2EA-08002B30309D} /shell/OpenHomePage/Command 的默认值修改为”C:/Program Files/Internet Explorer/IEXPLORE.EXE”(原来是INTEXPLORE.com)

  ④、将HKEY_CLASSES_ROOT /ftp/shell/open/command HKEY_CLASSES_ROOT/htmlfile/shell/opennew/command的默认值修改为”C:/Program Files/Internet Explorer/iexplore.exe” %1 (原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)

  ⑤、将HKEY_CLASSES_ROOT /htmlfile/shell/open/command 和HKEY_CLASSES_ROOT/HTTP/shell/open/command的默认值修改为”C:/Program Files/Internet Explorer/iexplore.exe” –nohome

  ⑥、将HKEY_LOCAL_MACHINE/SOFTWARE/Clients/StartMenuInternet 的默认值修改为”IEXPLORE.EXE”.(原来是INTEXPLORE.pif)

●关掉注册表编辑器,重新启动,这样就OK了~~~

9 thoughts on “系统进程lsass.exe和病毒进程LSASS.EXE”

  1. 郁闷,刚看还被你吓了一下,还说出现LSASS.EXE就中招了,我系统进程里就是这个,然后我搜索了一下你说的要删除的病毒文件,结果一个都没有,不知道是怎么回事呢??????????

  2. @光棍
    “注意标题中的lsass.exe和LSASS.EXE,假如你的任务中同时看到了这两个进程,那么恭喜你,你的电脑中招了。”
    两个你都有吗?

  3. 你好,有几个问题希望能得到你的帮助。
    我的电脑 也中招了,C盘只剩下300多M空间。我也发现我只有一个LSASS.EXE进程,是在SYSTEM下的,不知道是不是病毒呢?正常的应该是小写吗?我的那个进程全是大写字母。

  4. lsass.exe是微软本地安全认证服务进程,负责用户标识认证和强化安全的。它检查登陆进Windows的用户,处理变更密码和建立访问信息,包括基本的安全信息。它也被管理员用来更新密码和用户档案。
    详情请见http://www.wenjian.cn/xijie/lsass.exe.html

Leave a Reply

Your email address will not be published. Required fields are marked *