失之大小写，差之千×××——系统进程lsass.exe

  最近我的机器总是反映很慢，怀疑莫非是中了病毒！？所以最近会时不时的打开任务管理器察看一下，看看是否有什么奇怪的东西“不请自来”，结果一个lsass.exe的进程引起了我的注意。于是去百度搜了一下，一共和大家分享抗毒经验~~~

 

  注意标题中的lsass.exe和LSASS.EXE，假如你的任务中同时看到了这两个进程，那么恭喜你，你的电脑中招了。由系统执行的lsass.exe是“无害”的系统进程，用于微软Windows系统的安全机制，本地安全和登陆策略。单独出现lsass.exe那是正常的，不过出现了LSASS.EXE就说明你的电脑中了Windang.worm、irc.ratsou.b、Webus.B、MyDoom.L、Randex.AR、Nimos.worm病毒，或者是该病毒的变种。该病毒通过软盘（这个基本上绝种了吧？）、群发邮件和P2P文件共享进行传播。

如果不幸中招了，那也不要紧张，我们可以通过下面步骤手动清除它。

●打开“我的电脑”——工具——文件夹选项——查看

●把“隐藏受保护的操作系统文件(推荐)”和“隐藏已知文件类型的扩展名”前面的勾去掉;

●勾中“显示所有文件和文件夹”

●用Ctrl+Alt+Del调出windows务管理器,想通过右击当前用户名的LSASS.EXE(也有可能是小写的lsass.exe，但是注意是当前用户的)来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;点到任务管理器进程面版，点击菜单，”查看”-”选择列”，在弹出的对话框中选择”PID(进程标识符)”，并点击”确定”。找到映象名称为” LSASS.exe“，并且用户名不是”SYSTEM”的一项，记住其PID号.点击”开始”——运行，输入”CMD”，点击”确定”打开命令行控制台。

　　输入”ntsd –c q -p (这里填写你在任务管理器里看到的 LSASS.EXE的PID列的数字，是当前用户名进程的PID，别看错了)”，比如计算机上进程PID是2264，那就输入”ntsd –c q -p 2264″.这样进程就结束了。

▼如果结束了又会出现，那么用下面的方法

　　进程里面有2个 lsass.exe进程,一个是system的,一个是当前用户名的(该进程为病毒).

　　用EWIDO可以直接禁止结束掉的

●上面主要是把进程中止，接下来是删除病毒文件

需要删除的文件有这么一些：
　　C:/Program Files/Common Files/INTEXPLORE.pif (有的没有.pif)
　　C:/Program Files/Internet Explorer/INTEXPLORE.com
　　C:/WINDOWS/EXERT.exe
　　C:/WINDOWS/IO.SYS.BAK
　　C:/WINDOWS/ LSASS.exe
　　C:/WINDOWS/Debug/DebugProgram.exe
　　C:/WINDOWS/system32/dxdiag.com
　　C:/WINDOWS/system32/MSCONFIG.COM
　　C:/WINDOWS/system32/regedit.com

●做的彻底一些，删除注册表中的其他垃圾信息，这一步工作如果你装有Free Window Registry Repair这样的注册表清理工具的话，那就不需要手动清除了，执行Free Window Registry Repair进行清理就可以了。下面是手动清除的需要删除的项目：
　　1、HKEY_CLASSES_ROOT/WindowFiles
　　2、HKEY_CURRENT_USER/Software/VB and VBA Program Settings
　　3、HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main下面的 Check_Associations项
　　4、HKEY_LOCAL_MACHINE/SOFTWARE/Clients/StartMenuInternet/INTEXPLORE.pif
　　5、HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run 下面的ToP项

●修复注册表中被篡改的键值

　　①、将HKEY_CLASSES_ROOT/.exe的默认值修改为 “exefile”(原来是windowsfile)

　　②、将HKEY_CLASSES_ROOT/Applications/iexplore.exe/shell/open/command 的默认值修改为 “C:/Program Files/Internet Explorer/iexplore.exe” %1 (原来是intexplore.com)

　　③、将HKEY_CLASSES_ROOT/CLSID/{871C5380-42A0-1069-A2EA-08002B30309D} /shell/OpenHomePage/Command 的默认值修改为”C:/Program Files/Internet Explorer/IEXPLORE.EXE”(原来是INTEXPLORE.com)

　　④、将HKEY_CLASSES_ROOT /ftp/shell/open/command HKEY_CLASSES_ROOT/htmlfile/shell/opennew/command的默认值修改为”C:/Program Files/Internet Explorer/iexplore.exe” %1 (原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)

　　⑤、将HKEY_CLASSES_ROOT /htmlfile/shell/open/command 和HKEY_CLASSES_ROOT/HTTP/shell/open/command的默认值修改为”C:/Program Files/Internet Explorer/iexplore.exe” –nohome

　　⑥、将HKEY_LOCAL_MACHINE/SOFTWARE/Clients/StartMenuInternet 的默认值修改为”IEXPLORE.EXE”.(原来是INTEXPLORE.pif)

●关掉注册表编辑器,重新启动，这样就OK了~~~

 

 

本文转自： [url]http://blog.minidx.com/2008/01/26/442.html[/url]。 至此感谢。

职场 休闲 进程lsass.exe 病毒防护

0

分享

微博 QQ 微信

收藏

上一篇：vista的32位系统和64位系... 下一篇：windows7详细安装及性能体...

nowman

40篇文章，12W+人气，0粉丝

关注

Ctrl+Enter 发布

发布

取消

推荐专栏更多

带你玩转高可用

前百度高级工程师的架构高可用实战

共15章 | 曹林华

￥51.00 497人订阅

订   阅

基于Python的DevOps实战

自动化运维开发新概念

共20章 | 抚琴煮酒

￥51.00 499人订阅

订   阅

网工2.0晋级攻略 ——零基础入门Python/Ansible

网络工程师2.0进阶指南

共30章 | 姜汁啤酒

￥51.00 1878人订阅

订   阅

全局视角看大型园区网

路由交换+安全+无线+优化+运维

共40章 | 51CTOsummer

￥51.00 2173人订阅

订   阅

负载均衡高手炼成记

高并发架构之路

共15章 | sery

￥51.00 552人订阅

订   阅

猜你喜欢

我的友情链接 鄙人看高考最牛满分作文 linux下查看进程占用端口和端口占用进程命令 教你打包Java程序，jar转exe随处可跑 Linux下Tomcat的启动、关闭、杀死进程 linux查看进程占用cpu、内存、io信息 zabbix自动发现与监控内存和CPU使用率最高的进程 QQ飞行棋点数控制器V1.1 Cracked.exe Linux下如何查看进程准确启动时间 原来zabbix监控进程与端口是如此的简单! zabbix使用自动发现功能监控服务器各JVM进程状态 修改linux用户的可以打开的最大文件数和进程数(fork: retry: Resource temporarily unavailable) Zabbix 上Windows性能监控 该有的矜持---域控CPU长期飙60-80%问题源头确认过程 Windows server 2016 搭建RDS服务 kubernetes 存储卷与数据持久化 Windows 设置 VMware workstation 虚拟机开机启动 漫谈 Windows Server 管理工具 解决asp.net负载均衡时Session共享的问题 中小企业2018-2020年信息化环境运维及安全建议

扫一扫,领取大礼包

0

分享

关注

nowman