Board logo

标题: 有关lsass和smss病毒的解决方案！ [打印本页]
作者: 天天    时间: 2006-8-4 10:48     标题: 有关lsass和smss病毒的解决方案！

昨天晚上发现中了这两个病毒，不是说这俩病毒如何难缠，最要命这病毒能直接阻止各种杀毒工具的进程，让他们非法操作，关闭。
烦死了都，于是找叶子来帮忙，以下是详细过程：

lsass和smss，这俩进程都不是系统的，也就是说，管理器内有２个smss和lsass进程。
网速变慢，内存也明显有侵略的迹象，肯定这是病毒了。奇怪的是，卡吧司机居然没反映。
在一番操作后，司机终于被弄下岗，无法启动了，启用木马克星，显示非法操作，至此，机器里这俩杀毒软件全完。

考虑了半天，猜想这俩病毒肯定是跟机器里某些文件做了关联，而且通过大量修改注册表来关联一些常用指令来达到其重复启动不被关闭的目的。

运行cmd,使用ntsd -c q -p pid后，关闭了这俩进程，但是一会儿，这俩进程又出现了，反复几次过后，考虑在关闭进程后又做了些什么操作，记得只打开过D盘，决定看看D盘有什么被改变了。
打开D盘的时候，发现直接双击已经打不开了，右键点打打开，这就是问题了。

病毒关联了d盘的启动目录文件，解除文件隐藏，果然，d盘下有俩个生成的病毒文件在那。

反正叶子是通过以下办法手工清除的，我也没看明白：

1.结束进程:调出windows务管理器(Ctrl+Alt+Del),发现通过简单的右击当前用户名的lsass.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;鼠标右键点击"任务栏"，选择"任务管理器"。点击菜单"查看(V)"－>"选择列(S)..."，在弹出的对话框中选择"PID（进程标识符）"，并点击"确定"。找到映象名称为"LSASS.exe"，并且用户名不是"SYSTEM"的一项，记住其PID号.点击"开始"－》“运行”，输入"CMD"，点击"确定"打开命令行控制台。输入"ntsd –c q -p (PID)"，比如我的计算机上就输入"ntsd –c q -p 1064".

2.删除病毒文件:以下要删除的文件大多是隐藏文件所以要首先设置显示所有的隐藏文件、系统文件并显示文件扩展名;我的电脑-->工具(T)-->文件夹选项(O)...-->查看-->选择"显示所有文件和文件夹",并把隐藏受保护的操作系统文件(推荐)前的勾去掉,这时会弹出一个警告,选择是.至此就显示了所有的隐藏文件了.

删除如下几个文件[默认为XP下，如在2000下请把windows目录换成在WINNT目录]：

C:\Program Files\Common Files\INTEXPLORE.pif
C:\Program Files\Internet Explorer\INTEXPLORE.com
C:\WINDOWS\EXERT.exe
C:\WINDOWS\IO.SYS.BAK
C:\WINDOWS\LSASS.exe
C:\WINDOWS\Debug\DebugProgram.exe
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com


在D:盘上点击鼠标右键，选择“打开”。删除掉该分区根目录下的"Autorun.inf"和"command.com"文件.

3.删除注册表中的其他垃圾信息.这个病毒该写的注册表位置相当多，如果不进行修复将会有一些系统功能发生异常。

将Windows目录下的"regedit.exe"改名为"regedit.com"并运行，删除以下项目：


HKEY_CLASSES_ROOT\WindowFiles
HKEY_CURRENT_USER\Software\VB and VBA Program Settings
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
下面的 Check_Associations项
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
下面的ToP项


将HKEY_CLASSES_ROOT\.exe的默认值修改为
"exefile"(原来是windowsfile)
将HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
的默认值修改为
"C:\Program Files\Internet Explorer\iexplore.exe" %1"
(原来是intexplore.com)
将HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
\shell\OpenHomePage\Command 的默认值修改为
"C:\Program Files\Internet Explorer\IEXPLORE.EXE"(原来是INTEXPLORE.com)
将HKEY_CLASSES_ROOT \ftp\shell\open\command
和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command
的默认值修改为"C:\Program Files\Internet Explorer\iexplore.exe" %1"
(原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)
将HKEY_CLASSES_ROOT \htmlfile\shell\open\command
HKEY_CLASSES_ROOT\HTTP\shell\open\command的默认值修改为
"C:\Program Files\Internet Explorer\iexplore.exe" –nohome”
将HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
的默认值修改为"IEXPLORE.EXE".(原来是INTEXPLORE.pif)


重新将Windows目录下的regedit扩展名改回exe，至此病毒清除成功，注册表修复完毕.
其实好象改为com的时候会自动生成一个exe的，所以这里不改回去也没事
作者: 天天    时间: 2006-8-4 10:49

好像是没事了
反正我现在用着没事了
作者: 丢丢    时间: 2006-8-5 11:14

天天解决的还是叶子解决的?
作者: 风中落叶    时间: 2006-8-5 12:05

原帖由 丢丢 于 2006-8-5 11:14 发表
天天解决的还是叶子解决的?

叶子解决的
天天的电脑
作者: 丢丢    时间: 2006-8-5 12:23

原帖由 风中落叶 于 2006-8-5 12:05 发表

叶子解决的
天天的电脑





欢迎光临 工程家园 (http://heubbs.cn/) Powered by Discuz! 7.2