LSASS

進程文件： lsass 或者lsass.exe

進程名稱： Local Security Authority Service

出品者： Microsoft Corp.

類別：系統進程

屬於： Microsoft Windows Operating System

因這個進程為系統進程，涉及到核心與用户權限相關的核心功能，無法通過任務管理器將其終止，如果強行結束將會出現倒計時關機的字樣 ^[1]  ，可以通過在運行框裏輸入 shutdown -a 命令來取消關機，但是系統將不能正常關機。

如果你的啓動菜單（開始-運行-輸入“msconfig”）裏有個lsass.exe啓動項，那就證明你的lsass.exe是木馬病毒，中毒後，在進程裏可以見到有兩個相同的進程，分別是lsass.exe和LSASS.EXE，同時在windows下生成LSASS.EXE和exert.exe兩個可執行文件，且在後台運行，LSASS.EXE管理exe類執行文件，exert.exe管理程序退出，還會在D盤根目錄下產生command.com和autorun.inf兩個文件，同時侵入註冊表破壞系統文件關聯。以下説一下本人對該病毒的殺法，以WIN98為例:打開IE屬性刪除cookies和所有脱機內容,啓動終止lsass.exe和exert.exe兩個進程，然後到windows目錄下刪除這兩個文件，這兩個文件是隱藏的，再到D：刪除command.com和autorun.inf兩個文件，最後重啓電腦到DOS 運行，用scanreg/restore 命令來恢復註冊表，（如果不會的或者是XP系統不能用的可以用瑞星註冊表修復程序之類的軟件修復一下註冊表），重啓後進到WINDOWS桌面用殺毒軟件（本人用金山毒霸2006）全面殺毒，清除餘下的病毒！

其實這也只是個治標不治本的方法，對付仿冒LSASS進程的處理相對是比較簡單，但是鏡像劫持該進程的話，可以用鏡像劫持修復工具進行修復，但是如果病毒注入了LSASS進程的話，處理就要複雜多了，建議重新裝下系統。

一、準備工作：

打開“我的電腦”——工具——文件夾選項——查看

a、把“隱藏受保護的操作系統文件（推薦）”和“隱藏已知文件類型的擴展名”前面的勾去掉；

b、選中“顯示所有文件和文件夾”

二、結束進程

用Ctrl+Alt+Del調出windows任務管理器,想通過右擊當前用户名的lsass.exe來結束進程是行不通的.會彈出該進程為系統進程無法結束的提醒框;

點到任務管理器進程面版，點擊菜單，“查看”－“選擇列”，在彈出的對話框中選擇“PID（進程標識符）”，並點擊“確定”。找到映象名稱為“LSASS.exe”，並且用户名不是“SYSTEM”的一項，記住其PID號.點擊“開始”——運行，輸入“CMD”，點擊“確定”打開命令行控制枱。

輸入"taskkill /pid (此部分填寫你在任務管理器裏看到的LSASS.EXE的PID列的數字，是當前用户名進程的PID，別看錯了) /f"(別忘記空格)(如果結束了又會出現，那麼你還是用下面的方法吧)

三、刪除病毒文件

刪除如下幾個文件： （與WIN2000的目錄有所不同）

C:\Program Files\Common Files\INTEXPLORE.pif/a/f/q

C:\Program Files\Internet Explorer\INTEXPLORE.com/a/f/q

C:\WINDOWS\EXERT.exe/a/f/q

C:\WINDOWS\IO.SYS.BAK/a/f/q

C:\WINDOWS\LSASS.exe/a/f/q

C:\WINDOWS\Debug\DebugProgram.exe/a/f/q

C:\WINDOWS\system32\dxdiag.com/a/f/q

C:\WINDOWS\system32\MSCONFIG.COM/a/f/q

C:\WINDOWS\system32\regedit.com/a/f/q

在D:盤上點擊鼠標右鍵，選擇“打開”。刪除掉該分區根目錄下的“Autorun.inf”和“command.com”文件.

刪除註冊表中的其他垃圾信息

將C:\WINDOWS目錄下的“regedit.exe”改名為“regedit.com”並運行，刪除以下項目：

1、HKEY_CLASSES_ROOT\WindowFiles

2、HKEY_CURRENT_USER\Software\VB and VBA Program Settings

3、HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 下面的 Check_Associations項

4、HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif

5、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面的ToP項

1、將HKEY_CLASSES_ROOT\.exe的默認值修改為 “exefile”(原來是windowsfile)

2、將HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command 的默認值修改為 “C:\Program Files\Internet Explorer\iexplore.exe” %1 (原來是intexplore.com)

3、將HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} \shell\OpenHomePage\Command 的默認值修改為

“C:\Program Files\Internet Explorer\IEXPLORE.EXE”(原來是INTEXPLORE.com)

4、將HKEY_CLASSES_ROOT \ftp\shell\open\command 和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

的默認值修改為“C:\Program Files\Internet Explorer\iexplore.exe” %1 (原來的值分別是INTEXPLORE.com和INTEXPLORE.pif)

5、將HKEY_CLASSES_ROOT \htmlfile\shell\open\command 和

HKEY_CLASSES_ROOT\HTTPS\shell\open\command的默認值修改為

“C:\Program Files\Internet Explorer\iexplore.exe” –nohome

6、將HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet 的默認值修改為“IEXPLORE.EXE”.(原來是INTEXPLORE.pif)

六、收尾工作

關掉註冊表編輯器

將C:\WINDOWS目錄下的regedit.com改回regedit.exe，如果提示有重名文件存在，不能更改，可以先將重命名的regedit.exe刪除，再將regedit.com改為regedit.exe。