LSASS

lsass.exe是一個系統重要進程，用於微軟Windows系統的安全機制。它用於本地安全和登入策略。如果結束該進程，會出現不可知的錯誤。注意：lsass.exe也有可能是Windang.worm、irc.ratsou.b、Webus.B、MyDoom.L、Randex.AR、Nimos.worm等病毒創建的，病毒通過軟碟、群發郵件和P2P檔案共享進行傳播。

基本介紹

• 中文名：LSASS
• 出品者：Microsoft Corp.
• 進程檔案：lsass 或者lsass.exe
• 類別：系統進程
• 作用：本地安全許可權服務

基本信息

進程檔案： lsass 或者lsass.exe

進程名稱： Local Security Authority Service

出品者： Microsoft Corp.

類別：系統進程

屬於： Microsoft Windows Operating System

因這個進程為系統進程，涉及到核心與用戶許可權相關的核心功能，無法通過任務管理器將其終止，如果強行結束將會出現倒計時關機的字樣，可以通過在運行框裡輸入 shutdown -a 命令來取消關機，但是系統將不能正常關機。

病毒判斷

如果你的啟動選單（開始-運行-輸入“msconfig”）里有個lsass.exe啟動項，那就證明你的lsass.exe是木馬病毒，中毒後，在進程里可以見到有兩個相同的進程，分別是lsass.exe和LSASS.EXE，同時在windows下生成LSASS.EXE和exert.exe兩個執行檔，且在後台運行，LSASS.EXE管理exe類執行檔案，exert.exe管理程式退出，還會在D糟根目錄下產生command.com和autorun.inf兩個檔案，同時侵入註冊表破壞系統檔案關聯。以下說一下本人對該病毒的殺法，以WIN98為例:打開IE屬性刪除cookies和所有脫機內容,啟動終止lsass.exe和exert.exe兩個進程，然後到windows目錄下刪除這兩個檔案，這兩個檔案是隱藏的，再到D：刪除command.com和autorun.inf兩個檔案，最後重啟電腦到DOS 運行，用scanreg/restore 命令來恢復註冊表，（如果不會的或者是XP系統不能用的可以用瑞星註冊表修復程式之類的軟體修復一下註冊表），重啟後進到WINDOWS桌面用防毒軟體（本人用金山毒霸2006）全面防毒，清除餘下的病毒！

lsass.exe錯誤界面

其實這也只是個治標不治本的方法，對付仿冒LSASS進程的處理相對是比較簡單，但是鏡像劫持該進程的話，可以用鏡像劫持修復工具進行修復，但是如果病毒注入了LSASS進程的話，處理就要複雜多了，建議重新裝下系統。

清除病毒

一、準備工作：

打開“我的電腦”——工具——資料夾選項——查看

a、把“隱藏受保護的作業系統檔案（推薦）”和“隱藏已知檔案類型的擴展名”前面的勾去掉；

b、選中“顯示所有檔案和資料夾”

二、結束進程

用Ctrl+Alt+Del調出windows任務管理器,想通過右擊當前用戶名的lsass.exe來結束進程是行不通的.會彈出該進程為系統進程無法結束的提醒框;

點到任務管理器進程面版，點擊選單，“查看”－“選擇列”，在彈出的對話框中選擇“PID（進程標識符）”，並點擊“確定”。找到映象名稱為“LSASS.exe”，並且用戶名不是“SYSTEM”的一項，記住其PID號.點擊“開始”——運行，輸入“CMD”，點擊“確定”打開命令行控制台。

輸入"taskkill /pid (此部分填寫你在任務管理器里看到的LSASS.EXE的PID列的數字，是當前用戶名進程的PID，別看錯了) /f"(別忘記空格)(如果結束了又會出現，那么你還是用下面的方法吧)

三、刪除病毒檔案

刪除如下幾個檔案： （與WIN2000的目錄有所不同）

C:\Program Files\Common Files\INTEXPLORE.pif/a/f/q

C:\Program Files\Internet Explorer\INTEXPLORE.com/a/f/q

C:\WINDOWS\EXERT.exe/a/f/q

C:\WINDOWS\IO.SYS.BAK/a/f/q

C:\WINDOWS\LSASS.exe/a/f/q

C:\WINDOWS\Debug\DebugProgram.exe/a/f/q

C:\WINDOWS\system32\dxdiag.com/a/f/q

C:\WINDOWS\system32\MSCONFIG.COM/a/f/q

C:\WINDOWS\system32\regedit.com/a/f/q

在D:盤上點擊滑鼠右鍵，選擇“打開”。刪除掉該分區根目錄下的“Autorun.inf”和“command.com”檔案.

刪除註冊表中的其他垃圾信息

將C:\WINDOWS目錄下的“regedit.exe”改名為“regedit.com”並運行，刪除以下項目：

1、HKEY_CLASSES_ROOT\WindowFiles

2、HKEY_CURRENT_USER\Software\VB and VBA Program Settings

3、HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 下面的 Check_Associations項

4、HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif

5、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面的ToP項

修復鍵值

1、將HKEY_CLASSES_ROOT\.exe的默認值修改為 “exefile”(原來是windowsfile)

2、將HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command 的默認值修改為 “C:\Program Files\Internet Explorer\iexplore.exe” %1 (原來是intexplore.com)

3、將HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} \shell\OpenHomePage\Command 的默認值修改為

“C:\Program Files\Internet Explorer\IEXPLORE.EXE”(原來是INTEXPLORE.com)

4、將HKEY_CLASSES_ROOT \ftp\shell\open\command 和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

的默認值修改為“C:\Program Files\Internet Explorer\iexplore.exe” %1 (原來的值分別是INTEXPLORE.com和INTEXPLORE.pif)

5、將HKEY_CLASSES_ROOT \htmlfile\shell\open\command 和

HKEY_CLASSES_ROOT\HTTPS\shell\open\command的默認值修改為

“C:\Program Files\Internet Explorer\iexplore.exe” –nohome

6、將HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet 的默認值修改為“IEXPLORE.EXE”.(原來是INTEXPLORE.pif)

六、收尾工作

關掉註冊表編輯器

將C:\WINDOWS目錄下的regedit.com改回regedit.exe，如果提示有重名檔案存在，不能更改，可以先將重命名的regedit.exe刪除，再將regedit.com改為regedit.exe。