lssass.exe查杀及图文分析

lssass.exe可能是个木马（后门）一类的东东。瑞星19.39.30病毒库查不到此毒。

　　这个木马比较狡猾。处理时须仔细分辨真假。否则，容易上当！

　　木马运行后，用假SERVICES.EXE替换真正的系统程序services.exe（将C:\WINDOWS\system32\目录下的系统程序services.exe改名为hbaxcsnp.dll，移到C:\WINDOWS\system32\wins\目录）；C:\WINDOWS\system32\目录下的SERVICES.EXE变为木马程序。这个假冒的SERVICES.EXE文件大小与真的系统程序相同，只是MD5值不同。此外，还释放一个qrafgsy.dll到C:\WINDOWS\system32\目录下，此dll插在那个假冒的SERVICES.EXE进程中运行。

　　中招后的典型症状：

　　用IceSword查看进程列表时，可以发现两个services.exe进程。一个是dll图标（真正的系统进程；图1），另一个是.exe图标（木马进程；图2）。用SRENG扫日志，唯一可见的异常是:


 [PID: 628][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[PID: 1716][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:\windows\system32\qrafgsy.dll] [N/A, ]

　　注意：进程号为PID:1716的services.exe进程中有一个异常模块qrafgsy.dll。
说到这儿，有必要强调一个基本常识：真正的系统进程services.exe加载较早，其PID号不会太大。单凭进程号判断，也可知道PID: 1716的那个SERVICES.EXE是假的。

　　用IceSword的手工杀毒流程：

　　1、结束那个假冒的SERVICES.EXE进程。注意：千万不要结束那个DLL图标的services.exe进程（指向C:\WINDOWS\system32\wins\hbaxcsnp.dll），否则，系统立即崩溃、重启。
　　2、删除C:\WINDOWS\system32\目录下的SERVICES.EXE和qrafgsy.dll（图3）。
　　3、将C:\WINDOWS\system32\wins\hbaxcsnp.dll改名为services.exe，拷回C:\WINDOWS\system32\目录。
　　4、重启。

赞 (0)

相关推荐

  • lssass.exe查杀及图文分析

    lssass.exe查杀及图文分析

    lssass.exe可能是个木马(后门)一类的东东.瑞星19.39.30病毒库查不到此毒. 这个木马比较狡猾.处理时须仔细分辨真假.否则,容易上当! 木马运行后,用假SERVICES.EXE替换真正的系统程序services.exe(将C:\WINDOWS\system32\目录下的系统程序services.exe改名为hbaxcsnp.dll,移到C:\WINDOWS\system32\wins\目录):C:\WINDOWS\system32\目录下的SERVICES.EXE变为木马程序.这个

  • u盘病毒清除 Discovery.exe查杀方法

    这是之前niu.exe病毒的最新变种,最近该病毒的新变种传播又有所抬头,希望大家注意. Quote: File: Discovery.exe Size: 74240 bytes Modified: 2008年2月2日, 0:03:34 MD5: 2DA55F2A36E852EE6FC96D34DD520979 SHA1: 44CE8F1C1A02591A88867F421C0C658B200D94C1 CRC32: E20E292D 1.病毒运行后,衍生如下副本及文件: Quote: %syst

  • mdesvc.exe后门查杀方法图文

    mdesvc.exe后门查杀方法图文

    病毒简介:      病毒名称:mdesvc.exe\Backdoor.Win32.IRCBot 中文别名:MSN蠕虫 文件长度:10752 byte 文件MD5:633fc2332287108885ba0633efd81601 依赖平台:Win 9X/ME/NT/2K/XP/2K3 病毒分析: 1.释放病毒副本: %Systemroot%\system32\mdesvc.exe 10752 字节 2.添加注册表,开机启动: HKEY_LOCAL_MACHINE\SOFTWARE\Microso

  • winasse.exe的手工查杀流程[图文]教程

    winasse.exe的手工查杀流程[图文]教程

    1.结束进程winasse.exe(路径:C:\WINDOWS\system32\winasse.exe)2.删除病毒添加的启动项(图1)3.删除下列文件及文件夹(图2)图1 图2

  • 美女游戏病毒iwbkvd.exe查杀方法

    按下F8進入安全模式. 一,運行PowerRmv,點擊"鎖定目標"在路徑c:\winnt\system32或者c:\windows\system32下找到severe.exe的文件,進行殺滅.iwbkvd.exe同樣.powerrmv網上有得下,您可以下載一個. 二,使用卡卡的IE修復功能進行IE修復 三,使用卡卡的啟動項管理功能查看病毒的登陸項進行刪除,并找到對應的病毒程序文件進行清除. 四,使用卡卡的啟動項管理功能查看病毒的應用程式劫持項進行刪除. 五,使用SREng修復系統的文件

  • 记事本U盘病毒 Notepad.exe查杀方法

    特征: 1,运行Notepad.exe后,%SYSTEMROOT%system32建立随机命名文件夹935F0D,释放C:\WINDOWS\system32\935F0D\96B69A.EXE, 2,在%USERPROFILE%「开始」菜单\程序\启动中建立图标为文件夹文件名为空格的快捷方式,指向c:\windows\system32\935f0d\96b69a.exe 3,添加启动到HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,指向c:\

  • 最新病毒结合auto.exe,游戏盗号木马下载者手工查杀microsofts.vbs

    最新病毒结合auto.exe,游戏盗号木马下载者手工查杀下面是启用病毒的代码microsofts.vbs 复制代码 代码如下: Set Lovecuteqq = CreateObject("Wscript.Shell") Lovecuteqq.run ("C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\microsofts.pif") 木马名称:Trojan-PSW/Win32.OnLineGames.lxt 路径:C:\WINDOWS\sys

  • 最新病毒变种sxs.exe及xeklsk.exe(柯南病毒)查杀方法

    通过u盘传播的病毒sxs.exe威力向来很大,曾经n个计算机被他搞垮~~其变种也日益翻新,花样白出~~机房电脑又中毒了...各盘符下有隐藏的文件,图标是柯南头像的sxs.exe及autorun,病毒系统进xeklsk.exe. 通过文件夹选项不能显示隐藏文件. 经过反复查找,此病毒乃最新变种,网上给出查杀方法的很少~现提供如下,仅作参考: ---- 解决方案: ***提示:杀毒过程中注意盘符不要双击,点鼠标右键"打开"!*** 1.结束进程xeklsk.exe,sxs.exe及其他可疑

  • wowexec.exe比较简单的查杀办法(毒霸就是wowexec.exe专杀工具)

    注意:wowexec.exe是系统进程,但是如果前面带一个空格,就是病毒.wowexec.exe病毒解决办法: 1.下载毒霸,并升级到最新病毒库,进入安全模式,关闭系统还原,查杀该病毒,下载地址::http://www.duba.net,避免感染病毒变种,引起文件或照片被破会: 一般第一步就可解决问题,建议大家安装360,这样对于添加注册表运行的功能就没有了,下面的操作也就不必要了.2.删除病毒的注册表键值,HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Window

  • md9.exe scvhost.exe 只木马下载者查杀方法

    从http://www.ittool.cn/d123.exe 下载病毒文件 它使用rar自解压文件,广告,病毒 等很多垃圾软件,很恶心 查杀方法:www.360safe.com 下载即可删除

随机推荐