拜仁慕尼黑球迷联盟

标题: 手工删除LSASS病毒！ [打印本页]
作者: TTXS    时间: 2006-5-19 23:46
标题: 手工删除LSASS病毒！
<P>    该病毒是一个可以在WIN9X/NT/2000/XP等操作系统上运行的盗号木马。病毒会强行终止多种杀毒软件的进程，使其不能正常运行。) i9 b5 e! G/ p
这个病毒比较狠毒，手工清除较为复杂。请用户务必按照步骤严格操作，否则很可能出现无法清除干净的情况。建议一般用户最好使用杀毒软件来清除这个病毒。</P>
! N+ a  l' \* p$ s1 G. b+ f/ k$ X<P>手工删除：. n  S; j" P! }$ x* Y
一、      结束病毒进程9 L5 C% g2 z; e. ^* }
鼠标右键点击“任务栏”，选择“任务管理器”。点击菜单“查看”－&gt;“选择列”，在弹出的对话框中选择“PID（进程标识符）”，并点击“确定”。</P>& a: `3 Y6 g4 V2 w( i
<P>找到映象名称为“LSASS.exe”，并且用户名不是“SYSTEM”的一项，记住其PID号。
: _# ]7 `/ x. I      
8 m) p6 s" k; U! I     点击“开始”－》“运行”，输入“CMD”，点击“确定”打开命令行控制台。输入“ntsd –c q -p (PID)”，比如我的计算机上就输入“ntsd –c q -p 1944”。</P>0 o, I2 A+ S" b- p* f
<P>二、      删除病毒文件
" t  W1 E5 ^1 M- S) N/ p6 w; ]' C打开“我的电脑”，设置显示所有的隐藏文件、系统文件并显示文件扩展名。删除如下几个文件：" }/ G2 F( \! x5 h: [
C:\Program Files\Common Files\INTEXPLORE.pif、
& r0 e# Y5 x' {% i& d2 wC:\Program Files\Internet Explorer\INTEXPLORE.com、! a7 }6 |2 M4 Q, Z1 y
C:\WINDOWS\EXERT.exe、  M9 w2 z+ d0 C, e8 W
C:\WINDOWS\IO.SYS.BAK、* O: v& A( X: q9 Y  J) S$ d2 g  X" I
C:\WINDOWS\LSASS.exe、" p0 j' ?) e; ?  I
C:\WINDOWS\Debug\DebugProgram.exe、1 S$ ~' R! N  b: t. u* }
C:\WINDOWS\system32\dxdiag.com、
2 w9 r, {0 r( X7 i5 a1 q/ GC:\WINDOWS\system32\MSCONFIG.COM、) L/ v! q( H4 u8 L% }
C:\WINDOWS\system32\regedit.com</P>: z/ |1 @- B- l  \
<P>如果硬盘有其他分区，则在其他分区上点击鼠标右键，选择“打开”。删除掉该分区根目录下的“Autorun.inf”和“command.com”文件。3 H3 Z( |# j3 H5 a: d1 y2 F, A
      
3 f, F3 L! {; @2 U( _) s9 V5 M  l三、删除注册表中的其他垃圾信息
7 X* k$ N6 D9 [! B* A4 ]     这个病毒该写的注册表位置相当多，如果不进行修复将会有一些系统功能发生异常。</P>
6 ]7 p) \" @" S  S' B- Y" Y<P>     将Windows目录下的“regedit.exe”改名为“regedit.com”并运行，删除以下项目：
. X, @4 c/ [- x. C; h$ k& `     HKEY_CLASSES_ROOT\WindowFiles、5 k% Z, Z* T- j2 t
     HKEY_CURRENT_USER\Software\VB and VBA Program Settings、
2 R: J7 D+ F# t3 C3 u3 ^) R' p     HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main下面的      Check_Associations项、
1 [: {- W0 b' O: ]' c& m     HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif、: ]# q7 [1 }  G( N6 w/ ]! B2 A3 a6 \
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下面的ToP项。</P>8 f8 T, e0 I8 R' p9 M
<P>将HKEY_CLASSES_ROOT\.exe的默认值修改为“exefile”
% Z9 V; W2 q( p. I将HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command的默认值修改为“"C:\Program Files\Internet Explorer\iexplore.exe" %1”" h0 U1 `: I6 B3 \* `( g2 a
将HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command的默认值修改为“C:\Program Files\Internet Explorer\IEXPLORE.EXE”
; ^# c% g2 N! U& L0 ~5 m: A1 x% T: w将HKEY_CLASSES_ROOT\ftp\shell\open\command和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command的默认值修改为“"C:\Program Files\Internet Explorer\iexplore.exe" %1”- }5 a$ b2 _% x; H1 _& H: Q2 o2 H
将HKEY_CLASSES_ROOT\htmlfile\shell\open\command和HKEY_CLASSES_ROOT\HTTP\shell\open\command的默认值修改为“"C:\Program Files\Internet Explorer\iexplore.exe" –nohome”1 ]" F' f/ ~4 r4 U) Z' E7 o; d
将HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet的默认值修改为“IEXPLORE.EXE”。/ A6 L: F& Y6 C( k
重新将Windows目录下的regedit扩展名改回exe，至此病毒清除成功，注册表修复完毕。</P>



欢迎光临 拜仁慕尼黑球迷联盟 (http://bbs.fcbu.com/) Copyright 2004-拜仁联盟