lsass.exe是一个系统进程，用于微软Windows系统的安全机制。它用于本地安全和登入策略。注意：lsass.exe也有可能是Windang.worm、irc.ratsou.b、Webus.B、MyDoom.L、Randex.AR、Nimos.worm创建的，病毒通过软碟、群发邮件和P2P档案共享进行传播。
基本介绍
- 中文名：LSASS.exe进程病毒
- 进程档案： lsass orlsass.exe
- 进程类别：其他进程
- 系统进程：yes
简介
英文描述：
lsass.exe is a system process of the Microsoft Windows security mechanisms. It specifically deals with local security and login policies. Note: lsass.exe also relates to the Windang.worm, irc.ratsou.b, Webus.B, MyDoom.L, Randex. AR, Nimos.worm which
中文参考：
基本信息
进程档案： lsass orlsass.exe
进程名称： Local Security Authority Service
进程类别：其他进程
出品者：Microsoft Corp.
属于：Microsoft Windows Operating System
系统进程：Yes
后台程式：Yes
网路相关：Yes
常见错误：N/A
记忆体使用：N/A
安全等级 (0-5): 0
间谍软体：No
广告软体：No
病毒：No
症状
如果你的启动选单里有个lsass.exe启动项，那就证明你得lsass.exe木马病毒，中毒后，会在windows里产生lsass.exe和exert.exe两个病毒档案，还会在D糟根目录下产生command.com和autorun.inf两个档案，同时侵入注册表破坏系统档案关联。在进程里可以见到有两个相同的进程，分别是lsass.exet和LSASS.EXE.同时在windows下生成LSASS.EXE和exert.exe两个执行档，且在后台运行。LSASS.EXE管理exe类执行档案，exert.exe管理程式退出。
下载个进程管理器，找出问题进程的路径，手动终止LSASS.EXE和exert.exe两个进程（Windows自带的任务管理器不能终止LSASS.EXE,提示系统进程不能终止），打开msconfig.exe取消LSASS.EXE启动项。删除C:\Documents and Settings\Administrator\Local Settings\tempt和Temporary Internet Files下的档案,断开网路后再删除C:\Program Files\Common Files\update资料夹，这里exe类档案已不能运行，新建一个reg档案，输入如下内容：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe]
@="exefile"
"Content Type"="%1，%*"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\PersistentHandler]
@=""
或用工具恢复注册表。
以WIN98为例:
打开IE属性删除cookies和所有脱机内容,启动进程杀手终止lsass.exe和exert.exe两个进程，然后到windows目录下删除这两个档案，这两个档案是隐藏的，再到D：删除command.com和autorun.inf两个档案，最后重启电脑到DOS 运行，用scanreg/restore 命令来恢复注册表，（如果不会的或者是XP系统不能用的可以用瑞星注册表修复程式之类的软体修复一下注册表），重启后进到WINDOWS桌面用防毒软体（本人用金山毒霸2006）全面防毒，清除余下的病毒！
进程里面有2个lsass.exe进程，一个是system的，一个是当前用户名的（该进程为病毒）。双击D:盘打不开，只能通过右击选择打开来打开。用kaspersky扫描可以扫描出来，并且可以杀掉。但是重启后又有两个lsass.exe进程。该病毒是一个木马程式，中毒后会在D糟根目录下产生command.com和autorun.inf两个档案，同时侵入注册表破坏系统档案关联。该病毒修改注册表启动RUN键值，指向LSASS.exe，修改HKEY_CLASSES_ROOT下的。exe，exefile键值，并新建windowfile键值。将exe档案打开连结关联到其生成的病毒程式%SYSTEM\EXERT.exe上。
该病毒新建如下档案：
c:\newtro资料夹
c:\program files\common files\INTEXPLORE.pif
c:\program files\internet explorer\INTEXPLORE.com
%SYSTEM\debug\debugprogram.exe
%SYSTEM\system32\Anskya0.exe
%SYSTEM\system32\dxdiag.com
%SYSTEM\system32\MSCONFIG.com
%SYSTEM\system32\regedit.com
%SYSTEM\system32\LSASS.exe
%SYSTEM\system32\EXERT.exe
解决方法
一、準备工作：
打开“我的电脑”--工具--资料夹选项--查看
a、把“隐藏受保护的作业系统档案（推荐）”和“隐藏已知档案类型的扩展名”前面的勾去掉；
b、勾中“显示所有档案和资料夹”
二、结束进程
用Ctrl+Alt+Del调出windows务管理器,想通过右击当前用户名的lsass.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;
点到任务管理器进程面版，点击选单，"查看"－"选择列"，在弹出的对话框中选择"PID（进程标识符）"，并点击"确定"。找到映象名称为"LSASS.exe"，并且用户名不是"SYSTEM"的一项，记住其PID号.点击"开始"——运行，输入"CMD"，点击"确定"打开命令行控制台。
输入"ntsd –c q -p (此红色部分填写你在任务管理器里看到的LSASS.EXE的PID列的数字，是当前用户名进程的PID，别看错了)"，比如我的计算机上就输入"ntsd –c q -p 1064".这样进程就结束了
三、删除病毒档案
删除如下几个档案： （与WIN2000的目录有所不同）
C:\Program Files\Common Files\INTEXPLORE.pif （有的没有.pif）
C:\Program Files\Internet Explorer\INTEXPLORE.com
C:\WINDOWS\EXERT.exe
C:\WINDOWS\IO.SYS.BAK
C:\WINDOWS\LSASS.exe
C:\WINDOWS\Debug\DebugProgram.exe
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com
在D:盘上点击滑鼠右键，选择“打开”。删除掉该分区根目录下的"Autorun.inf"和"command.com"档案.
四、删除注册表中的其他垃圾信息
将C:\WINDOWS目录下的"regedit.exe"改名为"regedit.com"并运行，删除以下项目：
1、HKEY_CLASSES_ROOT\WindowFiles
2、HKEY_CURRENT_USER\Software\VB and VBA Program Settings
3、HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 下面的 Check_Associations项
4、HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif
5、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面的ToP项
五、修复注册表中被篡改的键值
1、将HKEY_CLASSES_ROOT\.exe的默认值修改为 "exefile"(原来是windowsfile)
2、将HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command 的默认值修改为 "C:\Program Files\Internet Explorer\iexplore.exe" %1 (原来是intexplore.com)
3、将HKEY_CLASSES_ROOT\CLSID\\shell\OpenHomePage\Command 的默认值修改为 "C:\Program Files\Internet Explorer\IEXPLORE.EXE"(原来是INTEXPLORE.com)
4、将HKEY_CLASSES_ROOT \ftp\shell\open\command HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command
的默认值修改为"C:\Program Files\Internet Explorer\iexplore.exe" %1 (原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)
5、将HKEY_CLASSES_ROOT \htmlfile\shell\open\command和HKEY_CLASSES_ROOT\HTTP\shell\open\command的默认值修改为"C:\Program Files\Internet Explorer\iexplore.exe" –nohome
6、将HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet 的默认值修改为"IEXPLORE.EXE".(原来是INTEXPLORE.pif)
六、收尾工作
关掉注册表编辑器
将C:\WINDOWS目录下的regedit.com改回regedit.exe