|
lssass.exe病毒是怎樣運作的
lssass.exe可能是個木馬（後門）一類的東東。這個木馬比較狡猾。處理時須仔細分辨真假。否則，容易上當！木馬運行後，用假SERVICES.EXE替換真正的系統程式services.exe（將C:\WINDOWS\system32\目錄下的系統程式services.exe改名為hbaxcsnp.dll，移到C:\WINDOWS\system32\wins\目錄）；C:\WINDOWS\system32\目錄下的SERVICES.EXE變為木馬程式。這個假冒的SERVICES.EXE檔大小與真的系統程式相同，只是MD5值不同。此外，還釋放一個qrafgsy.dll到C:\WINDOWS\system32\目錄下，此dll插在那個假冒的SERVICES.EXE進程中運行。中招後的典型症狀：用IceSword查看進程列表時，可以發現兩個services.exe進程。一個是dll圖示，另一個是.exe圖示。用SRENG掃日誌，唯一可見的異常是:[PID: 628][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)][C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1 .58][C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58][PID: 1716][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)][C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58][C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58][C:\windows\system32\qrafgsy.dll] [N/A, ]
|
