谁能告诉我这个病毒的查杀方法？[已解决]

所有的EXE文件打不开，病毒防火墙自动关闭，杀毒软件打不开，文档能打开。EXE文件关联被修改，运行REGEDIT无响应，找到REGEDIT.EXE，改成REGEDIT.COM，运行后发现.exe项被修改成Windowsfile,改成exefile后正常，重新启动问题重现。用任务管理器查看进程发现有两个LSASS进程，一个大写，一个小写，两个都不能终止。再运行REGEDIT.COM发现启动项多了一个LASS.EXE文件，在WINDOWS\SYSTEM32目录找到这个文件，删除不掉。用NTSD命令终止两个LSASS进程，删除成功。再改回EXE文件关联，并删除启动项，重启后上网，故障依旧。。。。。。。。。。。。

我对此病毒束手无策，请问如何手动查杀（因EXE文件打不开）。


以下是网上介绍的查杀方法。

解决方法1.结束进程:调出windows务管理器(Ctrl+Alt+Del),发现通过简单的右击当前用户名的lsass.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;鼠标右键点击"任务栏"，选择"任务管理器"。点击菜单"查看(V)"－>"选择列(S)..."，在弹出的对话框中选择"PID（进程标识符）"，并点击"确定"。找到映象名称为"LSASS.exe"，并且用户名不是"SYSTEM"的一项，记住其PID号.点击"开始"－》“运行”，输入"CMD"，点击"确定"打开命令行控制台。输入"ntsd ?c q -p (PID)"，比如我的计算机上就输入"ntsd ?c q -p 1064".
2.删除病毒文件:以下要删除的文件大多是隐藏文件所以要首先设置显示所有的隐藏文件、系统文件并显示文件扩展名;我的电脑-->工具(T)-->文件夹选项(O)...-->查看-->选择"显示所有文件和文件夹",并把隐藏受保护的操作系统文件(推荐)前的勾去掉,这时会弹出一个警告,选择是.至此就显示了所有的隐藏文件了.
删除如下几个文件：

• C:\Program Files\Common Files\INTEXPLORE.pif
• C:\Program Files\Internet Explorer\INTEXPLORE.com
• C:\WINDOWS\EXERT.exe
• C:\WINDOWS\IO.SYS.BAK
• C:\WINDOWS\LSASS.exe
• C:\WINDOWS\Debug\DebugProgram.exe
• C:\WINDOWS\system32\dxdiag.com
• C:\WINDOWS\system32\MSCONFIG.COM
• C:\WINDOWS\system32\regedit.com

在D:盘上点击鼠标右键，选择“打开”。删除掉该分区根目录下的"Autorun.inf"和"command.com"文件.
3.删除注册表中的其他垃圾信息.这个病毒该写的注册表位置相当多，如果不进行修复将会有一些系统功能发生异常。

• 将Windows目录下的"regedit.exe"改名为"regedit.com"并运行，删除以下项目：
• HKEY_CLASSES_ROOT\WindowFiles
• HKEY_CURRENT_USER\Software\VB and VBA Program Settings
• HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
• 下面的 Check_Associations项
• HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• 下面的ToP项

• 将HKEY_CLASSES_ROOT\.exe的默认值修改为
• "exefile"(原来是windowsfile)
• 将HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
• 的默认值修改为
• "C:\Program Files\Internet Explorer\iexplore.exe" %1"
• (原来是intexplore.com)
• 将HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
• \shell\OpenHomePage\Command 的默认值修改为
• "C:\Program Files\Internet Explorer\IEXPLORE.EXE"(原来是INTEXPLORE.com)
• 将HKEY_CLASSES_ROOT \ftp\shell\open\command
• 和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command
• 的默认值修改为"C:\Program Files\Internet Explorer\iexplore.exe" %1"
• (原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)
• 将HKEY_CLASSES_ROOT \htmlfile\shell\open\command
• HKEY_CLASSES_ROOT\HTTP\shell\open\command的默认值修改为
• "C:\Program Files\Internet Explorer\iexplore.exe" ?nohome”
• 将HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
• 的默认值修改为"IEXPLORE.EXE".(原来是INTEXPLORE.pif)
  
  重新将Windows目录下的regedit扩展名改回exe，至此病毒清除成功，注册表修复完毕.
  

[ 本帖最后由 fixcomputer 于 2006-10-13 09:50 编辑 ]

这个我也遇到过,你杀毒装了的话可以右键C盘.杀..

"在WINDOWS\SYSTEM32目录找到这个文件，删除不掉"      那么终止掉LSASS进程你删除过没有？  终止掉LSASS进程还删除不了的话进安全模式呢？

第一步：在“开始→运行”中输入CMD，打开“命令提示符”窗口。

　　第二步：输入ftype exefile=notepad.exe %1，这句话的意思是将所有的EXE文件用“记事本”打开。这样原来的病毒就无法启动了。

　　第三步：重启电脑，你会看见打开了许多“记事本”。当然，这其中不仅有病毒文件，还有一些原来的系统文件，比如：输入法程序。

　　第四步：右击任何文件，选择“打开方式”，然后点击“浏览”，转到Windows\System32下，选择cmd.exe，这样就可以再次打开“命令提示符”窗口。

　　第五步：运行ftype exefile="%1" %*，将所有的EXE文件关联还原。现在运行杀毒软件或直接改回注册表，就可以杀掉病毒了。

　　第六步：在每一个“记事本”中，点击菜单中的“文件→另存为”，就可看到了路径以及文件名了。找到病毒文件，手动删除即可，但得小心，必须确定那是病毒才能删除。建议将这些文件改名并记下，重启后，如果没有病毒作怪，也没有系统问题，再进行删除，

　　◆最后介绍一下Ftype的用法

　　在Windows中，Ftype命令用来显示及修改不同扩展名文件所关联的打开程序。相当于在注册表编辑器中修改“HKEY_CLASSES_ROOT”项下的部分内容一样。

　　Ftype的基本使用格式为：Ftype [文件类型[=[打开方式/程序]]]

　　比如：像上例中的ftype exefile=notepad.exe %1，表示将所有文件类型为EXE(exefile表示为EXE类型文件)的文件都通过“记事本”程序打开，后面的%1表示要打开的程序本身(就是双击时的那个程序)。

　　ftype exefile="%1" %*则表示所有EXE文件本身直接运行(EXE 可以直接运行，所以用表示程序本身的%1即可)，后面的%*则表示程序命令后带的所有参数(这就是为什么EXE文件可以带参数运行的原因)。

学习一下