lssass.exe可能是个木马（后门）一类的东东。瑞星19.39.30病毒库查不到此毒。
这个木马比较狡猾。处理时须仔细分辨真假。否则，容易上当！
木马运行后，用假SERVICES.EXE替换真正的系统程序services.exe（将C:\WINDOWS\system32\目录下的系统程序services.exe改名为hbaxcsnp.dll，移到C:\WINDOWS\system32\wins\目录）；C:\WINDOWS\system32\目录下的SERVICES.EXE变为木马程序。这个假冒的SERVICES.EXE文件大小与真的系统程序相同，只是MD5值不同。此外，还释放一个qrafgsy.dll到C:\WINDOWS\system32\目录下，此dll插在那个假冒的SERVICES.EXE进程中运行。

中招后的典型症状：
用IceSword查看进程列表时，可以发现两个services.exe进程。一个是dll图标（真正的系统进程；图1），另一个是.exe图标（木马进程；图2）。用SRENG扫日志，唯一可见的异常是:
[PID: 628][C:\windows\system32\services.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\windows\system32\UmxSbxExw.dll]  [Computer Associates International, Inc., 6.0.1.58]
    [C:\windows\system32\UmxSbxw.dll]  [Computer Associates International, Inc., 6.0.1.58]
[PID: 1716][C:\windows\system32\services.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\windows\system32\UmxSbxExw.dll]  [Computer Associates International, Inc., 6.0.1.58]
    [C:\windows\system32\UmxSbxw.dll]  [Computer Associates International, Inc., 6.0.1.58]
    [C:\windows\system32\qrafgsy.dll]  [N/A, ]
注意：进程号为PID:1716的services.exe进程中有一个异常模块qrafgsy.dll。
说到这儿，有必要强调一个基本常识：真正的系统进程services.exe加载较早，其PID号不会太大。单凭进程号判断，也可知道PID: 1716的那个SERVICES.EXE是假的。

用IceSword的手工杀毒流程：
1、结束那个假冒的SERVICES.EXE进程。注意：千万不要结束那个DLL图标的services.exe进程（指向C:\WINDOWS\system32\wins\hbaxcsnp.dll），否则，系统立即崩溃、重启。
2、删除C:\WINDOWS\system32\目录下的SERVICES.EXE和qrafgsy.dll（图3）。
3、将C:\WINDOWS\system32\wins\hbaxcsnp.dll改名为services.exe，拷回C:\WINDOWS\system32\目录。
4、重启系统。

图1

[用户系统信息]Opera/9.20 (Windows NT 5.1; U; zh-cn)

图2

图3

引用:

【HOSTのS的贴子】移花接木？ 顺便问一下猫叔  如何看出真正的services.exe被移动到C:\WINDOWS\system32\wins\ ………………

如果不是用Tiny监控木马植入过程，很容易将C:\WINDOWS\system32\wins\下的dll当作木马删除。如果真上当了，到时候，就只有哭的份儿了。

PS：其实，Tiny的监控也只是告诉用户木马在C:\WINDOWS\system32\wins\下建立了一个dll。我怀疑木马捣鬼，将这个dll与真正的services.exe（dllcache文件夹中也有）比较了一下文件大小及其MD5，才断定它是真正的services.exe。

引用:

【hotboy的贴子】这马是什么目的，窃取什么的 ………………

据说是专门偷A片的。你要小心了

引用:

【Enix的贴子】为什么我这个进程中正常的和不正常的模块都没有？？ ………………

这取决于你安装的软件。
我的services.exe进程中的那两个正常模块是Tiny防火墙的。

引用:

【我是大大山的贴子】我只有一个services.exe（小写），可是它在C:\WINDOWS\System32\services.exe(小写）?????变种？？？？？ ………………

C:\WINDOWS\System32\services.exe——系统程序。正常的。

引用:

【日不懂啊的贴子】 哥哥，删了，系统会不会崩溃 ………………

是地！如果上来就把hbaxcsnp.dll当病毒删除，系统会倒计时重启。
仔细看看IceSword进程列表那张图就明白了。这个病毒的阴险之处就在这里——引诱中招用户删除系统核心程序services.exe。