与其说SERVICES.EXE的手工查杀不如说是lssass.exe病毒的手工查杀,该木马运行后，用假SERVICES.EXE替换真正的系统程序services.exe(将C:Windowssystem32目录下的系统程序services.exe改名为hbaxcsnp.dll，移到C:Windowssystem32wins目录);C:Windowssystem32目录下的SERVICES.EXE变为木马程序。这个假冒的SERVICES.EXE文件大小与真的系统程序相同，只是MD5值不同。此外，还释放一个qrafgsy.dll到C:Windowssystem32目录下，此dll插在那个假冒的SERVICES.EXE进程中运行。
典型症状：
用IceSword查看进程列表时，可以发现两个services.exe进程。一个是dll图标(真正的系统进程;)，另一个是.exe图标(木马进程;)。用SRENG扫日志，唯一可见的异常是:
[PID: 628][C:Windowssystem32services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:Windowssystem32UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:Windowssystem32UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[PID: 1716][C:Windowssystem32services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:Windowssystem32UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:Windowssystem32UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:Windowssystem32qrafgsy.dll] [N/A, ]
注意：进程号为PID:1716的services.exe进程中有一个异常模块qrafgsy.dll。
说到这儿，有必要强调一个基本常识：真正的系统进程services.exe加载较早，其PID号不会太大。单凭进程号判断，也可知道PID: 1716的那个SERVICES.EXE是假的。
用IceSword的手工杀毒流程：
1、结束那个假冒的SERVICES.EXE进程。注意：千万不要结束那个DLL图标的services.exe进程(指向C:Windowssystem32winshbaxcsnp.dll)，否则，系统立即崩溃、重启。
2、删除C:Windowssystem32目录下的SERVICES.EXE和qrafgsy.dll。
3、将C:Windowssystem32winshbaxcsnp.dll改名为services.exe，拷回C:Windowssystem32目录。
4、重启系统。
