这是一个恶意修改工具。它属于木马的范畴，专门针对Thinkpad笔记本而设计，该毒能将低配置Thinkpad水货机甚至冒牌机的硬件配置数据修改得和高配置的正品行货一样。毒霸反病毒工程师的检查后发现，借助它的帮助，奸商们可以对从T43开始、到酷睿2时代的T60进行换芯仿冒。金山毒霸强烈建议使用上述机型的用户尽快对自己的电脑进行检查。

文件大小：265 KB (271,360 字节)加壳类型：无编写语言：Microsoft Visual C++ 6.0感染环境：Win 9X/ME/NT/2000/XP/2003
撰写日期：2008年11月14日

简介
发现有一批使用Thinkpad笔记本的用户，存在smssa.exe和smssb.exe，当关闭进程后，cpu频率显示异常，都比原始频率低，进过检测，其CPU被换，进过调查Thinkpad笔记本从T43开始到酷睿2时代的T60，已经有多个型号以多种形式被换芯，并通过刷bios和利用smssa.exe来进行掩盖。一般使用中，你不会发现换芯的笔记本与正常的有何区别。看系统属性，CPU信息正常、频率也正常，笔记本在一般使用中，因为Intel的 Speedstep技术还会降频，性能上也感觉不到多大差异。
出现问题的笔记本有以下共性：
都存在smssa.exe和smssb.exe两个进程，关闭后cpu频率降低。
在Bios中cpu显示正常，但其版本日期都为05年11月7日。
在smssa.Exe和smssb.Exe进程运行状态下，通过cpu-z等检测工具检测出来的值 都为修改后的值，且cpu信息那栏不停的闪动。
大多数问题都出现在水货Thinkpad笔记本。

原因分析
涉及文件
%sys32dir%\smssa.Exe
%sys32dir%\smssb.Exe
C:\DOCUME~1\ALLUSE~1\「开始~1\程序\启动\SMSSA.EXE
C:\DOCUME~1\ALLUSE~1\Startm~1\Programs\Startu\SMSSA.EXE(英文版)
%windir%\WINHLP32.EXE

涉及启动注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下 的System键值和Userinit键值。

具体细节（该样本是将cpu频率为1.4改为2.0）
创建互斥体“smss ter sys”，并判断是否存在，存在退出。

读取注册表
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System下SystemBiosDate键值，获 取当前bios的日期。判断是不是11/07/05（05年11月7日，说明这个Bios版本 更早，估计主版也被替换），不是退出。

c)通过GetSystemDirectoryA获取目录，并判断是否为"c:\windows\system"，是 则不检测bios的日期。（估计是判断9x系统，9x系统下没有SystemBiosDate键 值）

d)通过cpuid获得当前cpu的真实频率,并比较是否为替换芯的频率1.4，不是则 退出。

e)修改注册表
修改HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 下的~MHz键值，将其改为0x000007D0(2000)
将ProcessorNameString键值写入"Intel(R) Pentium(R) M processor
2.00GHz"
修改HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control
\Session Manager\Memory Management\PrefetchParameters下的
EnablePrefetcher键值默认为3，改为1，目的是减少预读，减少进度条等待时间。
修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
\Winlogon下的Userinit键值，在其后添加"smssb.exe,"
修改System键值，改为"C:\WINDOWS\system32\smssa.exe"

f)复制文件
将C:\DOCUME~1\ALLUSE~1\「开始~1\程序\启动\SMSSA.EXE（英文版为 C:\DOCUME~1\ALLUSE~1\Startm~1\Programs\Startu\SMSSA.EXE）复制到 %sys32dir%\smssa.Exe和%sys32dir%\smssb.Exe。
将"C:\WINDOWS\WINHLP32.EXE"拷贝到%sys32dir%\smssa.Exe和 %sys32dir%\smssb.Exe。
（C:\WINDOWS\WINHLP32.EXE和启动目录下的同为一个文 件，且dllcache目录 下WINHLP32.EXE正常，系统文件保护被关闭）

g)添加标记文件，循环改写窗口
查找"C:\WINLOGO.ini"，没找到将c:\windows\system32\append.Exe（为正常 文件）拷贝过去，并提权到"SeShutdownPrivilege"，调ExitWindowsEx重启 系统。 找到"C:\WINLOGO.ini"，则遍历所有窗口。
发现有一下窗口信息则通过PostMessageA发送WM_QUIT消息
"ASTRA32 - Advanced "
"AIDA32 - Enterprise "
"Windows优化大师显示卡和内存"
"WCPUID / CPU "
"Clear Info"
发现有一下窗口信息则通过PostMessageA发送WM_CLOSE消息
"FlashUpdate (1/4)"
"CPU Monitor"
"ThunderRT6FormDC"
"CPUInfo "
"THautForm"
"GCPUID "
"EVEREST "
"FreshDiagnose"
"DVD信息 属性"
"Log Console"
发现一下窗口信息则通过SetWindowTextA进行改写
"CPU-Z"
"英特尔(R) 处理器频率 ID"
"英特尔(R) 处理器标识实用程序"
"Intel(R) Processor Frequency"
"Intel(R) Processor Identification"
"DirectX Diagnostic Tool"
"CrystalCPUID "

解决方案
（特别注明：清理专家要写扩展才能处理个问题，目前正在开发中，有扩展测试会麻烦很多，估计下击才能出。暂时用清理专家搞不定这个问题）
使用金山系统急救箱安装后重启就能解决问题。

使用毒霸的升级到最新，可以查杀。

手工删除
a)文件
删除
%sys32dir%\smssa.Exe
%sys32dir%\smssb.Exe
C:\DOCUME~1\ALLUSE~1\「开始~1\程序\启动\SMSSA.EXE
C:\DOCUME~1\ALLUSE~1\Startm~1\Programs\Startu\SMSSA.EXE(英文版)
将dllcache目录下WINHLP32.EXE文件替换%windir%\WINHLP32.EXE文件

b)注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
\Winlogon
将Userinit键值中"smssb.exe,"字符串去掉。
删除System键值