Hvorfor skal lsass.exe have internetadgang?

Det skal du nok blokkere, i sikkerheds branchen her der et stykke tid svirret rygter om en ny exploit i IIS, hvor lsass.exe udnyttes via RPC. Rygtet vil vide at en ny orm udnytter denne exploit.

Mit gæt er at du har fået denne virus.

Jeg vil anbefale at du scanner grundigt med en fuldt opdateret virus, og jeg ser på mine kanaler om der skulle være noget nyt info om denne exploit/orm

I denne securityfocus post står der bl. a noger om denne orm

http://www.securityfocus.com/archive/75/293294

Du kan prøve at søge med lsass.exe på http://www.securityfocus.com så kommer deren del posts, der beskriver symptomer, og vist også hvad der skal gøres

Hardening of IIS with the tools available at Microsoft and using URLSCAN
with the EXE blocking on will stop these attacks.

Patch, patch, patch, recheck the patches and use URLSCAN!

Jeg mener at have lokaliceret den vulnarability der er på tale, læs her

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0838
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-032.asp

Tusind tak for researchen. Det er da ren luksus. Mit (netop opdaterede) Anti-virusprogram fandt intet. Prøvede også med en onlinescanner uden resultat. Men nægtede internetadgang til filen og installerede den patch du anbefalede.

Med venlig hilsen

/mjj

takker for point, Hold øje med tingene og lad os høre hvad der sker