Virus i LSASS.exe

http://www.liutilities.com/products/wintaskspro/processlibrary/lsass/

Det skulle ikke være en virus

Det er en vigtig fil i Windows, så du skal bestemt ikke slette den (det giver Windows dig sandsynligvis slet ikke lov til). Men vi kan ikke fortælle dig hvordan du fjerner en virus hvis du ikke oplyser hvilken virus der er tale om. Hvis lsass.exe er inficeret, er der nok også andre filer på din computer som ligeledes er blevet inficeret.

Virussen hedder Win32/Parite

Prøv om deres scan online kan fjerne den-det skriver de: http://www.btinternet.com/~chris.heaton/mcafee/mcafee.htm

Virker ikk´;(

Parite er rimelig udbredt. Jeg havde den selv for en måned siden og det endte med at jeg måtte formatere og geninstallere fordi min Windows-installation var helt fucked..

Den inficerer bl.a. alle exe-filer, men efter rensningen var det ikke alle exe-filer som overhovedet kunne køres. Jeg fik bare en besked om "x er ikke et gyldigt Win32 program"

Du kan læse beskrivelse af virusen her:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=PE_PARITE.A
http://www.f-secure.com/v-descs/parite.shtml
http://vil.nai.com/vil/content/v_99690.htm
http://securityresponse.symantec.com/avcenter/venc/data/w32.pinfi.html

"Virker ik" er nok den dårligste kommentar der er mulig at skrive.. :)
Forklar hvad der er galt

Men du kan da godt prøve at hente CA eTrust Antivirus og se om du kan få virusen fjernet. Det er da et forsøg værd

http://www.my-etrust.com/microsoft/

Det kommer lidt an på hvor den ligger henne. Det nemmeste at se om det er snavs er via en hijackthis, for der er også en systemfil der hedder LSASS.exe

Hent hijackthis : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link :         http://www.merijn.org/files/HijackThis.exe

den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.

DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...

Det der online scan kunne slet ikke finde den virus, men den fandt noget andet. Hvad er en .tmp fil?

Logfile of HijackThis v1.97.7
Scan saved at 11:32:00, on 08-01-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\system32\spoolsv.exe
D:\WINNT\System32\Ati2evxx.exe
D:\PROGRA~1\Grisoft\AVG6\avgserv.exe
D:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
D:\WINNT\System32\svchost.exe
D:\mysql\bin\mysqld-nt.exe
D:\WINNT\system32\regsvc.exe
D:\WINNT\system32\MSTask.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\System32\svchost.exe
D:\WINNT\Explorer.EXE
D:\WINNT\Mixer.exe
D:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
D:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
D:\Program Files\Winamp\winampa.exe
D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
D:\WINNT\system32\internat.exe
D:\Program Files\MSN Messenger\MsnMsgr.Exe
D:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
D:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
D:\Program Files\Hewlett-Packard\hp psc 700 series\bin\hpodev07.exe
D:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
D:\PROGRA~1\Grisoft\AVG6\avgw.exe
D:\PROGRA~1\HEWLET~1\HPPSC7~1\bin\hpoevm07.exe
D:\Program Files\Hewlett-Packard\hp psc 700 series\bin\HPOSTS07.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\Program Files\Outlook Express\msimn.exe
D:\antivirus\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [ServiceLayer] D:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] D:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [HPAIO_PrintFolderMgr] D:\WINNT\system32\spool\DRIVERS\W32X86\hpoopm07.exe
O4 - HKLM\..\Run: [WinampAgent] D:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroCheck] D:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVG_CC] D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: BTTray.lnk = D:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
O4 - Global Startup: HPAiODevice.lnk = D:\Program Files\Hewlett-Packard\hp psc 700 series\bin\hpodev07.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Send To &Bluetooth - D:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Create Mobile Favorite (HKLM)
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: @btrez.dll,-4015 (HKLM)
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37860.9772569444
O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://www.eb.dk/codekstra/cabs/cssweb.cab
O16 - DPF: {CF392BE0-B84F-46E9-BDA9-845119819119} (IPAQSelfHelp Class) - http://instantsupport.europe.hp.com/awebui/jsp/answerweb/applets/ISPEIPAQTool.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/1,5,0,4313/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B700404D-C9EF-42CC-A011-FD82D9FA42CC}: NameServer = 193.162.153.164,194.239.134.83

Jeg kan se du har installeret Grisoft AVG. Kan du ikke fjerne virusen med det program? :)

Nej det har jeg prøvet

Da, den ikke ligger i din startup, er den næsten sikkert ikke en virus.

Loggen er ren.

Tag online scan med housecall og panda
http://www.spywarefri.dk/onlinevark.htm

Fortæl hvad den finder

Prøv at scanne LSASS.exe her:
http://www.kaspersky.com/remoteviruschk.html

panda fandt
Incident                      Status                        Location                                                                                                                                                                                                                                                       

W32/Parite.B                  No disinfected                Operating system

Den burde stinger snuppe.
http://vil.nai.com/vil/stinger/

Jeg tror bare at jeg lader den være. Det er i følge AGV den eneste virus for er i mit system. Tak for hjælpen alle sammen :-)