Computer genstarter

Det gik lidt hurtigt :-) jeg tror filen hedder lsass.exe istedet. Og det der sker er at den tæller ned fra 45 sec og når den når nul så genstarter computeren, uden at jeg kan gøre noget

Sasser? Men den burde da være fundet af den helt nyeste sofus ikke?

Hent stinger til at fjerne sasser virus med, det er den, du har fanget.

http://vil.nai.com/vil/stinger/ -værsgo

Ja det lyder unægteligt som om den har noget sasser, men jeg har lige kørt Stinger på alle 4 hd drev, og den finder intet?

Har du prøvet med Ad-aware

nej det har jeg ikke

er det sandsynligt når den aldrig har været på internettet? Kun vores intranet (hvor selvfølgelig andre computere har adgang til internet!)

Om det er sandsynligt, hvis de andre har netadgang? JA

Hvis bare een maskine bliver ramt, vil den forsøge at inficere samtlige maskiner netværket.

re: hamderpolle.
En orm ja? men spyware (som kan findes med addaware)?

Følg vejledningen her:
Gå ind her og hent Spybot og Hijackthis.
http://www.spywarefri.dk/vaerktoj.htm
Installer og kør Spybot, opdater online, scan, afhjælp valgte problemer, genstart.
Derefter udpakker du Hijackthis og smider filen i en mappe, oprettet kun til den. Kør filen, scan, save log og kopier logfilen herind, så kigger vi på den. Lad være med at slette noget selv med Hijackthis, det kan skade mere end det gavner.

Manual for installering af hijackthis:
http://www.spywarefri.dk/hijackthis.man.htm

Nu tænkte jeg bare specifikt på sasser-ormen, da symptomet på den netop er lsass-nedlukning..

Ja det har jeg sidenhen læst, så det er lidt mærkeligt at der IKKE er sasser på maskinen, hverken Stinger eller Symantecs anti sasser tool finder noget

HVIS det er en orm, og du ikke finder noget, kan også skyldes at ormen ikke er kompatibel med lige netop denne Win2k version.. (der er mange hvis'er :)

øh det sidste der forstår jeg ikke helt. Hvis nu der er en orm og den er skyld i fejlen - men jeg ikke finder den med stinger, hvad så??

Det lyder som om problemet er lidt det samme som med Blaster-virus'en. Dit problem er at der er en anden maskine, der har virus og forsøger at inficere denne maskine. Det får lsass til at lukke ned, men virus'en kommer ikke ind og kan derfor ikke findes på maskinen. Når lsass lukker ned vil windows begynde nedlukningen som du oplever.
Så jeg vil foreslå at du, får opdateret den på windows update i en fart, så du kan slippe for de problemer. Alternativt kan du installere en firewall indtil du får den opdateret.

Det med firewall brugte vi faktisk med success på vores netværk, da vi fik en maskine indenfor med Blaster-virus. Vi lagde simpelthen Zonealarm på en maskine og kunne ½ time senere se ipaddressen på den inficerede pc der havde forsøgt at komme ind på den port som Blaster brugte, såvidt jeg husker var det 135.

http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx     Sasser updatefix
http://www.microsoft.com/downloads/details.aspx?displaylang=da&FamilyID=e70a0d8b-fe98-493f-ad76-bf673a38b4cf    Msblaster updatefix
Ja det er her, og det er da rigtig nok svært at forklare at du bliver angrebet udefra via internettet - selvom du ikke har sasser, men det sker.
Luk også dcom porten http://grc.com/files/DCOMbob.exe

Jeg er for dowen til at dowloade og intaller. Det jeg gøre er at jeg klikker på kør og skriver : shutdown -a

Så er den prut slået til en anden gang igen. hehe

sexpac, det skal du faktisk passe på med, bare at ignore en orm/virus. Som fremtiden ser ud, er det højst sandsynligt at udbyderne vil begynde at lukke deres kundes forbindelser ned, hvis disse misbruges til at sende virus ud..

Ok tak for svar. Jeg kan ikke få commandoen shutdown -a til at virke!! Det lader til at tonnybrandts svar med at det er en anden maskine der prøver at få adgang er rigtig, for jeg har nu fundet en orm på en anden maskine på nettet - og fjernet den. Den popper stadig op med fejlen så der er måske en 3. maskine (og ja jeg har opdateret windows nu!). svar smid nogle svar så får i point

Her kommer et fra mig.

boheme...  Ja du har ret men hvis man formater pc`en 1 gagne om måneden kan man få nok af det til sidst.... Men sådan er livet, har man en pc må man jo knokle for at få den til at kør...  :0)

og et fra mig, fik du installeret de updates?

Ny orm udnytter hul i Windows 

Korgo-ormene prøver at sprede sig via LSASS sårbarheden i Windows ligesom Sasser-ormene
 

Suzette Wagner Virus 112 - 10:27 - 24. jun. 2004 
 

IT-sikkerhedsnyhederne
er lavet i samarbejde med 

Der bliver ved med at dukke nye Korgo-varianter op.

En stadig strøm af Korgo-varianter spredes fortsat på internettet. Ormene varieres en smule hver gang de sendes ud. Eksempelvis pakkes de med forskellige pakkeprogrammer.

Korgo-ormene spreder sig via LSASS-sårbarheden i Windows. Microsoft udgav den 13. april i år en patch, der retter fejlen. På grund af Korgo-ormenes succes med at sprede sig, tyder det på, at der er mange, som ikke har opdateret deres computere.

Brugere, der endnu ikke har installeret patchen, anbefales at opdatere deres system enten via Windows Update http://windowsupdate.microsoft.com eller ved at hente og installere den manuelt fra
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

Når ormene finder en sårbar maskine, vil de lave et buffer overflow i LASESS.EXE processen og kopiere sig til det sårbare system. Når ormen prøver på at komme ind på et system, kan den fremkalde en fejlbesked på systemet, der siger at systemet genstarter om 60 sekunder i Windows 2000.

Men meget tyder på, at varianten Korgo.R (NAI) får computere til at genstarte, selvom computerne er fuldt opdaterede og ikke er inficeret med virus.

Mon dette var grunden til at Stinger ikke fandt den, altså at den er så ny??

Det tror jeg ikke. Vi havde besøg af den virus på vores netværk og ca 50 pc'ere begyndte at genstarte, men ingen af dem blev inficeret.

Men det passer vel meget godt med at der var en af maskinerne jeg ikke fandt noget på, men at den blev ved med at starte. For i øvrigt den der kommando med shutdown -a den virker ikke i windows2000 kun xp, ved i hvad man tilsvarende gør i win2000?

Mht. til shutdown-a kan man installere shutdown machine som installerer shutdown.exe for w2k. http://downloads-zdnet.com.com/3000-2344-10138258.html?tag=lst-0-1 - nu kan man køre en shutdown-a.
Desuden er det samme update du linker til som bruges til sasser (jvf mit link) , men tak for feedback på kargo-orme , har ikke hørt om det før.