LSASS fejl , lukker min putter ned

Det er sikkert sasser.

Hent en hijackthis : http://www.arlet.dk/hjt.htm

Hvis du ikke kan nå det, så


1. Klik start og klik kør
2. Skriv i feltet : shutdown -a

så genstarter den ikke mere

Takker vil prøve med det samme
MEN Hvis det er Sasser
Hvordan F... er den kommet ind på putteren ??
Har brugt de samme cd'er mange gange før
Det er det der undre mig *S*
Kommer straks tilbage

arlet >>  jeg lægger lige vejledningen i at fjerne Sasser her:
http://www.hcma.dk/blaster_sasser.htm#sasser

Du bør med det samme sætte firewall på netkortsforbindelsen idet det er den vej du bliver angrebet.
Klik start | indstillinger | netværksforbindelser | lanforbindelse | egenskaber, på fanebladet avanceret sætter du et hak i den øverste "Beskyt computeren og netv ....".
Så kan du ikke angribes mere, og vi kan så se i HiJackThis loggen om den faktisk kom ind. Det er nemlig ikke sikkert.

catbody -> Kender godt den vejledning*S* også den med stinger. Syntes bare at jeg nu et par gange ikke kunne fjerne den med det tool eller stinger, derfor er jeg gået tilbage til hijackthis loggen, hvor det er rimelig nemt at se om den er der..

hverken stinger eller hijack finder noget
Det er f... underligt

Læg lige den hijackthis log herind, så kigger vi den lige igennem

Jeg har lige prøvet at køre windowsupdate
Det kan den ikke den siger at tiden er forkert
Og det er den ikke
Skal jeg smide putteren ud af vinduet ??

Arlet
Skal jeg nok

>> Det er f... underligt
Nej, det er det ikke. At lsass lukker ned og tager windows med sig, er blot et tegn på at den bliver angrebet, men historien melder intet om, om den kom ind. Men det kan ses i loggen.

Logfile of HijackThis v1.98.2
Scan saved at 16:51:48, on 12-08-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Documents and Settings\Brian\Skrivebord\Ny mappe\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

UPS
HEr var loggen
Den er lavet lige efter jeg har skrevet Shutdown -a

Prøv at sætte den firewall på som jeg skrev længere oppe og genstart maskinen. Scan igen med HiJackThis og kom med en ny log.
(Det kan da ikke passe at den ikke er større ??)

HMMM
Jeg har lige lavet en DCOM slukning eller hva pokker det hed
Den skriver nu efter genstart at jeg er sikker og DCOM ikke er activ, men at Port 135 er åben
Det er ikke sikkert jeg skal bruge den til noget
Bør jeg lukke den???
Jeg har oxo sat firewall på netværket
Jeg kan nu opdatere virus XP
den har nu kørt i 3 minutter uden at det er sket noget nedbrud

Har lige stoppet opdateringen da i gerne ville se en ny log
her er den nye
Den er lavet lige nu
Bare se på klokkeslettet
*S*

Logfile of HijackThis v1.98.2
Scan saved at 17:04:19, on 12-08-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Documents and Settings\Brian\Skrivebord\Ny mappe\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Og du HAR genstartet maskinen, før du lavede loggen ?

Jepper *S*

Det er jo en helt ny ren installation
Og har jo ikke været på nogle sider faktisk overhovedet på nettet med den
Skal jeg køre opdateringerne nu?*S*

Genstarter lige igen
Blir sku itvivl om jeg har genstartet den efter det med firewall'en
Hvis der er noget nyt i hijacklog poster jeg den her om 2 minutter

Ja, gør endelig det, og loggen er helt ren. Ikke antydningen af virus.
Jeg tror Arlet vil sige det samme ?

Så har jeg genstartet
Den ser nøgagtig ud på samme måde intet nyt
MEN dennegang kom den sgu op igen og ville lukke lortet ned
*SUK*
Har fjernet netværkskablet og vil nu genstarte et par gange for at se hva der sker

Ja, der er ikke meget at komme efter*S*

hvordan lukker man port 135
hva bruges den til??
Er det noget jeg burde lukke???

Det er den port msblaster angriber på, og du kan roligt lukke den. Jeg mener at værktøjet fra grc kan lukke den. http://www.grc.com/dcom/
Den bruges af RPC til at lytte på.

OK
MEn læste lige et elelr andet sted at den blir lukket af microsoft når man har opdateret
Det er jeg i gang med

Her er de updates du skal have for at lukke blaster og sasser - værsgo
Xp +w2k
http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx     Sasser updatefix
http://www.microsoft.com/downloads/details.aspx?displaylang=da&FamilyID=e70a0d8b-fe98-493f-ad76-bf673a38b4cf    Msblaster updatefix

Her er et link til nogle vigtige kritiske updates, som er kommer efter SP1 samlet i een pakkepakke på ca. 10 mb.(pr. okt. 2003)
http://www.microsoft.com/downloads/details.aspx?FamilyId=D531BF00-D7BE-48E3-ABCC-961602BD72C2&displaylang=da

Tonny Brandt
Svar lige da du skal ha point

Ok, her er svaret :)

Takker for point :)