lsass.exe Shutdownproblem

#1 moin

war von Freitag-Sonntag auf einer 200 Mann-LAN Party und hatte ein ziehmlich nerviges Problem: Ich bekam regelmäßig die 60Sekunden-Shutdownfehlermeldung verursacht durch lsass.exe.
Zunächst dachte ich natürlich an den Sasser-Wurm, da es exakt die gleiche Fehlermeldung war und ich den Sicherheitspatch auf Grund einer Systemneuinstallation (Win2000 SP4) kurz vor der LAN nicht installiert hatte. Antivir war zwar aktiv und auf dem neuesten Stand, trotzdem schien ich mir den Sasser eingefangen zu haben.

Zufällig hatten noch Leute die entsprechenden Removaltools auf dem Rechner, sodass ich es zunächst damit versucht habe. Doch keines der Tools und auch keine anderen Virenscanner, die ich anschließend ausprobiert hatte, zeigten irgendeinen Virenbefund. Doch die Shutdowns blieben nicht aus und man konnte sie nicht einmal mit shutdown -a aufhalten. Sie kamen auch sehr unregelmäßig - manchmal erst 2-3 Stunden nach dem Reboot, in anderen Fällen schon 1 Minute danach...

Später hatten die Shutdowns noch ein 2. Opfer gefunden, auch bei ihm blieben alle Virenscanns ergebnislos. Er war sich sogar sicher, dass er den Sicherheitspatch installiert habe....

Nunja, ich hab mich dann damit abgefunden und versuche jetzt mit Hilfe des Internets auf des Rätsels Lösung zu kommen. Googeln und Foren durchstöbern haben mich bisher nicht weit gebracht, überall findet man Anleitungen zur Sasser-Entfernung. Den Sicherheitspatch kann ich leider auch nicht installieren, bekomme immer ne Fehlermeldung bei der Dekomprimierung der exe Datei.

Bin jetzt gut 2 Stunden am PC und bisher keine Shutdowns oder Sonstiges. Ich spiele mit dem Gedanken, dass es irgendein Spaßvogel war, dem ich das Ganze zu verdanken hatte. Wenn ja, wie schütze ich mich beim nächsten Mal besser dagegen?

Und vor allem: Wie geh ich jetzt am Besten vor? Bin ziehmlich ratlos, hab immer noch vor den Shutdowns Angst oder dass eventuell der LAN-Hacker sich nen Eingang zu meinem Sytem verschafft hat.


danke euch

#2 Hallo, lade dir das Tool AdAware, Spybot und CWShredder und scan damit
dein PC. Vor dem Start aber unbedingt das update von AdAware, Spybot und CWShredder laden. Anschließend starte dein Antivirenprogramm.
Danach lade dir HijackThis, stelle es in einen seperaten Ordner und starte
das Programm. Die dabei erzeugte Logfile bitte speichern und hier posten.

Rolfs

#3 hi

danke fürt deine antwort! hab die oben genannten tools alle geupdatet und scannen lassen > kein einziger schädling gefunden!
mein system läuft übrigens seit einiger zeit problemlos > kein einziger shutdown

hier mein hijackthis log:

Logfile of HijackThis v1.99.1
Scan saved at 19:54:33, on 14.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
D:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\htpatch.exe
C:\WINNT\system32\RunDll32.exe
D:\Programme\Trojancheck 6\tcguard.exe
C:\Programme\Java\jre1.5.0\bin\jusched.exe
D:\Programme\AVPersonal\AVGNT.EXE
D:\Programme\Hook99\hook99.exe
D:\Programme\Winamp\winamp.exe
D:\Programme\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe Reader 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [HTpatch] C:\WINNT\htpatch.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Trojancheck 6 Guard] D:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [AVGCtrl] "D:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - Startup: Hook99startup.lnk = D:\Programme\Hook99\hk2re.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - D:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - D:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - D:\Programme\SiSoftware Sandra Lite 2005\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - D:\Programme\SiSoftware Sandra Lite 2005\RpcSandraSrv.exe

#4 O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

Diese beiden Dateien solltest du dir doch noch anschauen
unter
http://www.hijackthis.de/
dort deine Logfile einsetzen und prüfen.

Rolfs

#5 jo danke, hab das problem gefixt. hab nochma alle tools scannen lassen, absolut nix zu finden. hab im moment auch keine bedenken mehr, nur ziehmlich komisch mit den ganzen shutdowns, kann ich mir nicht erklären...