Probleme mit lsass.exe Absturz - Computer fährt automatisch herunter

#1 // edit by Mod
es handelt sich hierbei um den Sasser Wurm!
siehe bitte: lsass.exe / avserve.exe Problem = Virus: W32/Sasser.a » Lösung

Hab zur Zeit ein ziemliches Problem...




dann Windows wird heruntergefahren (man kann weder den Task beenden noch sonst was)

Hab Windows 2000 SP4

Mit Hijackthis kam das heraus (vielleicht liegt der Fehler irgendwo da)
Logfile of HijackThis v1.97.7
Scan saved at 14:55:13, on 01.05.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\system32\crypserv.exe
C:\WINNT\SYSTEM32\DNTUS26.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\tlntsvr.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\SOUNDMAN.EXE
C:\Programme\ahead\InCD\InCD.exe
C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\WINNT\Dit.exe
C:\WINNT\System32\P2P Networking\P2P Networking.exe
C:\WINNT\System\winspool.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\MSN Messenger\msnmsgr.exe
C:\WINNT\regedit.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.at/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [cloak.exe] c:\WINNT\Temp\cloak.exe
O4 - HKLM\..\Run: [VisNetic FTPServer Tray App] C:\Programme\Deerfield.com\VisNetic FTPServer\vfsTray.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINNT\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINNT\system32\bridge.dll",Load
O4 - HKCU\..\Run: [System Update] C:\WINNT\System\winspool.exe
O4 - HKCU\..\Run: [System Update2] c:\dokume~1\admini~1\anwend~1\taskmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Real.com (HKLM)
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {f760cb9e-c60f-4a89-890e-fae8b849493e} -

Bitte helft mir - *danke* im voraus

#2 Probier mal beim Hochfahren, wenn das Schild kommt, in die Eingabeaufforderung das einzugeben:

Shutdown -a


Fix auch noch mal das:
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [cloak.exe] c:\WINNT\Temp\cloak.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINNT\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINNT\system32\bridge.dll",Load
O4 - HKCU\..\Run: [System Update] C:\WINNT\System\winspool.exe
O4 - HKCU\..\Run: [System Update2] c:\dokume~1\admini~1\anwend~1\taskmon.exe


Kannst du mir mal bitte c:\WINNT\Temp\cloak.exe
schicken, an

Spam-Email@gmx.net

MFG
DAFRA

#3 habe auch seit heut das problem..
das das NT-Sicherheitssystem sich runterfährt..
mit der Begrdündung..windows/system32/lsass.exe
mit irgenteinem code..

gibts da nen tool gegen..

hab norton antivir 2004 drauf..live update immer gemacht..

und hab leider nicht viel ahnung von pc sachen..

will nur wissen wie das aufhört ;-)

#4 @Patrick C.
Probier mal beim Hochfahren, wenn das Schild kommt, in die Eingabeaufforderung das einzugeben:

Shutdown -a

Spiele alle Patches von Windows ein ( www.windowsupdate.com )
MFG
DAFRA

#5 hielfe!
ich hab auch so ein problem wenn ich bei meinem computer ins internet gehe f´ährt er sich nach einer zeit von selbst runter nach einem ca 58 sec. download. mit verweiß das lsass.exe dies verursacht was soll ich tun?!!! bitte helft mir
daikini

#6 @daikini
Wenn das Schild kommt, in die Eingabeaufforderung das einzugeben:

Shutdown -a

Spiele alle Patches von Windows ein ( www.windowsupdate.com )
MFG
DAFRA

#7 vielen dank das du dir meiner annimmst!
es gibt allerdigs keine eingabeaufforderung es is nur ein shild mit dem countdown der runterzählt und dann fährt der comp runter. und was sind patches? is das das windowsupdate, diese soll ich installieren oder wie, habe auch hijackthis kenne mich aber bei dem programm nicht wirklich aus,
ich weiß eh i bin alles andere als eine computerfachmann nur es ist sehr sehr sehr wichtig dass ich wieder ungestört ins internet kann.
msfg daikini

#8 Also, wenn diese Meassage Box kommt, dann gehst du auf

Start/Ausführen/ gibst ein: cmd

Dann erscheint eine Box, in die gibts du ein
Shutdown -a
Dann sollte der Countdown bis zum runterfahren abbrechen.

Dann installierst du alle Patches für Windows (Anleitung auf www.windowsupdate.com )

Wenn du die installiert hast, poste nochmal ein Hijackthis Log, in meiner Signatur steht wies geht.
MFG
DAFRA

#9 so ehm das mit dem windowsupdate funkt noch nicht aber das mit dem shutdow -a shon, danke so hier is etwas mit dem ich nix anfangen kann du aber hoffentlich shcon, vielen vielen herzlich dank im vorraus
Logfile of HijackThis v1.97.7
Scan saved at 16:32:00, on 01.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Program Files\Altnet\Points Manager\Points Manager.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe
C:\PROGRA~1\mcafee.com\agent\mcregwiz.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\Programme\QuickTime\qttask.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\Programme\Microsoft Money\System\reminder.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Nokia\PC Suite for Nokia 6600\connmngmntbox.exe
C:\Programme\Nokia\PC Suite for Nokia 6600\ectaskscheduler.exe
C:\Programme\EPSON\EPSON SMART PANEL for Scanner\EspMain.exe
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
C:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe
C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterRuntime.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Nokia\PCSUIT~1\BROADC~1.EXE
C:\PROGRA~1\Nokia\PCSUIT~1\SCRFS.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~2\Altnet\DOWNLO~1\asm.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\cmd.exe
C:\Dokumente und Einstellungen\PC100\Lokale Einstellungen\Temp\Temporäres Verzeichnis 2 für hijackthis1977.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.digitalfan.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.digitalfan.com/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gymseitenstetten.ac.at/~aleleu6
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aon.at/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.digitalfan.com/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von A-Online
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [AltnetPointsManager] C:\Program Files\Altnet\Points Manager\Points Manager.exe -s
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [McRegWiz] C:\PROGRA~1\mcafee.com\agent\mcregwiz.exe /autorun
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [Reminder] C:\Programme\Microsoft Money\System\reminder.exe
O4 - HKCU\..\Run: [CFDStart] C:\WINDOWS\WinMuschi.exe -m
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: PCSuiteForNokia6600 Detect.lnk = ?
O4 - Global Startup: PCSuiteForNokia6600 TS.lnk = ?
O4 - Global Startup: EPSON SMART PANEL for Scanner.lnk = C:\Programme\EPSON\EPSON SMART PANEL for Scanner\EspMain.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.aon.at/
O16 - DPF: {00000000-CDDC-0704-0B53-2C8830E9FAEC} (IELoaderCtl Class) - http://install.global-netcom.de/ieloader.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/de/win/QuickTimeInstaller.exe
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} (WebInstall) - http://www.htttp.biz/oesi/webinstall.cab
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash2/cabs/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{63D7859C-70C1-42B5-B7DA-A1C191A01559}: NameServer = 195.3.96.68 195.3.96.67

#10 Kopiere Hijackthis in ein eigenes Verzeichnis (z.B. c:\Hijackthis)
Makier diese Einträge und klick auf den Fix Check button.
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKCU\..\Run: [CFDStart] C:\WINDOWS\WinMuschi.exe -m
O4 - Global Startup: PCSuiteForNokia6600 Detect.lnk = ?
O4 - Global Startup: PCSuiteForNokia6600 TS.lnk = ?
O16 - DPF: {00000000-CDDC-0704-0B53-2C8830E9FAEC} (IELoaderCtl Class) - http://install.global-netcom.de/ieloader.cab

Warum klappt das Update nicht ???
Befolge einfach die Anweisungen auf www.windowsupdate.com
MFG
DAFRA

#11 hey! danke für alles bis jetzt bist wirklich meine letzte rettung
doch ein paar probs gibts jetz noch:
windwosupdate hat ein problem mit der datumsanzeige in meiner taskleiste automatische sync funkt nicht.
msn funkt auch nicht mehr!!! blanke horror
und beim aussschalten gibts nur mehr benutzer wechseln oder abmelden aber nicht ausschalten!!!
is mein comp jetzt im a****?

PS: winmushi???? woher hab ich dass???

#12 Lade http://www.free-av.com/ er vertraegt sich nicht mit anderen Virenscannern , also deaktiviere mal deinen jetztigen mcafee.

Lade den Firewall Sygate (free)
http://smb.sygate.com/products/spf_standard.htm

Lade AdAware (Free) .....updaten
http://www.lavasoft.de/

Lade Search&destroy ....updaten
http://www.snapfiles.com/get/spybot.html




Gehe in Start<Ausfuehren<msconfig reinschreiben <Systemstart.... nimm den Haken vor folgenden Programmen raus:


O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART

O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [McRegWiz] C:\PROGRA~1\mcafee.com\agent\mcregwiz.exe /autorun
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe

O4 - HKCU\..\Run: [Reminder] C:\Programme\Microsoft Money\System\reminder.exe
O4 - HKCU\..\Run: [CFDStart] C:\WINDOWS\WinMuschi.exe -m
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot


dann machst du den Comp aus.

beim Hochfahren gehst du in den den abgesicherten Modus (F8 beim Hochfahren druecken) und scannst zuerst mit dem Antivirenscanner und dann mit den anderen.

Dann versuchst du noch einmal das WindowsUpdate .

Poste dann dein Log noch einmal.

MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#13 ehm danke!
hat aber irgendwie net funktioniert weils free-av net gibt.
was hab ich da eigentlic für einen virus?

#14 ich habe jetzt wegen der lsass.exe mal dursucht in der regedit stehet nicht drinn .
aber ich habe im ordner C:\WINDOWS\PREFETCH was gefunden und zwar
AVSERVE2.exe199A348D.pf. und unter C:\WIDOWS\system32 eine lsass.exe
kann mir bitte jemand sagen was das ist?

weil seit ich von microsoft den patch draufgespielt habe friert mein pc immer ein?

mfg luposi

#15 Hi, ich hab auch das Problem mit lsass.exe. Wie bekomme ich das weg, dass der PC nicht automatisch herunterfährt? Zur Zeit benimmt er sich normal außer dass er lahmer ist wie ne schnecke.

Hab es schon mit dem Tool von Symantex versucht, und nach der Prüfung kommt immer das hier:

The total Numbers of Scan-Files: 133036
The Numbers of Delet-Files: 4
The Number of Viral processes terminated: 0
The Number of registry entries fixed: 0

Was bedeutet dass? Ist der Virus weg oder nicht? Ich bin echt vor dem verzweilfeln.

mfg

angel