lsass (!)

[ventskus]

Имеется проблема. У знакомого на компе переодически выскакивает окошко с сообщением что служба lsass.exe была неожиданно остановлена по неизвестной причине и комп будет перезагружен через минуту. (я знаю что вы подумали - но читаем далее!) Это мне напомнило бласт, но только служба другая. После расспросов выяснилось, что винду несколько раз переставляли - эффект один. Переустановив лично я убедился, что трабла возникает, как правило, до установки дров. т.е. при первом запуске винды и проявляется в виде перезагрузок. Слазив в винет я выяснил, что это sasser. Скачал утилитку от симантек. и захватив заодно и аналог от каспера (FxSasser.exe - от 5го мая и clrav.com правда за 11 месяц прошлого года) отправился на лечение. обе утилиты написали что комп девственно чист и никакого сасера нет. Далее я открыл диспетчер задач и проверил наличие неизвесных процессов - их оказалось два. имена интересные: resetservice.exe и srvany.exe. Причем в запущенных службах оказалась такая как reset 5. Опять таки у меня такой нет. И название наводит на мысль, что это некий вирус, приводящий к перезагрузкам.
У чела WinXPPro русская с кряком. У меня англицкая с МУИ - корпоративка, соответственно службы могут отличатся, но я не думаю что так уж сильно.
службу я остановил - посмотрим на результат. Хлопцу сказал, что как сам перезагрузится с табличкой - звони.
А пока хотелось бы советов послушать. Просьба без флейма.

[R!xon]

ну какие советы, ставь заплаты и закрой 445 порт
непойму зачем шухер подымать если можно зайти в соседний топ и почитать

[Slanj]

А ты об активации Windows слышал? Windows у твоего друга, как и меня , ломаная, а эта служба заставляет ее думать, что ее давно активировали. Они и пытаются вылезти в интернет, что приводит к глюку lsass. Обязательно закрой их через firewall. Если отключиш, то готовся к переустановке Windows через 40 дней (срок активации истечет). Это проверенно горьким опытом.

[ventskus]

Шухер я ни какой не подымаю.
У чела постоянно перезагружается комп. Вам бы понравилось? Вряд ли.
Все советы сводятся к стенке? А смысл? Забыл сказать, что инета у парня нет. И стенки соответственно тоже.
А по поводу заплаток, то какие? Если можно. Заранее благодарен.

ventskus
Попробуй поставить с другого диска. У меня была проблема. когда система не видела сканер на usb порту. Что только не делал. Оказалась криво поломанная версия винды. Все решилось простой установкой с другого диска.
Slanj
У меня тоже WinXp PRO русская и ломанная, однако этих служб не запущено.

[Gerasim]

ventskus
reset 5 это фишка для обнуления счетчика активации, тоесть при каждом запуске винды у тебя все время 30 дней до конца периода активации. (это винда так думает), есть прога для удаления этого кряка. Лучше его выковырять, и использовать более гуманные способы активации.

[ventskus]

большое всем спасс за инфу. Насчет установки другой версии я уже сам подумал. но сделаю если глюк появится опять и совладать иными способами не удастся. насчет установки другой версии сразу - я стормозил

ventskus ... сорри, а форматнуть винт не пробовал перед установкой ??? ...вернее раздел С

[ventskus]

А я по другому и "не умею"

[Partyzan]

А это не Sasser случаем? Очень симптомы характерные

[Interceptor]

Partyzan
Он же написал, что Сассер не был обнаружен.

Partyzan
ventskus
Перезагрузки, связанные с ошибкой этой службы могут мыть результатом преднамеренной или не преднамеренной DoS-атаки. Это может быть попытка взлома или DoS-атаки, или может быть дело рук какого-нить зверька вроде Сассера

[Partyzan]

Ну, Lsass уязвимостью мог не только Сассер воспользоваться

А слона, виноват, пропустил.

[petership]

Interceptor
У меня похожая ситуация, и действительно проблемы возникают при включенном нете и отключенной стенке, а есть-ли способ обезопасить isass кроме как стенкой - много лажу по нету, а подстраивать её под каждый сайт не хочеться

[Interceptor]

petership
Поставь заплатки: давно бы пора!
Здесь выбираешь версию своей ОСи и ставишь заплптку под номером MS04-011

[Partyzan]

Сообщение от petership

есть-ли способ обезопасить isass

Маленький нюанс - это не isass, а Lsass. Хорошо, что хоть не MSass :-))

[petership]

Interceptor
А если у меня 5-ый НТ, то придется ждать заплатки на него, или же она уже предусмотрена в нем

Partyzan
Спасибо за исправление

[Interceptor]

petership

А если у меня 5-ый НТ, то придется ждать заплатки на него, или же она уже предусмотрена в нем

Небольшой ЛикБез: WinNT 5.0 = Win2000
Так что смотри заплатку для Win2000

[petership]

Interceptor
Огромное спасибо, все сработало, правда, немного по-другому:
Выгрузил стенку, пошел на обновление, дошел до установки и тут откуда ни возмись появилась ......(цензура) - машину успешно атаковали, когда заново пошел на обновление мне "вежливо подсказали", что заплатка уже установлена. Пришлось звонить ребятам и искать заплатку отдельно - есть хорошие люди - помогли. Слава Богу, уже неделю работаю нормально.

[Cartman]

Гхм... У меня анологичная проблема...
Вирусы исключены.
На серваке где инет стоит winroute fairwall, у меня на машине outpost.
Проц прескот 2800, при включенном HT периодически lsass рушится, при выключенном все ок.
Патчи вроде все стоят. Регулярно с WU обновляюсь...

У меня тоже окошко. Я собрал системные логи с тех компов которые перезагружаются.

Проблемма такая:
В моей сети больше 50 машин. На этой неделе появился этот глюк. Стоят 3 разные машины. Две из них включены в домен вин 2003. НА них выпрыгивает вот это окошко и система перезапускается. Причём это происходит отдновременно.

это пишется в логах клиентов

Автоматическая подача заявки на сертификат Локальная система: не удалось связаться с каталогом Active Directory (0x8007054b). Указанный домен не существует или к нему невозможно подключиться.
Подача заявки выполнена не будет.


Ошибка приложения lsass.exe, версия 5.1.2600.1106, модуль unknown, версия 0.0.0.0, адрес 0x00000000.



Критический системный процесс, C:\WINXP\system32\lsass.exe, завершился ошибкой с кодом состояния c0000005. Необходимо перезагрузить этот компьютер.


Ошибка приложения lsass.exe, версия 5.1.2600.1106, модуль unknown, версия 0.0.0.0, адрес 0x00000000.

А это в моих логах

Тип события: Ошибка
Источник события: Userenv
Категория события: Отсутствует
Код события: 1054
Дата: 08.12.2004
Время: 14:33:52
Пользователь: NT AUTHORITY\SYSTEM
Компьютер: FILE-SERV
Описание:
Не удалось получить имя контроллера домена в этой сети. (Непредвиденная сетевая ошибка. ). Обработка групповой политики прекращена.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

сеть работает нормально и в этом же домене есть другие компы и они работают и не пилюкают.
Все компы разные совершенно.