Stranezze lsass.exe

[Gil Mour]

Alcuni giorni fa ho portato il mio vecchio pentium 3 a casa della mia ragazza e con il solo win xp pro sp1 installato.

Oggi sono andato per installargli le cose basilari come office (xp) antivirus, collegamento ad internet etc etc.

Siccome lei aveva la adsl con alice ed ha perso il cd di installazione, ho scaricato da internet i driver del modem e li ho installati.

L'installazione è terminata senza errori e mi sono connesso per provare se tutto funzionava, ma dopo pochi minuti mi compare la finestra che chiede se si vuole segnalare l'errore alla microsoft e che segnala un crash di lsass.exe

Dopo che mi sono scollegato da internet compare una finestra che mi avverte nuovamente del crash di lsass e mi dice di salvare tutto che entro un minuto mi riavvia il sistema.
Sul momento ho pensato che ci fossero dei problemi coi driver, comunque per sicurezza prima di fare altre cose ho installato l'antivirus (symantec), l'ho aggiornato e al termine dell'aggiornamento mi ha subito notificato un worm w32.spybot.worm in un file chiamato winusb.exe.

Ho notato altre cose strane:
1. un processo attivo con nome dynitora.exe. Ho fatto una ricerca nel file system (compresi i file nascosti) e questo file non è stato trovato, ma è stato trovato il relativo .pf
2. non ricordo di preciso quando ma c'e' stato un crash di winlogon.exe....ma winlogon.exe è normale che rimanga in esecuzione anche dopo il login?
3.explorer.exe occupava 24MB di memoria

Ora mi chiedo, come ha fatto a beccarsi un worm e tutto questo casino se prima del mio intervento di oggi si ritrovava a casa un pc vuoto e senza collegamento ad internet?

Le uniche cose che ci ha messo dentro prima di oggi sono
. alcuni documenti word scaricati dalla rete
. un video wmv ricevuto per posta
. una presentazione ppt ricevuta per posta.

Qualcuno ci capisce qualcosa? :master:

[Habanero]

Originariamente inviato da Gil Mour
....

Le uniche cose che ci ha messo dentro prima di oggi sono
. alcuni documenti word scaricati dalla rete
. un video wmv ricevuto per posta
. una presentazione ppt ricevuta per posta.

Qualcuno ci capisce qualcosa? :master:

... che forse il tuo sistema non è patchato contro alcune gravi falle di sicurezza (quella che investe LSASS è una di queste) che permettono l'esecuzione di codice da remoto senza l'azione dell'utente?

... che forse basterebbe usare un firewall per tamponare il problema?

... che forse il problema sul forum è stato trattato un miliardo di volte?

cerca "SASSER" tutto quello cerchi è li.

[Gil Mour]

... che forse il problema sul forum è stato trattato un miliardo di volte?

Io proprio non capisco perche dovete fare i bacchettoni in questo modo..uno nel forum non è che ci vive, ci va a postare o leggere quando gli serve.

Avevo cercato in symantec.org e non ho trovato niente, poi ho cercato nel forum ma solo winusb.exe dynitora.exe perchè temevo che ci potessero essere miliardi di post riguardanti lsass.exe che trattavano tutt'altre tematiche.

[antares11]

tanto per non essere fraintesi è buona prassi ogni qualvolta ci si rivolge in questo forum per sottoporre dei problemi concernenti la sicurezza informatica attenersi a dei semplici principi che elenco schematicamente

- leggersi i link utili di questo forum e cmq dare un'occhiata ai link in rilievo

- fare una ricerca nel forum stesso (una risposta data una volta potrebbe servire parecchie volte in futuro: di solito io faccio così, come in questo caso, dove ho di proposito inserito un sottotitolo SOLO per facilitare il prossimo in un'eventuale ricerca)

- prima di postare avere la compiacenza di attenersi alle semplici e fondamentali norme riassunte (anche troppo) nell'individuazione (e di conseguenza possibile eliminazione) del malware

- se del caso cliccare in alto anche su 'sicurezza' di www.html.it dove c'è parecchio materiale utile in questi casi

questo è quanto dovrebbe fare chi frequenta questo forum solo all'occasione o non è particolarmente addentro a quelle elementari norme da applicare per risolvere problemi di malware


di solito io rimando ai link che seguono, che ritengo la risposta all'individuazione/eliminazione dei problemi del malware informatico più completa e concentrata e oltretutto di facile comprensione e utilizzo, che abbia reperito in giro nel web
è in inglese, non in una lingua impossibile

http://www.dslreports.com/forum/security,1
http://www.dslreports.com/faq/8428

Security» 1. General Questions
Sicurezza – Domande di carattere generico


è mia opinione che il miglior ringraziamento (= portare rispetto) di chi posta per essere aiutato sia l'attenersi a quanto scritto nei link in rilievo del forum: equivale a porgere il saluto quando si entra in casa altrui, cmq, senza ulteriore necessità di abuso di faccine

[Habanero]

Gil Mour non prenderla come una cosa personale... è solo che sta domanda è da un anno mezzo che ritorna in continuazione. Spesso una rapida ricerca è più utile che mille domande.

In ogni caso se hai dubbi o domande siamo qui.

http://forum.html.it/forum/showthrea...86#post6783786

[Gil Mour]

Non volevo mancare di rispetto a nessuno e non l'ho presa come una cosa personale. Ho sempre la buona abitudine di fare ricerche varie prima di aprire un nuovo topic, ma può capitare a tutti di sbagliare: avevo solo fatto ricerche sbagliate perchè in questo settore sono ignorante dato che mi occupo di altre cose.

Quindi risposte tipo "prima di postare fai una ricerca" con determinati toni mi fanno un po strano...
Ad ogni modo ringrazio habanero dei link e dell'aiuto.

[Habanero]

Ok Pace!

facci sapere se sei riuscito a risolvere.