El lsass me está reiniciando las PC con XP

[manuelvi]

Hola



Le escribo porque estamos presentando problemas con el fichero lsass.exe en los sistemas W2000 y XP, son síntomas parecidos al Blaster, que mandaba a reiniciar la PC, pero en este caso no parece ser el mencionado Blaster, ya que en el mensaje de conteo regresivo de 1 minuto como tiempo para apagarse, dice en la parte de abajo que ha sido porque el lsass.exe ha generado un error, y entonces comienza a hacer el conteo regresivo de apagarse.



Todo esto ocurre al presentarse la pantalla de solicitud de user y clave al inicio de windows, incluso antes de teclear la clave, ya está presentando la pantalla de reiniciar la PC. Pero si se le quita el cable de red a la PC la misma entra sin problemas.



Con el SP4 de W2000 se resolvió este problema en los sistemas de W2000, pero en el caso de XP se le pasó hasta el SP 1a y aun mantienen este problema.

[pktdune]

Hola Manuelvi.



Com el problema parece que te lo este dando el lsass.exe, comprueba que el susodicho, sea el del sistema, este se encuanta en el directorio system32 del sistema, si el sistema lo tienes instalado en C, y es un 2000, lo tendras en c:\winnt\system32\lsass.exe, si tienes algun otro lsass.exe, por ejemplo en C:. No es el de sistema y puede tratarse de alguno de los siguientes animalitos.



W32/Aladinz -> [url]http://www.vsantivirus.com/aladinz-f.htm[/url] LSASS.EXE (versión renombrada y completa del mIRC)



Troj/Backdoor.Sypofox --> [url]http://www.vsantivirus.com/back-sypofox-a.htm[/url] c:\lsass.exe, %windir%\lsass.exe o %userprofile%\windows\lsass.exe



W32/Lovgate --> [url]http://www.hacksoft.com.pe/virus/w32_lovgate_f.htm[/url] como proceso remoto del lsass



Win32/Mofei.C, Troj/Backdoor/Mofei --> [url]http://www.perantivirus.com/sosvirus/virufamo/mofeic.htm[/url] modifica el lsass.exe y el explorer.exe



W32/Randon-AA --> [url]http://esp.sophos.com/virusinfo/analyses/w32randonaa.html[/url] LSASS.EXE (cliente mIRC)



Y supongo que habran mas, pero con esto creo que podras orientarte un poco.

Reinicia en modo seguro, elimina los lsass.exe, inadecuados, asegurate de que no vuelban a arrancar desde el registro, y pasale un antivirus.



PD: El lsass.exe bueno, lo tendras en %windir%\Servicepacksfiles\i386\lsass.exe, en %systemdir%\lsass.exe, y en los directorios de desinstalacion de los servicespacks, %windir%\%NTUninstallSPxxx$\lsass.exe, todos los demas, sobre todo en la raiz de una unidad o en el directorio Windows, no son los lsass.exe



Suerte.

[manuelvi]

Hola pktdune



Antes que nada me presento, me llamo Manuel Viamonte, vivo en Cuba, soy Ing. Informático y entre otras cosa administro una red de mas de 40 estaciones.

Agradezco mucho tu respuesta sobre el tema que plantee en el foro, pero siento informarte que continuo igual, te explico con mas detalles para ver si se te ocurren otras cosas que probar.



Mira en un inicio esto de que el lsass mandara a apagar la máquina por un mensaje de : This shutdown was iniated by NT AUTHORITY\SYSTEM. Shutdown will begin in 59 seconds.



sucedia en todas las PC de W2000 y XP, en el caso de las W2000 se resolvió con el SP4 de Windows, pero las de XP continuan igual.



Como cosa rara, si le quitas el cable al iniciar la autentificación no se apaga al inicio, pero si un poco mas tarde sin tiempo fijo, puede ser a las 3, 4 o mas horas. Pero si le dejas el cable de red puesto, no llega al minuto a que se te apague.



dime si se te ocurren mas cosas que probar,



saludos y garcias nuevamente



Manuel

[cañera]

hola manuel,sigue los consejos de este link;

https://foros.zonavirus.com/viewtopic.php?t=46

cuentanos como te fue.

INCISO:

si no te dejara descargar los parches hazlo a un diskett y luego los pasas a los pc's.

[manuelvi]

Hola



al parecer estas soluciones que me dan son para algun tipo de problema del RPC, pero el programa que me está provocnado que las PC con XP se me apague es el lsass.exe, en verdad encuentro medio raro esto. microsoft no ha dicho nada al respecto, saco el parche ASN 1.0, creo que se llama asi, pero con esto no se resuelve nada. y tengo mas de 30 PCs apagandose en mi empresa.



ya he probado con todas las cosas que uds me han dicho. y ocntinuo igual



agradezco la ayuda que me den

saludos

manuel

[cañera]

manuel deshabilita las maquinas en red y pasale la utilidad y pon parches una a una en a modo prueba de errores desactivando restaurar sistema.

cuentanos como te fue.

[msc hotline sat]

Complemento este Tema con las aclaraciones entre el lsass.exe y el isass.exe, documentadas en un tema anterior de este foro:



https://foros.zonavirus.com/viewtopic.php?t=53&highlight=isass



Lo cual reafirma lo indicado por nuestros colaboradores, pero añade informacion del isass.exe, fichero de windows cuyo nombre ha sido aprovechado para confundirlo por el del lsass.exe como gusano que usan algunos virus .



saludos



ms, 23-03-2004

[manuelvi]

hola



sigo agradeciendo tantas respuestas sobre este tema, estoy probandolas todas, esto por supuesto me lleva tiempo ya que tengo como 40 PC en la red, y para estar seguro de que todo quedará ok, tengo que sacarlas a todas de la red para evitar reinfección.



porque sino la que cure, volverá a reinfectarse



alguien me hablo de un SP2 de XP, en el sitio http://www.nxsecure.org, pero que no está la versión en español, alguien tiene esta versión?



saludos

manuel

[pktdune]

Hola Manuelvi.



Espero que con los consejos de todos, puedas erradicar el problema.



En cuanto al SP2 para XP, si no esta en el sitio web de microsoft, desconfia.



Suerte.

[rihk_ito]

Tengo un problema similar y kisiera saber si es ke me pueden ayudar...



Resulta que tengo instalado el zone alarm.... pero resulta que me consume demasiado recursos.... y cada vez que lo cierro no pasan ni 30 minutos y me sale eso del AUTHORITY SYSTEM apagándome el sistema.... esto sólo me aparece cuando me conecto a Internet....



Ya pasé el Panda Online hace un tiempo el Win Blaster pero segun el lo elimino.... pero ahora lo paso y nada... lo mismo con el ad-aware....



AYUDENME POR FA... :(



pd: TENGO UN WINXP



Muhcas Gracias

[msc hotline sat]

Para manuelvi: El SP2 para XP lo tiene Microsoft en fase beta, y anuncian ser el ultimo Service oack para XP, antes de pasar al futuro sistema operativo LONGHORN DE MICROSOFT, que en Taiwan ya está corriendo por las calles.



Evidentemente conviene utilizar exclusivamente lo oficial, en este caso cuando Microsoft lo ofrezca.



___________





Y para rihk_ito baje y lance el ELIRPCA ejecutandolo en modo seguro, y actualice los parches de microsoft conectandose a http://www.windowsupdate.com



saludos



ms, 25-03-2004

[cocon]

Hola, yo tb estoy infectado. una pregunta:

Sin antivirus se puede solucionar? esq segun el post q hace mencion cañera es necesario, pero nose, el blaster no lo necesite.

[cañera]

segun la coneccion que tengas,si tienes por cable(adsl)pues puedes usar uno online,que no será el caso si usas modem.

de todas formas te dejo uno gratuito que es muy bueno para uso particular;

y para antivirus gratis, solo para uso particular, existe el AVG, que GreatMamut indica en un post al respecto



Descárgalo en:

http://www.grisoft.com/us/us_dwnl_free.php

Solo tendras que entrar un pequeño formulario tu nombre, apellido y correo donde inmediatamente se te enviara el número de serie necesario para el registro del programa

__________________________________________



y para ayuda, se requiere acrobat reader, Araceli recomienda:



http://bravo.c5.cl/~telecom/2003/modules/Talleres_ABP/Manuales/Nivel_I/procedimientos/avg.pdf

__________________________________________



Para leer ficheros PDF, hay el AcrobatReader, freeware:



http://www.adobe.es/products/acrobat/readstep2.html

__________________________________________

para test online;

https://www.virustotal.com/es/

tendras que entrar en a modo prueba de errores con funcion de red(ya te digo que esto es solo si tiene coneccion por cable)

cuentanos como te fue.

[msc hotline sat]

Sobre las infecciones al respecto desde el 1 de Mayo, comprobar que no se trate de las variantes del nuevo SASSER.



Para comprobarlo y eliminarlo en su caso, bajar y ejecutar el ELISASSA.EXE



https://foros.zonavirus.com/viewtopic.php?t=605



Y en cualquier caso, aunque no detectara el virus, si os encuentra a faltar el parche, proceded conectando con http://www.windowsupdate.com



saludos



ms, 03-05-2004