Lsa shell (export version)

[powerpill]

Hier soir, g installé kapersky anti hacker. En regardant les process, je vois lsa shell (export version). Il n'apparait ni dans msconfig, ni dans sytem mechanic.

 

En recherchant un peu sur le net, je me rends compte qu'il s'agirais d'un virus (sasser) exploitant une faille de lsass.exe

 

Je telecharge les maj de securité de l'ami billou. Je scanne avec divers utilitaires. Pas d'infection. Pourtant ce proc tourne toujours (je lui ai interdit les accès au net par securité).

 

Est ce que son existence est normal ou non ????

 

Autre question :

 

Proport me signale du traffic depuis ma carte réseau (127.0.0.1) vers download.aaa1screensavers.com

 

Je n'ai pas trouvé le process qui tente ces accès. Kapersky ne me signale rien. Par securité j'ai empeché les pings vers internet au cas ou un troyen serait la derrière. Devrais je m'inquieter ???

 

Un grand merci d'avance

Modifié le 4 février 2005 par powerpill

[Invité tesgaz]

Salut,

 

lsass.exe est un processus qui regroupe plusieurs services

il fait parti des processus obligatoire

 

pour , download.aaa1screensavers.com

regardes si tu n'as pas une entrée qui correspond dans ton fichier hosts

C:\Windows\System32\Drivers\etc\hosts

 

auquel cas tu la supprimes

[powerpill]

Je jeterai un oeil à ce fichier une fois rentré à la maison.

 

Donc si g bien compris lsa shell (export version) faut partie de lsass.exe ???

[Invité tesgaz]

Celui viendrai de sasser, donc à interdire,

 

voir sur le site de Microsoft, et mettre le patch :

http://www.microsoft.com/technet/security/...n/ms04-011.mspx

[neofitos]

Salut,

 

lsass.exe est un processus qui regroupe plusieurs services

il fait parti des processus obligatoire

 

pour , download.aaa1screensavers.com

regardes si tu n'as pas une entrée qui correspond dans ton fichier hosts

C:\Windows\System32\Drivers\etc\hosts

 

auquel cas tu la supprimes

457441[/snapback]

Juste une question. Si notre ami a une entrée qui correspond dans le fichier hosts (C:\Windows\System32\Drivers\etc\hosts), il la

[powerpill]

J'ai déja chopé ts les patch cro$oft. J'ai même utilisé le scan de cro$oft et de symantec, il ne voit pas d'infection. Et malgré tt ce proc est tjs là ....

 

Pour host ce sera vers 17 heure paske là suis en formation

Modifié le 4 février 2005 par powerpill

[neofitos]

Juste une question. Si notre ami a une entrée qui correspond dans le fichier hosts (C:\Windows\System32\Drivers\etc\hosts), il la supprime ou non ? La formulation est ambigue...

 

 

457453[/snapback]

Juste une question. Si notre ami a une entrée qui correspond dans le fichier hosts (C:\Windows\System32\Drivers\etc\hosts), il la supprime ou non ? La formulation est ambigue...

[powerpill]

G supprimmé TOUTES les entrée dans le fichier Host et malgré tt cette foutue connexion ce fait. J'ai crée un nouvo post avec le log hijack this paske je m'en sors plus ...