Chi mi aiuta ad eliminare questo intruso (lsaa.exe)?

giovedì 21 ottobre 2010 - 15.17

Elenco Threads

Stanze Forum

Aggiungi ai Preferiti

Cerca nel forum

Elenco Tags Windows XP | Internet explorer 8.0 | Javascript

eddiguff Profilo | Newbie

5 messaggi | Data Invio: gio 21 ott 2010 - 15:17

Ciao ragazzi. Da qualche tempo il mio pc (win xp sp3) si blocca ogni minuto per alcuni secondi e poi riparte. La CPU è sempre alle stelle. Dopo aver scansionato, fatto defrag e pulite ventole, grazie a Hijackthis e navigando nel web, pare che il problema sia questo file: lsass.exe (con la elle). E' uno spyware che si è ficcato in una cartella, documents and settings, dove non dovrebbe stare. Gli antivirus che ho provato non lo trovano perchè è nascosto. Allego log di Hijackthis e chiedo: qualcuno sa come eliminare questo intruso?
O4 - HKLM\..\Policies\Explorer\Run: [RTHDBPL] C:\Documents and Settings\eXPerience\Dati applicazioni\SystemProc\lsass.exe
Grazie in anticipo per le dritte.

jchnusa Profilo | Junior Member

143 messaggi | Data Invio: gio 21 ott 2010 - 15:47

lsass.exe è un file di sistema da non cancellare
----Studio ASP.NET 3.5 - Visual Web Developer 2008 - VB ...ed ogni tanto bevo una birretta :D ( il tutto per passione )----

eddiguff Profilo | Newbie

5 messaggi | Data Invio: gio 21 ott 2010 - 16:42

Sì è un file di sistema, ma a me risulta che non dovrebbe trovarsi nella cartella documents and settings. Lì crea problemi.

jchnusa Profilo | Junior Member

143 messaggi | Data Invio: gio 21 ott 2010 - 17:05

ah.. si dovrebbe stare in system32
----Studio ASP.NET 3.5 - Visual Web Developer 2008 - VB ...ed ogni tanto bevo una birretta :D ( il tutto per passione )----

jchnusa Profilo | Junior Member

143 messaggi | Data Invio: gio 21 ott 2010 - 17:08

mi pare si possa eliminare un file auto rigenerante disabilitando "ripristino di configurazione di sistema" poi andando ad avviare in modalità provvisoria, fare una scansione e cancellare il file manualmente se neccessario. Poi ri avviare e ri attivare "ripristino di configurazione"
Mi pare di ricordare questa procedura
----Studio ASP.NET 3.5 - Visual Web Developer 2008 - VB ...ed ogni tanto bevo una birretta :D ( il tutto per passione )----

jchnusa Profilo | Junior Member

143 messaggi | Data Invio: gio 21 ott 2010 - 17:11

prova anche a scrivere msconfig nel menu start - esegui per vedere se è un programmino che si avvia come servizio e lo elimini con l' avvio seletivo
----Studio ASP.NET 3.5 - Visual Web Developer 2008 - VB ...ed ogni tanto bevo una birretta :D ( il tutto per passione )----

angelotv Profilo | Guru

1.010 messaggi | Data Invio: gio 21 ott 2010 - 19:08

Se riesci ad avviare windows in modalità provvisoria, prova a fare quanto segue:
Click su START
Click su Esegui
Scrivi "REGEDIT" e premi invio

Vai su:
-HKEY_LOCAL_MACHINE
-Software
-Microsoft
-Windows
-CurrentVersion
-Run
da qui, se hai esperienza, elimina tutte le voci che ti sembrano "dubbie" (facilmente troverai anche il malware lsass situato nella cartella "Documents and Settings")

Vai poi su:
-HKEY_CURRENT_USER
-Software
-Microsoft
-Windows
-CurrentVersion
-Run
da qui rifai il passaggio scritto prima.

by Angelo

eddiguff Profilo | Newbie

5 messaggi | Data Invio: dom 24 ott 2010 - 10:05

Dunque, ho seguito il tuo percorso nell'editor registro sistema e ho individuato il file che si trova si trova qui: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CurrentVersion\Policies\Explorer\Run e quindi [RTHDBPL] C:\Documents and Settings\eXPerience\Dati applicazioni\SystemProc\lsass.exe
Insomma lo vedo, ma chiedo: la stringa C:\Documents and Settings\eXPerience\Dati applicazioni\SystemProc\lsass.exe posso eliminarla? Oppure questo mi creerà problemi di registro? O devo rinominarla, modificarla?

angelotv Profilo | Guru

1.010 messaggi | Data Invio: dom 24 ott 2010 - 12:16

Se la elimini riuscirai a risolvere il tuo problema; il file lsass.exe di sistema NON si trova di certo nella cartalla Documents and Settings.
by Angelo

eddiguff Profilo | Newbie

5 messaggi | Data Invio: lun 25 ott 2010 - 10:42

Allora, ho eliminato C:\Documents and Settings\eXPerience\Dati applicazioni\SystemProc\lsass.exe dall'editor registro sistema. Il problema però persiste. Chiedo se devo eliminare anche lsass.exe tipo: REG_DWORD, che trovo nell' editor registro sistema alla seguente directory: HKEY_LOCAL_MACHINE\System\Controlset001\Control\Terminal server\Sysprocs. Poi non vi rompo più le scatole...grazie

angelotv Profilo | Guru

1.010 messaggi | Data Invio: lun 25 ott 2010 - 13:17

NON DEVI eliminare tutte le voci che fanno riferimento a lsass.exe nel registro! Procedi con molta cautela... una ricerca che potresti fare nel registro stesso è delle voci "C:\Documents and Settings\eXPerience\Dati applicazioni\SystemProc\lsass.exe" non di lsass.exe da solo (ti ricordo che c:\windows\system32\lsass.exe è un processo fondamentale di windows e se lo disattivi il sistema non parte più).
by Angelo

Torna su

Stanze Forum

Elenco Threads

Partecipa anche tu! Registrati!

Hai bisogno di aiuto ?
Perchè non ti registri subito?

Dopo esserti registrato potrai chiedere
aiuto sul nostro Forum oppure aiutare gli altri

Consulta le Stanze disponibili.

Registrati ora !