Hi,

mein Rechner macht seit einiger Zeit täglich immer exakt um 0:10 Uhr für ca. 3 min hektische Plattenaktivitäten. Ich habe mal mit Process Explorer gelauscht, aktiv ist dann immer lsass.exe. Man kann den Prozess per suspend stoppen, die Platte hört sofort auf zu rappeln. Mit resume geht es weiter.

XP läuft mit SP2, alle aktuellen Updates drauf.
Dazu ZoneAlarm pro in aktueller Version, Hardware-FW im Fritz!-Router und F-Prot mit tagesaktuellen Signaturen und Wächter F-StopW im Hintergrund.

Spezielle Sasser-Suchprogramme von McAffee & Co finden nichts.
Mit HijackThis habe ich schon eine Prüfung gemacht und die Logdatei hochkopiert - nichts.

Ist das am Ende normal ? Nö, oder ?
Bitte um Hilfe, das nervt echt.

Hallo Roger,

ich hab mal eben gegoogled und herausgefunden, dass manche Leute trotz mehrfacher VirenScans keinen Sasser o.ä. finden, aber trotzdem Symptome haben...


Hier gibt's ein Remove Tool, probiers mal ob er vielleicht doch was findet.


Gruß,
Jan

Ist es Lsass.exe oder isass.exe ? Letzteres wäre ein Virus... Verstell doch mal die Uhrzeit vom Windows und schau mal, ob es immer noch um 00:10 Uhr losgeht... Ist bei irgendwelchen Programmen (Antivirus o.ä.) ein Timer aktiviert, zB für die Aktualisierung ?

@fridge:
Die Tools auf dieser Seite finden nichts bzw. laufen noch.

@Schulzi:
Ja, ist immer um 0:10 Uhr Systemzeit, auch wenn ich die Uhr umstelle. So habe ich es zum Glück mit Process Explorer nachstellen können. Und es ist definitiv lsass.exe.

Signaturupdate steht auf 19:43 Uhr. Wo sonst außer im Taskplaner (da ist nix) könnte in XP noch ein Timer aktiv sein ?

Ich werde nochmal das MS-Tool drüber laufen lassen. Aber das kam ja mit den letzten Patchdays auch immer und hat da nichts bewirkt ...

Das kann theoretisch jedes Programm sein, was eine Update-Funktion hat. Viele Programme stellen das automatisch so ein, dass regelmäßig nach Updates gesucht wird. Vielleicht schmeißt du mal paar Programme aus dem Autostart raus und schaust mal, ob es dann immer noch ist

Hmmm, der Sasser Virus heisst auch lsass.exe (wie die System Datei)....sollte aber nicht mehr aktiv sein, nach den letzten Patches.

Gruß

Noch ne Info:
Mit Process Explorer konnte ich den Zweig der Reg feststellen, auf den zugegriffen wird: hklm\security\Policy\Secrets\SAC

Sagt das jemandem was ?
Mit Regedit geöffnet ist da kein passender Eintrag zu sehen, unterhalb von security kommt nix mehr.

Wer sich nicht sicher ist, ob ein laufender Prozess zum Sytem oder Virus bzw. Schädling gehört, der sollte hier schau'n.

Naja,Lsass ist ein Dienst von Windows,der für die User authentifizierung zuständig ist.Ein Virus kann es somit nicht sein.Schon mal mit FileMon und RegMon nachgeforscht?

freilich kann das ein Virus sein. Genau diese Datei wurde schon mehrfach mussbraucht.

Ich habe jetzt mit allen möglichen (und unmöglichen) Tools mein System gescannt. Einen Virus o.ä. schließe ich damit endgültig aus.

Mit Filemon sehe ich einen Aufruf von svchost (oder so ähnlich) und die Meldung NOT FOUND. Das Ganze wiederholt sich unter Filemon einige hundert mal.

Ich habe den nervigen, bootverzögernden WGAcheck per Entzug der Rechte für die WGAcheck.dll abgestellt (c't-Tipp). Vielleicht hängt es damit zusammen. Deshalb habe ich das mal rückgängig gemacht. Kam aber noch nicht dazu, es auszutesten.

Habe die Kiste jetzt platt gemacht und neu aufgesetzt.
Die Dame von der MS-Hotline, die mein XP mal wieder freischalten durfte, fragt auch jedesmal eindringlicher ...

Falls dein Problem wieder kommen sollte dann ändere mal an der Registry etwas und zwar folgendes:

Alle folgenden Tunings um euer Win XP zu beschleunigen werden in der Registry vorgenommen! Die Registry öffnet man wie folgt:



und nun:



Dann sollte die Platte keinen piep mehr von sich geben. außer wenn du am PC arbeitest.

wenn man die 2 werte ändert hat man jedoch kein eventlog mehr da keine
ereignisse mehr protokolliert werden (für mich persönlich is eventlog wichtig)
wenn man die werte ändert sollte man gleich noch den dienst ereignisprotoll beenden und deaktivieren. bringt gleich noch mal was und ist eine noch sauberere lösung