lsass.exe - aber kein Virus

outbreak · 03.03.2013, 16:15

Hallo,

Ich habe hier einen SBS 2011 - ca. 60 User darauf und seit 3 Tagen das Problem, dass die lsass.exe immer wieder auf 99-100% CPU Auslastung geht.
(ich nehm dann immer ein paar CPUs weg - damit mir ein paar Ressourcen übrig bleiben)
Natürlich geht dann im NEtz der Exchange langsam, die Anmeldungen dauern ewig usw.

Anfangs dachte ich natürlich es ist ein Wurm - der sich wie auch immer eingeschlichen hat.
Somit Scan mit McAfee, MS Security Scan, Sophos, Symantec, Malwarebytes, GMER, hijackthis...
Alles scheint in Ordnung.

Nun mal soweit das ja auch übers Netz eine Attacke erfolgen kann - jetzt am Wochenende alle Clients aus. Jetzt hat er es 8h ca. geschafft ruhig zu bleiben und danach ging es wieder los... - genau zu dem Zeitpunkt nämlich 03:03:22 ist kein einziger Eventlogeintrag protkolliert worden.
Einzig eigenartigs ist, dass ich je Minute ca. 500 Einträge im Security Eventlog bekomme... - aber scheint normal auf SBS 2011

Die Hardware in dem Fall ist einmal nebensächlich nehme ich an...
Trotzdem Xeon E5620, 24GB RAM, 2x 146GB SAS RAID1 4x 300GB SAS RAID5 + 1x 300GB SAS hot - Spare

Gut - natürlich bin ich trotzdem jedem einzelnen Eventlog auf die Spur gegangen, und hatte einige Dinge ausgebessert.
Netzwerkassistenten laufen lassen - hat ja der SBS gerne.

Danach gings natürlich weiter, habe mir ein Logging eingerichtet, damit ich weiß wer sich wann wo auf welchem REchner im Netz ab & anmeldet.
Auch hier - nichts passendes.

Eigenartigerweise kam es Do/Fr. sehr schnell zu diesem Fehler wenn alle im Netz waren, aber trotzdem kommt es auch so zustande - den Server ganz vom Netz nehmen ist nahezu unmöglich / da immer jemand arbeitet.

Ein Dumpfile hab ich auch shcon erstellt - welches zur Not an MS geschickt wird, wenn ich keine Lösung finden sollte.

Bin für alle Vorschläge offen.

mfg

outbreak · 03.03.2013, 17:51

noch zum hinzufügen vielleicht - der a/d bericht sagt die cpu auslastung vom lsass. ist das kdc - key distribution center

Christoph · 03.03.2013, 19:34

Du bist ja kein heuriger Hase, aber schau Dir mal das an:
http://www.neuber.com/taskmanager/de...lsass.exe.html
http://www.datei.info/was_ist/lsass_exe.html

Ist lsass.exe unter C:\Windows\System32?

outbreak · 03.03.2013, 20:10

- ja das tut sie... die Datei ist sauber...

Mobiletester · 04.03.2013, 08:38

Hast Du die Datei auf einen Stick kopiert und von einem anderen Rechner scannen lassen? Oder am besten ein Image des OS?
Wichtig ist ein anderer Rechner, der sicher virenfrei ist und einen guten Scanner hat.

outbreak · 04.03.2013, 08:40

wird hier weitergeführt:
http://www.mcseboard.de/topic/192013...ng-kein-virus/

03.03.2013, 16:15	#1
outbreak Veteran Registriert seit: 17.03.2002 Alter: 40 Beiträge: 468	lsass.exe - aber kein Virus Hallo, Ich habe hier einen SBS 2011 - ca. 60 User darauf und seit 3 Tagen das Problem, dass die lsass.exe immer wieder auf 99-100% CPU Auslastung geht. (ich nehm dann immer ein paar CPUs weg - damit mir ein paar Ressourcen übrig bleiben) Natürlich geht dann im NEtz der Exchange langsam, die Anmeldungen dauern ewig usw. Anfangs dachte ich natürlich es ist ein Wurm - der sich wie auch immer eingeschlichen hat. Somit Scan mit McAfee, MS Security Scan, Sophos, Symantec, Malwarebytes, GMER, hijackthis... Alles scheint in Ordnung. Nun mal soweit das ja auch übers Netz eine Attacke erfolgen kann - jetzt am Wochenende alle Clients aus. Jetzt hat er es 8h ca. geschafft ruhig zu bleiben und danach ging es wieder los... - genau zu dem Zeitpunkt nämlich 03:03:22 ist kein einziger Eventlogeintrag protkolliert worden. Einzig eigenartigs ist, dass ich je Minute ca. 500 Einträge im Security Eventlog bekomme... - aber scheint normal auf SBS 2011 Die Hardware in dem Fall ist einmal nebensächlich nehme ich an... Trotzdem Xeon E5620, 24GB RAM, 2x 146GB SAS RAID1 4x 300GB SAS RAID5 + 1x 300GB SAS hot - Spare Gut - natürlich bin ich trotzdem jedem einzelnen Eventlog auf die Spur gegangen, und hatte einige Dinge ausgebessert. Netzwerkassistenten laufen lassen - hat ja der SBS gerne. Danach gings natürlich weiter, habe mir ein Logging eingerichtet, damit ich weiß wer sich wann wo auf welchem REchner im Netz ab & anmeldet. Auch hier - nichts passendes. Eigenartigerweise kam es Do/Fr. sehr schnell zu diesem Fehler wenn alle im Netz waren, aber trotzdem kommt es auch so zustande - den Server ganz vom Netz nehmen ist nahezu unmöglich / da immer jemand arbeitet. Ein Dumpfile hab ich auch shcon erstellt - welches zur Not an MS geschickt wird, wenn ich keine Lösung finden sollte. Bin für alle Vorschläge offen. mfg ____________________________________ Schon frei für alle Netze? - Nein - dann PM

03.03.2013, 17:51	#2
outbreak Veteran Registriert seit: 17.03.2002 Alter: 40 Beiträge: 468	noch zum hinzufügen vielleicht - der a/d bericht sagt die cpu auslastung vom lsass. ist das kdc - key distribution center ____________________________________ Schon frei für alle Netze? - Nein - dann PM

03.03.2013, 19:34	#3
Christoph Mod, bin gerne da Registriert seit: 09.11.1999 Ort: W, NÖ Alter: 74 Beiträge: 13.646	Du bist ja kein heuriger Hase, aber schau Dir mal das an: http://www.neuber.com/taskmanager/de...lsass.exe.html http://www.datei.info/was_ist/lsass_exe.html Ist lsass.exe unter C:\Windows\System32? ____________________________________ Liebe Grüße Christoph Ein Kluger bemerkt alles, ein Dummer macht über alles seine Bemerkungen. (Heinrich Heine)

03.03.2013, 20:10	#4
outbreak Veteran Registriert seit: 17.03.2002 Alter: 40 Beiträge: 468	- ja das tut sie... die Datei ist sauber... ____________________________________ Schon frei für alle Netze? - Nein - dann PM

04.03.2013, 08:38	#5
Mobiletester Inventar Registriert seit: 31.07.2000 Ort: Planet Erde Beiträge: 2.498	Hast Du die Datei auf einen Stick kopiert und von einem anderen Rechner scannen lassen? Oder am besten ein Image des OS? Wichtig ist ein anderer Rechner, der sicher virenfrei ist und einen guten Scanner hat. ____________________________________ Gott hat nicht den Menschen erschaffen, der Mensch hat Gott erschaffen.

04.03.2013, 08:40	#6
outbreak Veteran Registriert seit: 17.03.2002 Alter: 40 Beiträge: 468	wird hier weitergeführt: http://www.mcseboard.de/topic/192013...ng-kein-virus/ ____________________________________ Schon frei für alle Netze? - Nein - dann PM

Aktive Benutzer in diesem Thema: 1 (Registrierte Benutzer: 0, Gäste: 1)