Перейти к содержанию
Ingener

Возможно завелся троян.

Recommended Posts

Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
должен ли быть файл lsass в директории sustem 32

Lsass.JPG

Если такой, то должен быть. Если свойства его пустые, то - засланец. :)

Lsass.exe является сервером аутентификации локальной защиты, создающим процесс, ответственный за проверку пользователей для службы Winlogon.

post-3999-1242849568_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
система не загружается

А в безопасном режиме через F8?

что это за lsass - зловред или нет.

На моей картинке видно, что у меня такой же - не зловред. Но иногда недруги маскируются под системные файлы.

Например, сетевые черви Sasser, Nimos, Lovgate и др. содержат исполняемый файл с именем lsass.exe.

На это видимо Avira PSS 9 и среагировала. Даже если не зловред, то банальная перестраховка.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
После блокировки сетевого соединения и перезагрузки система не загружается - похоже придется перезалить систему с образа. Но мне всё же интересно что это за lsass - зловред или нет.

Это полезная бифидобактерия (С) БОР

Если быть точным - важный системный сервис, более подробно -http://ru.wikipedia.org/wiki/Local_Securit...bsystem_Service

Впрочем, зловреды, внедряющиеся в этот процесс (или использующие его уязвимости) - штука нередкая. Так что я бы рекомендовал провериться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Рано обрадывался после нажатия кнопки ок на окошке система дальше не грузится - не могу ввести пароль.

Собственно, это свидетельствует о том, что оригинальный файл поврежден и неработоспособен, поскольку за логин пользователей ответственен и он тоже.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
система дальше не грузится - не могу ввести пароль.
Lsass.exe является сервером аутентификации локальной защиты, создающим процесс, ответственный за проверку пользователей для службы Winlogon.

Естественно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Сравнил CRC-суммы SFV, MD5 - изменений нет, полностью совпадают - может программа заразит файл потом в процессе работы (буду периодически проверять), а может это Avira 9 что-то сотворила с файлом lsass - могла ли она его повредить?

Не должна была. Единственное - при Вашем решении его блокировать Авира могла его просто запихнуть в свой карантин.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

@ Ingener

Я бы отправил установщик в разные лаборатории, особенно в ЛК и Др.Веб. 'Второе мнение' не мешает...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu

Скорее всего заражает не программа, а кряк, который вы использовали ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
заражает не программа, а кряк

А что это за программа для расчёта фундаментов? Как её зовут то? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Программа "Мономах" - разработчики украинская компания Lira

Ага вот эта, значит. Там и демо-версии есть.

Можно протестировать, кто захочет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
может кто на досуге спроектирует

Ну да, тут ума палату сначало заиметь надо. Или готовый шаблон открыть, чтобы что-нибудь в нём накосячить. ;)

И Вы всё это понимаете?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Там ничего особо сложного нет.

Все так говорят, но не все дома строят. В программе разобраться то можно и даже в ГрандСмете всё просчитать тоже, и бухгалтерию в 1С подвести,.. но дом построить на таком фундаменте - это труднее.

Каждому своё!

В программе для расчета монолитных плит фундаментов я разобрался с нуля примерно за день - самая геморойное там разобраться в системе координат.

Голова! Разберётесь, если трояны не помешают. :)

Ну и что там с системой и нашими/вашими троянами? В Инет ещё просятся?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener

-

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Совет на будущее. Самой быстрой и простой проверкой процесса/известного системного файла/известной старой программы является проверка по базе чистых АВЗ:

Сервис - Проверить файл по базе безопасных - (выбираем файл).

И получить должны следующее:

Файл: C:\WINDOWS\system32\lsass.exe. Результат: Файл обнаружен в базе системных и безопасных объектов AVZ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
akoK
Самой быстрой и простой проверкой процесса/известного системного файла/известной старой программы является проверка по базе чистых АВЗ

Если файл есть в базе безопасных. Без полной уверености нельзя принимать решения.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      Dragokas Да, сегодня искал по данному вопросу информацию. https://ru.bmstu.wiki/Кража_веб-страниц,_запускаемых_в_браузере_пользователя,_с_использованием_уязвимостей_графического_процессора + Ещё будет полезна информация полученная по:  tasklist  [ Память ] https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist  
    • Dragokas
      Раз уж в них такие нестыковки по показаниям GPU, проще наверное взять исходники какого-нибудь консольного майнера. Там обычно отображаются и учитываются все такие нагрузки, уже заточена поддержка под несколько видеокарт и даже можно задать ограничения. Можно начать с NiceHashMiner - там внутри папки есть все наиболее популярные майнеры и дальше уже смотреть, у какого из них есть исходник, в крайнем случае списаться с автором.
    • Dragokas
    • demkd
      Сейчас посмотрел в Windows 10 1803, PH показал загрузку, но вот только отличие от реальной более чем в 2 раза xD
      PE показал на процент больше, но считай тоже самое, виндовый диспетчер задач показал менее процента при реальной загрузке близкой к 100%
      Вывод очевиден: надо делать самому с нуля, почитаю что там умеет dx оценю объем работ, если он небольшой то сделаю, если нет то когда-нибудь...

      Посмотрел что показывает PE на Windows 7 с 4-мя картами загруженными майнингом на 100%:
      Как бы он вообще не видит что zecminer64 насилует все 4 карты одновременно


      ProcessHacker повел себя идентично, копипаст рулит, одинаковые ошибки в одинаковых случаях.
    • PR55.RP55
      Знак GPU  на груди у него больше не знали о нём ничего. ProcessHacker Source code: https://processhacker.sourceforge.io/downloads.php + https://github.com/processhacker/processhacker/blob/569da8a8d9c581c5c744cf2146f9b746766395ed/plugins/ExtendedTools/gpumon.c И в Process Explorer   Который уже раз пишу...
×