Nach kritischem Systemprozess kein Internet mehr

[kai77]

Hallo!
Als ich vor einigen Tagen im Internet war bekam ich plötzlich eine Fehlermeldung:
"Ein kritischer Systemprozess c:\windows\system32\lsass.exe ist fehlgeschlagen mit dem Statuscode 128. Der Computer muss neu gestartet werden"
Danach kam das Fenster das der Computer neu gestartet wird in 60 Sekunden. Das war das was nach dem Sasser-Wurm aussieht. Wenn ichs richtig gelesen habe fährt sich der Computer dann aber ständig runter.

Nach dem Neustart wollte ich mich wieder ins Internet einwählen. Das ging jedoch nicht mehr. Es kommt immer die Meldung:
"Mit dem Telefonbucheintrag kann keine Verbindung hergestellt werden.
Fehler 775: Der Anruf wurde vom Remotecomputer abgewiesen."
Diese 2. Meldung kommt immer sofort wenn ich in meiner Internetverknüpfung auf Wählen drücke.
Ich dachte erst an einen Virus oder sonstigen Schädling. Habe daher Laufwerk C mit BitDefender gescannt (letzte Aktualisierung am WE), danach mit AdAware, Spybot und dem Anti-Trojaner-Tool Stinger. Leider ohne Erfolg. Nach Suchen im Netz habe ich auch noch andere Removal-Tools versucht, auch im abgesicherten Modus, aber ohne Erfolg.
Habe auch nochmal kontrolliert ob Kabel und Modem ordentlich halten. Auch Neustarts, andere Provider und neu erstellte Internet-Verbindung haben nichts gebracht.
Die Windows-eigene Hilfe und ihre Tips brachten auch nichts.
Ich nutze Windows XP prof., Internet (ISDN) über Fritzcard V2 (von der Telekom, Software Teledat), Zugang über IbC.

Hab gestern mal noch weiteres probiert.

Als erstes die Systemwiederherstellung auf einen Tag vor dem Fehler, brachte leider keinen Erfolg. Konnte sich noch immer nicht verbinden.
Dann die Reparatur von XP ausgeführt. Dadurch wurde das System entschlackt. Aber alle erstellten Internetverbindungen waren danach weg. Neue zu erstellen ging nicht mehr, Verbindungen konnten nur noch per LAN erstellt werden. Der Punkt per Modem (unter DFÜ-verbindung manuell erstellen) war ausgegraut. Also dachte ich ev. wird einfach das Modem nicht erkannt. In der Systemsteuerung stands aber noch drin (bei meinem Modem werden da unter Geräremanager->Modem mehrere verschiedene Sache wir Modem, Fax, etc. angezeigt). Also hab ich das alles erstmal deinstalliert um zu versuchen ob es nach einer Hardwareneuerkennung besser wird. Nach Neustart wurde aber keine Neuerkennung gestarted. Auch manuell nicht möglich. Nur im Gerätemanager unter Netzwerk stand die Fritzcard noch drin.
Jetzt wollte ich testen ob das Modem überhaupt noch funktioniert. Auf nem anderen PCI-Steckplatz wurde es erkannt, funktioniert also noch. Aber unter Gerätemanager->Modem wurden wieder keine Modems erkannt.
So habe ich nochmal per Systemwiederherstellung auf den Punkt nach der XP-Reparatur zurückgefahren. Jetzt stehen die Modems wieder drin, aber eine Verbindung ist weiterhin nur per LAN möglich, die Möglichkeit über Modem wird immer noch nicht angezeigt (kann noch Bilder reinstellen wenns hilft, aber erst morgen früh).Hab gestern mal noch weiteres probiert.

Als erstes die Systemwiederherstellung auf einen Tag vor dem Fehler, brachte leider keinen Erfolg. Konnte sich noch immer nicht verbinden.
Dann die Reparatur von XP ausgeführt. Dadurch wurde das System entschlackt. Aber alle erstellten Internetverbindungen waren danach weg. Neue zu erstellen ging nicht mehr, Verbindungen konnten nur noch per LAN erstellt werden. Der Punkt per Modem (unter DFÜ-verbindung manuell erstellen) war ausgegraut. Also dachte ich ev. wird einfach das Modem nicht erkannt. In der Systemsteuerung stands aber noch drin (bei meinem Modem werden da unter Geräremanager->Modem mehrere verschiedene Sache wir Modem, Fax, etc. angezeigt). Also hab ich das alles erstmal deinstalliert um zu versuchen ob es nach einer Hardwareneuerkennung besser wird. Nach Neustart wurde aber keine Neuerkennung gestarted. Auch manuell nicht möglich. Nur im Gerätemanager unter Netzwerk stand die Fritzcard noch drin.
Jetzt wollte ich testen ob das Modem überhaupt noch funktioniert. Auf nem anderen PCI-Steckplatz wurde es erkannt, funktioniert also noch. Aber unter Gerätemanager->Modem wurden wieder keine Modems erkannt.
So habe ich nochmal per Systemwiederherstellung auf den Punkt nach der XP-Reparatur zurückgefahren. Jetzt stehen die Modems wieder drin, aber eine Verbindung ist weiterhin nur per LAN möglich, die Möglichkeit über Modem wird immer noch nicht angezeigt (kann noch Bilder reinstellen wenns hilft, aber erst morgen früh).Hab gestern mal noch weiteres probiert.

Als erstes die Systemwiederherstellung auf einen Tag vor dem Fehler, brachte leider keinen Erfolg. Konnte sich noch immer nicht verbinden.
Dann die Reparatur von XP ausgeführt. Dadurch wurde das System entschlackt. Aber alle erstellten Internetverbindungen waren danach weg. Neue zu erstellen ging nicht mehr, Verbindungen konnten nur noch per LAN erstellt werden. Der Punkt per Modem (unter DFÜ-verbindung manuell erstellen) war ausgegraut. Also dachte ich ev. wird einfach das Modem nicht erkannt. In der Systemsteuerung stands aber noch drin (bei meinem Modem werden da unter Geräremanager->Modem mehrere verschiedene Sache wir Modem, Fax, etc. angezeigt). Also hab ich das alles erstmal deinstalliert um zu versuchen ob es nach einer Hardwareneuerkennung besser wird. Nach Neustart wurde aber keine Neuerkennung gestarted. Auch manuell nicht möglich. Nur im Gerätemanager unter Netzwerk stand die Fritzcard noch drin.
Jetzt wollte ich testen ob das Modem überhaupt noch funktioniert. Auf nem anderen PCI-Steckplatz wurde es erkannt, funktioniert also noch. Aber unter Gerätemanager->Modem wurden wieder keine Modems erkannt.
So habe ich nochmal per Systemwiederherstellung auf den Punkt nach der XP-Reparatur zurückgefahren. Jetzt stehen die Modems wieder drin, aber eine Verbindung ist weiterhin nur per LAN möglich, die Möglichkeit über Modem wird immer noch nicht angezeigt.

Also ich hoffe jemand kann helfen.

 

[Starsucker]

Vielleicht hilft dir das hier ja :

statuscode 128 lsass

Problemumgehungen für die LSASS-Sicherheitsanfälligkeit – CAN-2003-0533

Microsoft hat die folgenden Problemumgehungen getestet. Diese Problemumgehungen beheben nicht die zugrunde liegende Sicherheitsanfälligkeit, sondern blockieren nur die bekannten Angriffsmethoden. Wenn die Funktionalität durch eine Problemumgehung verringert wird, wird diese Einschränkung im Folgenden genannt.
Erstellen Sie eine Datei namens %systemroot%\\debug\\dcpromo.log und setzen Sie diese in den Eigenschaften auf schreibgeschützt (read-only). Um dies zu tun, geben Sie folgenden Befehl in die Kommandozeile ein:

echo dcpromo >%systemroot%\\debug\\dcpromo.log & attrib +r %systemroot%\\debug\\dcpromo.log

Hinweis: Dies ist die effektivste Möglichkeit, die Verwundbarkeit abzuschwächen, da es den verwundbaren Code veranlasst, nie ausgeführt zu werden. Diese Problemumgehung funktioniert für Pakete, die an jeden verwundbaren Port geschickt werden.

W32.Sasser.Worm ist ein Internetwurm, der sich über eine nicht geschlossene Sicherheitslücke im Betriebssystem Windows XP, Windows 2000 verbreitet.

Es sind mehrere Varianten bekannt, die sich in ihrer Funktion nicht wesentlich unterscheiden.

Es handelt sich dabei um eine Schwachstelle im sog. Local Security Authority Subsystem Service (LSASS). Diese Schwachstelle ist seit dem 13. April 2004 bekannt. Durch einen Pufferüberlauf ist es einem Angreifer möglich, Programmcode auszuführen und somit volle Kontrolle über den angegriffenen Computer zu erlangen. Microsoft stellt eine deutsche Beschreibung dieser Sicherheitslücke zur Verfügung. Die Schwachstelle wird mit dem Sicherheits-Update KB835732 geschlossen.
Für die weitverbreiteten Betriebssysteme Windows 2000 und Windows XP stehen Updates bereit unter:
Microsoft Windows 2000 (SP2, SP3 und SP4)
Microsoft Windows XP und Microsoft Windows XP SP1
Updates für alle übrigen Windows-Betriebssysteme befinden sich in der Microsoft-Beschreibung zur Sicherheitslücke.

Der Wurm verbreitet sich nicht über E-Mail-Nachrichten. Computer mit der genannten Sicherheitslücke werden infiziert, wenn Sie Verbindung zum Internet haben. Sasser benötigt keine Aktion des Anwenders!

Bei der Infektion (oder dem Infektionsversuch) eines Systems kann es zu einer der folgenden Fehlermeldungen mit anschließendem automatischen Neustart des Systems kommen.

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]
"avserve.exe"="%windir%\\avserve.exe"

wird Sasser beim Rechnerstart aktiviert.

Eine weitere Kopie des Wurms befindet sich unter:

c:\\windows\\system32\\?????_up.exe

wobei ????? beliebige Ziffern sind.
Beispiele:
c:\\windows\\system32\\12345_up.exe
c:\\windows\\system32\\27583_up.exe

Entfernung des Wurms Sasser

Zur Entfernung des Wurms sind folgende Schritte durchzuführen:

Vor der Entfernung muss die Sicherheitslücke des Betriebssystems geschlossen werden. Andernfalls kann es jederzeit zu einer Neuinfektion kommen, wenn der Computer ans Netz angeschlossen wird.
Kontrollieren Sie die ordnungsgemäße Installation in Systemsteuerung - Software. In der Liste der installierten Programme muss sich der Eintrag "Windows XP Hotfix - KB835732" befinden.

Laden Sie eines der unten aufgeführten speziellen Entfernungstools und durchsuchen Sie damit den Computer. Zur Verwendung der Programme müssen Sie Administrator-Berechtigung besitzen. Andernfalls erhalten Sie eine Fehlermeldung.
Symantec (FxSasser.exe): Direkt-Download oder Download mit englischer Beschreibung
NAI (Stinger.exe): Direkt-Download oder Download mit englischer Beschreibung
Bei Windows XP muss vor der Entfernung die Systemwiederherstellung deaktiviert werden.
Starten Sie den Computer im abgesicherten Modus .
Durchsuchen Sie den Computer mit dem Entfernungstool