Aiuto? Nuovo caso AUTHORITY SYSTEM?

Pistol-pete · 01-05-2004, 14.34.00

Appena mi connetto, trascorsi circa 4-5 min
Mi compare una finestra con scritto

" SA Shell (export version)
L'applicazione verrà chiusa "

Posso solo cliccare ok.
Aprendo il task manager mi accorgo che c'è in esecuzione un file tra quelli SYSTEM chiamato "Drwtsn.exe" che non c'è MAI stato prima.
Pochi secondi dopo si apre la fatidica finestra dell'AUTHORITY SYSTEM che dice che il file "isass.exe" è stato chiuso con codice 1073741819 e che di conseguenza verrà riavviato il pc in un min. Sempre nel task manager mi accorgo che tutti i processi hanno perso identità, nel senso che che solo il ciclo idle di sistema viene identificato come SYSTEM mentre gli altri sono tutti sconosciuti.
Praticamente un remake del famoso RPC che veniva chiuso il virus Blast.
Ho letto il post in rilievo al riguardo ma non ho visto nulla al riguardo, qualcuno mi può aiutare?
Quale aggiornamento critico fa al caso mio?
(S.O. WinXP, no antivirus, no firewall)

P8257 WebMaster · 01-05-2004, 15.40.28

DRWTSN.EXE è Dt. Watson, un componente di windows che (storiacmente) si occupa di generare il dump e l'immagine e registro della memoria in caso di errori critici, quindi è regolare che in quel caso tu ce l'abbia in esecuzione.

Sembra proprio un errore dovuto alla terminazione anomala di un servizio vitale al sistema (LSA si occupa di questo), prova con una scansione antivirus, naturalmente stando disconnesso da internet.

Bye

P8257 WebMaster · 01-05-2004, 15.41.14

Il fatto che i processi "perdano identità" è dovuto proprio all'NT Authority che "scavalca" il tuo livello utente per prendere il controllo del sistema e terminare tutti i processi.

Bye

Pistol-pete · 01-05-2004, 20.35.20

nessuno se ci sono patch al riguardo? a me puzza molto di virus questa cosa!!!!! Come per il blaster che terminava l'RPC Locator, ce ne deve essere una anche per questo!

Pistol-pete · 02-05-2004, 02.53.34

ho eseguito un controllo antivirus ma niente, non ha trovato nulla.
Chiaramente ero off-line, altrimenti non ci sarei riuscito. Ho notato che se, dopo che è comparsa al finestra di errore LSA, io chiudo la connessione ad internet non compare il messaggio dell'authority system, quindi il presunto virus si attiva solo tramite connessione (ma solo dopo che è comparso il messaggio di errore LSA).
Boh! Ormai non so più che pesci pigliare....

primoair · 02-05-2004, 08.55.28

E' il nuovo Blaster bastava fare l'aggiornamento importante segnalato da Microsoft

primoair · 02-05-2004, 09.26.19

Guarda qui:
http://www.microsoft.com/italy/techn...4/ms04_011.asp

Bico Bico · 02-05-2004, 11.13.26

Non è il nuovo Blaster, è semplicemente un nuovo worm chiamato Sasser:
http://securityresponse.symantec.com...sser.worm.html

invernomuto · 02-05-2004, 12.32.35

Quota:

Originariamente inviato da primoair
E' il nuovo Blaster bastava fare l'aggiornamento importante segnalato da Microsoft

...oppure avere un buon fw in esecuzione...

Pistol-pete · 02-05-2004, 13.57.21

tutto a posto. ho aggiornato con la patch indicata da te primoair e adesso va a meraviglia. thks!

mxxx · 02-05-2004, 14.36.06

Forse che quello che mi è successo oggi è correlato con questo thread...

all'avvio mi appare una finestra di DOS (v. immagine) che mi richiede di connettermi ad internet, con PC-Cillin faccio la scansione e mi trova un virus nella cartella C:\WINDOWS\system32\drivers\etc di nome DOS_AGOBOT.HM nel file hosts, il problema che ad ogni riavvio il file si ricrea e io sono alla situazione di partenza, cosa posso fare?

Grazie!

(ho dovuto ritagliare l'immagine per motivi di spazio)

primoair · 02-05-2004, 15.56.25

Quota:

Originariamente inviato da mxxx
Forse che quello che mi è successo oggi è correlato con questo thread...

all'avvio mi appare una finestra di DOS (v. immagine) che mi richiede di connettermi ad internet, con PC-Cillin faccio la scansione e mi trova un virus nella cartella C:\WINDOWS\system32\drivers\etc di nome DOS_AGOBOT.HM nel file hosts, il problema che ad ogni riavvio il file si ricrea e io sono alla situazione di partenza, cosa posso fare?

Grazie!

(ho dovuto ritagliare l'immagine per motivi di spazio)

Guarda e vedrai che hai il firewall disattivato.

mxxx · 02-05-2004, 16.11.00

Quota:

Originariamente inviato da primoair

Guarda e vedrai che hai il firewall disattivato.

grazie primo,
però il firewall c'è l'ho sempre disattivato (e vorrei tenerlo così) e la finestra parte senza che io sia connesso ... vorrei eliminare la fonte del problema e scoprire cosa accade ad ogni avvio di win...

cmq GRAZIE!

tatore · 18-06-2007, 10.29.26

mi manderesti la ptch cortesemente tramite e-mail
la kia email
xxxxxxxxxxxxx

[edit by Thor: non è concesso mettere sul forum il proprio indirizzo email; contatta chi vuoi tramite messaggio privato]

01-05-2004, 14.34.00	#1
Pistol-pete Hero Member Registrato: 26-09-2002 Loc.: Vicino a Piacenza Messaggi: 541	Aiuto? Nuovo caso AUTHORITY SYSTEM? Appena mi connetto, trascorsi circa 4-5 min Mi compare una finestra con scritto " SA Shell (export version) L'applicazione verrà chiusa " Posso solo cliccare ok. Aprendo il task manager mi accorgo che c'è in esecuzione un file tra quelli SYSTEM chiamato "Drwtsn.exe" che non c'è MAI stato prima. Pochi secondi dopo si apre la fatidica finestra dell'AUTHORITY SYSTEM che dice che il file "isass.exe" è stato chiuso con codice 1073741819 e che di conseguenza verrà riavviato il pc in un min. Sempre nel task manager mi accorgo che tutti i processi hanno perso identità, nel senso che che solo il ciclo idle di sistema viene identificato come SYSTEM mentre gli altri sono tutti sconosciuti. Praticamente un remake del famoso RPC che veniva chiuso il virus Blast. Ho letto il post in rilievo al riguardo ma non ho visto nulla al riguardo, qualcuno mi può aiutare? Quale aggiornamento critico fa al caso mio? (S.O. WinXP, no antivirus, no firewall)

01-05-2004, 20.35.20	#4
Pistol-pete Hero Member Registrato: 26-09-2002 Loc.: Vicino a Piacenza Messaggi: 541	nessuno se ci sono patch al riguardo? a me puzza molto di virus questa cosa!!!!! Come per il blaster che terminava l'RPC Locator, ce ne deve essere una anche per questo! ___________________________________ "Building the future and keeping the past alive are one and the same thing" Snake - Hideo Kojima

02-05-2004, 02.53.34	#5
Pistol-pete Hero Member Registrato: 26-09-2002 Loc.: Vicino a Piacenza Messaggi: 541	ho eseguito un controllo antivirus ma niente, non ha trovato nulla. Chiaramente ero off-line, altrimenti non ci sarei riuscito. Ho notato che se, dopo che è comparsa al finestra di errore LSA, io chiudo la connessione ad internet non compare il messaggio dell'authority system, quindi il presunto virus si attiva solo tramite connessione (ma solo dopo che è comparso il messaggio di errore LSA). Boh! Ormai non so più che pesci pigliare.... ___________________________________ "Building the future and keeping the past alive are one and the same thing" Snake - Hideo Kojima

02-05-2004, 08.55.28	#6
primoair Hero Member Registrato: 27-08-2000 Loc.: Milano provincia Messaggi: 757	E' il nuovo Blaster bastava fare l'aggiornamento importante segnalato da Microsoft ___________________________________ Primo

02-05-2004, 09.26.19	#7
primoair Hero Member Registrato: 27-08-2000 Loc.: Milano provincia Messaggi: 757	Guarda qui: http://www.microsoft.com/italy/techn...4/ms04_011.asp ___________________________________ Primo

01-05-2004, 15.40.28	#2
P8257 WebMaster Gold Member Registrato: 07-01-2002 Loc.: Milano Messaggi: 2.863	DRWTSN.EXE è Dt. Watson, un componente di windows che (storiacmente) si occupa di generare il dump e l'immagine e registro della memoria in caso di errori critici, quindi è regolare che in quel caso tu ce l'abbia in esecuzione. Sembra proprio un errore dovuto alla terminazione anomala di un servizio vitale al sistema (LSA si occupa di questo), prova con una scansione antivirus, naturalmente stando disconnesso da internet. Bye

01-05-2004, 15.41.14	#3
P8257 WebMaster Gold Member Registrato: 07-01-2002 Loc.: Milano Messaggi: 2.863	Il fatto che i processi "perdano identità" è dovuto proprio all'NT Authority che "scavalca" il tuo livello utente per prendere il controllo del sistema e terminare tutti i processi. Bye

02-05-2004, 11.13.26	#8
Bico Bico Images And Words Registrato: 15-12-2002 Loc.: Roma Messaggi: 2.362	Non è il nuovo Blaster, è semplicemente un nuovo worm chiamato Sasser: http://securityresponse.symantec.com...sser.worm.html ___________________________________ Step after step we try controlling our fate, when we finally start living it's become too late. Trapped inside this Octavarium! ..:: La configurazione del mio PC ::.. \| powered by Athlon 64

02-05-2004, 13.57.21	#10
Pistol-pete Hero Member Registrato: 26-09-2002 Loc.: Vicino a Piacenza Messaggi: 541	tutto a posto. ho aggiornato con la patch indicata da te primoair e adesso va a meraviglia. thks! ___________________________________ "Building the future and keeping the past alive are one and the same thing" Snake - Hideo Kojima

02-05-2004, 14.36.06	#11
mxxx Junior Member Registrato: 11-08-2003 Messaggi: 114	Forse che quello che mi è successo oggi è correlato con questo thread... all'avvio mi appare una finestra di DOS (v. immagine) che mi richiede di connettermi ad internet, con PC-Cillin faccio la scansione e mi trova un virus nella cartella C:\WINDOWS\system32\drivers\etc di nome DOS_AGOBOT.HM nel file hosts, il problema che ad ogni riavvio il file si ricrea e io sono alla situazione di partenza, cosa posso fare? Grazie! (ho dovuto ritagliare l'immagine per motivi di spazio)

18-06-2007, 10.29.26	#14
tatore Newbie Registrato: 18-06-2007 Messaggi: 1	mi manderesti la ptch cortesemente tramite e-mail la kia email xxxxxxxxxxxxx [edit by Thor: non è concesso mettere sul forum il proprio indirizzo email; contatta chi vuoi tramite messaggio privato] Ultima modifica di Thor : 18-06-2007 alle ore 12.14.44

Utenti attualmente attivi che stanno leggendo questa discussione: 1 (0 utenti e 1 ospiti)

Strumenti discussione
Visualizza versione stampabile Invia questa pagina via e-mail

Discussioni simili
Discussione	Autore discussione	Forum	Risposte	Ultimo messaggio
aiuto su framework java	allnaz	Programmazione	0	03-02-2008 17.48.45
[9x] 98 - Missing operating system, aiuto per formattazione	rochi	Windows 9x/Me/NT4/2000	5	09-01-2008 18.57.20
Sonora, CA - Ufo, nuovo caso Messico o cosa?	Giorgius	Chiacchiere in libertà	42	05-07-2004 03.02.31
AIUTO LINK A CASO	germe	Windows 7/Vista/XP/ 2003	4	16-03-2004 12.19.12
Aiuto con Norton System Works 2003	riker	Software applicativo	1	20-08-2003 20.35.40