Depuis quelques jours a commencé l´exploitation d´une faille de sécurité présente sur les systèmes Windows à base de noyau NT. La faille affecte le service lsass.exe ( Security Accounts Manager) et permet au choix d´effectuer un Denial of Service ( reboot de la machine) ou d´installer un programme en vue de prendre le controle de la machine distante.

Un hotfix est disponible chez Microsoft, il faudrait l´installer rapidement si ce n´est pas fait. Pour se protéger de ce type d´attaques un pare-feu ( firewall) est nécessaire ; un anti-virus ne sera pas particulièrement efficace, au mieux il pourra réparer les dégats.

Microsoft Security Bulletin MS04-11 :
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

Windows 2000 anglais :
http://download.microsoft.com/download/f/a/a/faa796aa-399d-437a-9284-c3536e9f2e6e/Windows2000-KB835732-x86-ENU.EXE

Windows 2000 français :
http://download.microsoft.com/download/0/1/6/016bd08b-1a0a-4ce6-9c3f-bc1f4ccb1b9b/Windows2000-KB835732-x86-FRA.EXE

Windows XP anglais :
http://download.microsoft.com/download/6/1/5/615a50e9-a508-4d67-b53c-3a43455761bf/WindowsXP-KB835732-x86-ENU.EXE

Windows XP français :
http://download.microsoft.com/download/6/2/e/62e5a992-b54b-4d86-88ed-ea06852c5c46/WindowsXP-KB835732-x86-FRA.EXE

Il serait ensuite judicieux de vérifier que votre machine est à jour en terme de sécurité, il existe un utilitaire gratuit et simple d´utilisation qui permet de vérifier la présence des hotfixes sur votre machine, Microsoft Baseline Security Analyzer 1.2 :
- MBSA Homepage
- Téléchargement MBSA 1.2 anglais
- Téléchargement MBSA 1.2 français

Addenum :
Pour ceux qui n´arrivent pas à télécharger le patch avant de rebooter.
Sous Windows XP :
- Menu Démarrer -> Exécuter -> Saisir " shutdown / a" ( sans les guillemets) -> Bouton OK

Sous Windows 2000 :
- Télécharger shutdown.exe et l´enregistrer dans le répertoire d´installation de Windows.
- Menu Démarrer -> Exécuter -> Saisir " shutdown / a" ( sans les guillemets) -> Bouton OK

oui ce virus est prenomé Sasser , je l´ai depuis quelques instants ( Boot a cause de lsass.exe, comme Blaster avec RPC, disparition du bouton " arreter l´ordinateur" dans le menu demarrer(?!)). A en croire les forums d´autres sites, beaucoup de monde a été victime de ce virus. tout est expliqué la :

http://www.secuser.com/alertes/2004/sasser.htm

Surtout, verifiez bien que votre pare feu est activé et correctement configuré ( a mon avis c´est a cause de ca que je l´ai chopé) et dl le correctif windows de ruomuh, en attendant les mises a jour antivirus.

=> autre truc pour eviter le boot : regler la date sur une date anterieure, par exemple le 1er janvier.

ok j´installe le correctif pour 2000 pro fr de suite !

SURTOUT ne desactivez pas votre pare feu!

En fait moi je voulais telecharger qqe chose sur emule, comme il trouvait pas de serveur j´ai desactivé mon pare feu windows, et une minute après je voit la fenetre indiquant que mon PC redemarre ds une minute

=> Ca m´apprendra à utiliser E-mule, je suis puni.

Dans mes tache de fond g LSASS.exe et rien ne se passe , pas de reboot , de plantage ou je ne c koi encore , je riske kelke chose ou pas ?

c´est normal, lsass.exe est un processus windows important mais inoffensif si il n´est pas infecté. vérifie tout de meme si il se prénomme bien lsass.exe et non pas Isass.exe ou lssas.exe car dans ce cas la ce sont des virus.

sinon LSASS.exe c´est en majuscules?

Lsass.exe comme ça enfin che pas si c un L ou un I mais je pense ke c bon car ds le cas contraire j´aurai deja eu des reboot ou autre connerie

lsass.exe avec un l au début c´est un programme qui sert à redemarrer la machine ou l´arreter il me semble
C:/WIMDOWS/SYSTEM32/isass.exe
Il fait 12 ko de taille en une faction de seconde il s´installe.Le parfeu est indipensable.

En activité normale il prend zéro pourcent de l´utilité mêmoire,infecté il prend des ressources et fait sans dout ramer la machine.

En activité normale il prend zéro pourcent de l´utilité mêmoire,infecté il prend des ressources et fait sans dout ramer la machine.

Sasser, chez moi, c´etait le processus avserve.exe , une fois descativée, on a toute liberté pour remettre l´entivrus a jour ( il ont mis la definition en ligne)...

up