[решено] Ошибка приложения lsass.exe c кодом состояния с0000005

Petya V4sechkin

rotor123, по-прежнему Windows 7 SP1 без обновлений.

Например, WannaCry внедряется в систему в два этапа: на первом "пробивает" уязвимость EternalBlue в SMB по сети, на втором инжектирует вредоносный код в процесс lsass.exe.

rotor123 · Сообщение **rotor123** » 02 апр 2020, 11:05

Проблема решена. Причина была в отсутствии обновлений и вирусах в сети. 360 тотал секюрити снес, после установки обновлений виндовса, работает только виндовс дефендер(он стал нормально онлайн обновляться). В его журнале появляются записи об удалении вирусов при подключении с других компов. Но все работает без перезагрузок.

rotor123 · Сообщение **rotor123** » 10 апр 2020, 12:39

Всем привет. Админю Win 2012 r2, RDS. С недавних пор крэш lsass начал приводить к отложенной перезагрузке. Мешает работать.

Я почитал форум и попытался снять дамп с процесса. Но получаю отказ:

Код:

Код: Выделить всё

ProcDump v10.0 - Sysinternals process dump utility
Copyright (C) 2009-2020 Mark Russinovich and Andrew Richards
Sysinternals - www.sysinternals.com
Error debugging process:
???????? ? ???????. (0x00000005, 5)

За символами ??? гуглится "access is denied" по коду 5. Гуглить пробовал, но без результата. Окажите помощь, если получится.

Что делал:

1) в Политиках нашел параметр Debug Program и проверил, что Администраторы вписаны.

2) пробовал отключать, совсем закрывал приложение Kaspersky Endpoint Security

3) пробовал "натравить" ProcDump на другое приложение - получилось.

4) обновил до последней версии утилиту (10.0)

Хочу еще попробовать пофиксить исчерпанное место на WSUS и запустить обновление. Где-то полгода сижу без них получается. По сути после глобальной борьбы с WanaCry (и имею ввиду кучу обновлений нацеленных на борьбу с ним) не обновляюсь. Заранее спасибо за уделенное время

Petya V4sechkin

Цитата miwka77:

"access is denied" по коду 5

Запускаете cmd от имени Администратора?

Цитата miwka77:

и запустить обновление. Где-то полгода сижу без них получается. По сути после глобальной борьбы с WanaCry (и имею ввиду кучу обновлений нацеленных на борьбу с ним) не обновляюсь.

Да, обновиться надо, поскольку с тех пор были обнаружены другие уязвимости, в частности BlueKeep в RDS.

miwka77 · Сообщение **miwka77** » 18 мар 2021, 20:57

Цитата:

Запускаете cmd от имени Администратора?

Разумеется.

Про обновить - принял

Ест ещё идеи о правах для Дебага?

Petya V4sechkin

miwka77, попробуйте запустить cmd/ProcDump от имени SYSTEM (системной учётной записи).

miwka77 · Сообщение **miwka77** » 19 мар 2021, 10:18

Цитата Petya V4sechkin:

от имени SYSTEM

[решено] Ошибка приложения lsass.exe c кодом состояния с0000005

Не прокатило. Пока бросил попытки Дампнуть и Занялся обновлениями. В свете последних своих событий вижу связь перезагрузок и тем, что они происходят в момент работы именно моих пользователей. Стабильно по утрам. Видимо у кого-то запускается некое приложение, крашещее lsass. Буду эмперически искать, раз Дамп не слить.

Если будут советы альтернативного способа слить Дамп от Lsass'а, то я бы послушал

p.s я может зря сразу не сказал об этом: может на блокировку lsass повлять то, что сервер - это V-машина (VmWare ESXi)?