Reboot wie bei Sasser

[Psychodrummer]

Hallo liebe Community,

ich hoffe, dass ihr mir helfen könnt, und das ich im richtigen Thread bin.

Ich schlage mich nunmehr seit 2 Wochen mit einem Kunden-PC herum.

Er soll wohl den selben Fehler bringen wie bei Sasser (leider konnte ich den Fehler noch nicht reproduzieren).

Ich habe umfangreiche Virensuche gemacht, leider ohne Erfolg.

In der Ereignisanzeige steht Folgendes:

Ereignistyp: Fehler

Ereignisquelle: Winlogon

Ereigniskategorie: Keine

Ereigniskennung: 1015

Datum: 15.1.2007

Zeit: 08:04:04

Benutzer: Nicht zutreffend

Computer: LSCHB-BS-PC41

Beschreibung:

Ein kritischer Systemprozess C:\WINDOWS\system32\lsass.exe ist fehlgeschlagen mit den Statuscode c0000005. Der Computer muss neu gestartet werden.

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter Events And Errors Message Center: Basic Search.

Weiß von euch vielleicht noch einer was das für ein Fehler sein kann. Windows schlägt mir noch etwas mit dem Default-User Profil vor. Es ist auch nicht mehr sauber da. Kann es auch daran liegen. Konnte den Fehler dennoch nicht reproduzieren.

Oder kann es an der Hardware liegen?

Ich hoffe ihr habt noch Ideen, oder so einen Fehler schon mal gehabt.

Gruß

Psychodrummer

[Fufialk]

Also Microsoft gibt noch 6 weitere Tips: Siehe hier.

Jetzt ist nur noch die Frage nach Betriebssystem, und ob Einzelplatz oder Netzwerkrechner (Domäne etc.).

[Psychodrummer]

Jetzt ist nur noch die Frage nach Betriebssystem, und ob Einzelplatz oder Netzwerkrechner (Domäne etc.).

Sorry hatte ich vergessen :upps

Also Betriebssystem ist Windows XP Pro und der Rechner befindet sich in einer Domäne.

Also Microsoft gibt noch 6 weitere Tips: Siehe hier.

Naja es sind aber Error Messages die von anderen Diensten ausgelöst wurden. Aber auf der Seite auch nur einer der von Winlogon ausgelöst wurde.

[Psychodrummer]

Also nach weitern "Rumprobieren" und Kopfzerbrechen sind mein Kollege und ich auf ein Ergebnis gekommen.

Wir vermuten, dass es in dem Kundennetz eine doppelte SID gibt, was bei > 5000 auch durchaus sein könnte. Da sich der Client mit der SID beim Server, auf dem ActiveDirectory läuft, anmeldet und die SID evtl. schon angemeldet ist bekommt der eine Fehlermeldung zurück die dann zum Fälschlagen des Dienstes: "Anmeldedienst" führt und dieser den PC neu startet.

Ob es das nun auch wirklich ist bleibt dennoch weiterhin nur eine Vermutung, aber es würde jedenfalls alles dafür sprechen.

Danke für deine Hilfe.