PDA

View Full Version : Trojan su sens.dll

ltc044
17-05-2008, 09:31
Da un pò di tempo l'ottimo Avira AntiVir Personal (versione freeware) mi segnala la presenza di un Trojan nel file

sens.dll

contenuto all'interno di c:\windows\system32

Ho provato a cancellarlo, ma non è possibile. Ho provato anche ad entrare con linux, ma anche li non ci sono riuscito (senz'altro perchè sono niubbo, probabilmente non avevo la distro giusta per lavorare su NTFS...).

Poi ho provato a guardare su google, e mi pare di avere capito che se elimino sens.dll non funziona più windows !!!!

Leggendo sul forum ho provato a fare una scansione con VIRUSTOTAL, che mi segnala una positività del 25%.

Adesso che faccio ?? Non ne ho la più pallidsa idea !!!
ltc044
17-05-2008, 09:36
Aggiungo il risultato della scansione con VirusTotal:


Antivirus Versione Ultimo aggiornamento Risultato
AhnLab-V3 2008.5.16.0 2008.05.16 -
AntiVir 7.8.0.19 2008.05.17 TR/Patched.BD.150
Authentium 5.1.0.4 2008.05.17 -
Avast 4.8.1195.0 2008.05.17 Win32:Patched-FF
AVG 7.5.0.516 2008.05.16 -
BitDefender 7.2 2008.05.17 Trojan.Patched.BD
CAT-QuickHeal 9.50 2008.05.16 -
ClamAV 0.92.1 2008.05.17 -
DrWeb 4.44.0.09170 2008.05.17 -
eSafe 7.0.15.0 2008.05.16 -
eTrust-Vet 31.4.5796 2008.05.16 -
Ewido 4.0 2008.05.14 -
F-Prot 4.4.2.54 2008.05.16 -
F-Secure 6.70.13260.0 2008.05.17 -
Fortinet 3.14.0.0 2008.05.17 -
GData 2.0.7306.1023 2008.05.17 Win32:Patched-FF
Ikarus T3.1.1.26.0 2008.05.17 Trojan.Patched.BD
Kaspersky 7.0.0.125 2008.05.17 -
McAfee 5297 2008.05.17 -
Microsoft 1.3408 2008.05.13 -
NOD32v2 3106 2008.05.16 -
Norman 5.80.02 2008.05.16 -
Panda 9.0.0.4 2008.05.17 -
Prevx1 V2 2008.05.17 -
Rising 20.44.51.00 2008.05.17 Trojan.Win32.Patch.d
Sophos 4.29.0 2008.05.17 -
Sunbelt 3.0.1123.1 2008.05.17 -
Symantec 10 2008.05.17 -
TheHacker 6.2.92.311 2008.05.15 -
VBA32 3.12.6.6 2008.05.17 -
VirusBuster 4.3.26:9 2008.05.16 -
Webwasher-Gateway 6.6.2 2008.05.17 Trojan.Patched.BD.150

Informazioni addizionali
File size: 38912 bytes
MD5...: 255631232d0e55e0d8c593c06dfeda42
SHA1..: 9235e3b2710c4558804a36b324237de165d0fcf9
SHA256: 026e4455b631521eb62122916a0573bb8585db04c4f8e726fb73e4f447eaec65
SHA512: 2358ba7d277fb117951d4ddccef24e21adc2dce77f7c0f9f790661828f6d968e
06e96e3fdecada17dfa10bb599e9e356aacffa942fd9179ff68b8ee0d06bb9d1
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x722612a3
timedatestamp.....: 0x41252beb (Thu Aug 19 22:38:35 2004)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x722d 0x7400 6.32 d02829e3250c37a72c901aa6012cd852
.data 0x9000 0x29c 0x200 1.62 5a0f2e57aa07bc30a10295a9dc8aa488
.rsrc 0xa000 0x1520 0x1600 3.95 1ef872deceab5ec81f62aa55fe58b402
.reloc 0xc000 0x6c4 0x800 6.15 5bb7fb37a59094ba5b7a00dc52b7ccb5

( 6 imports )
> ntdll.dll: wcscpy, wcscmp, _wcsnicmp, wcschr, wcscat, wcslen
> RPCRT4.dll: RpcBindingSetAuthInfoExW, RpcBindingFromStringBindingW, NdrServerCall2, I_RpcBindingIsClientLocal, RpcServerRegisterIfEx, RpcServerUseProtseqEpW, RpcMgmtSetServerStackSize, RpcServerUnregisterIf, RpcBindingFree, RpcStringBindingComposeW, NdrClientCall2, RpcStringFreeW
> ole32.dll: StringFromIID, CoCreateInstance, CoRegisterClassObject, CoRevokeClassObject, CoInitializeEx, CoTaskMemFree, CoUninitialize
> USER32.dll: wsprintfW
> KERNEL32.dll: SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, LocalFree, FormatMessageW, SetEvent, GetSystemPowerStatus, OpenEventW, InitializeCriticalSection, GetProcessHeap, FreeLibrary, GetProcAddress, LoadLibraryW, DisableThreadLibraryCalls, DeleteCriticalSection, CloseHandle, GetTickCount, InterlockedIncrement, InterlockedDecrement, EnterCriticalSection, LeaveCriticalSection, HeapAlloc, HeapFree, InterlockedExchange, DeleteTimerQueueTimer, Sleep, CreateTimerQueueTimer, GetLastError, QueueUserWorkItem, MapViewOfFile, CreateFileMappingW, UnmapViewOfFile, lstrlenW, DelayLoadFailureHook, InterlockedCompareExchange, LoadLibraryA, QueryPerformanceCounter, GetCurrentThreadId, GetCurrentProcessId, GetSystemTimeAsFileTime
> ADVAPI32.dll: RegEnumKeyExW, RegSetKeySecurity, RegDeleteValueW, OpenSCManagerW, OpenServiceW, QueryServiceStatus, CloseServiceHandle, WmiNotificationRegistrationW, RegOpenKeyExW, RegQueryValueExW, RegSetValueExW, RegCloseKey, GetLengthSid, InitializeAcl, AddAccessAllowedAce, InitializeSecurityDescriptor, SetSecurityDescriptorDacl, AllocateAndInitializeSid, FreeSid, RegisterServiceCtrlHandlerExW, SetServiceStatus, RegisterEventSourceW, ReportEventW, DeregisterEventSource

( 4 exports )
SensNotifyNetconEvent, SensNotifyRasEvent, SensNotifyWinlogonEvent, ServiceMain
Chill-Out
17-05-2008, 09:45
Probabile Falso Positivo per il momento non cancellarlo assolutamente

Falla scansionare anche qui: http://virusscan.jotti.org/ così abbiamo un'uteriore riscontro
Nuz
17-05-2008, 09:53
Servirebbero i log di tutte le scansioni con i software consigliati nella guida alla disinfezione:

http://www.hwupgrade.it/forum/showthread.php?t=1599737

Intanto puoi provare a fare il controllo dei file di Windows. Se non risulta "buono" verrà ripristinato.

Clicca su Start, poi in esegui digita: sfc /scannow.

Pare che in questo modo un utente sul forum di BitDefender abbia risolto:

http://forum.bitdefender.com/index.php?showtopic=4672&pid=23403&mode=threaded&start=#entry23403

:)

Edit: effettua innanzitutto la verifica che ti ha giustamente suggerito Chill-Out, potrebbe effettivamente anche trattarsi di un Falso Positivo.
ltc044
17-05-2008, 09:55
Grazie della prontissima risposta.

Ho provato a fare la scansione anche sul sito che mi ha suggerito Chill-Out, e la situazione è analoga.


File: sens.dll
Status: POSSIBLY INFECTED/MALWARE
(Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.)
MD5: 255631232d0e55e0d8c593c06dfeda42



e questa è la sequenza delle scansioni


Scan taken on 17 May 2008 08:49:59 (GMT)

A-Squared Found nothing
AntiVir Found TR/Patched.BD.150
ArcaVir Found nothing
Avast Found Win32:Patched-FF
AVG Antivirus Found nothing
BitDefender Found Trojan.Patched.BD
ClamAV Found nothing
CPsecure Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found nothing
Fortinet Found nothing
Ikarus Found Trojan.Patched.BD
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found nothing
Panda Antivirus Found nothing
Sophos Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found nothing
xcdegasp
17-05-2008, 10:28
per risolvere il problema basta che scrivi un email all'assistenza di Avira, sono disponibilissimi e in tempi brevi oltre a risponderti dicendo la loro analisi ti diranno anche i tempi per la correzione nel antivirus :)

[email protected]

allegagli il file zippato (con indicato il percorso in cui sitrovava nel tuo disco) e il link all'analisi di www.virustotal.com ;)
ltc044
18-05-2008, 20:24
per risolvere il problema basta che scrivi un email all'assistenza di Avira, sono disponibilissimi e in tempi brevi oltre a risponderti dicendo la loro analisi ti diranno anche i tempi per la correzione nel antivirus :)

[email protected]

allegagli il file zippato (con indicato il percorso in cui sitrovava nel tuo disco) e il link all'analisi di www.virustotal.com ;)

Ho fatto come consigliato !!
Adesso aspetto la risposta di Avira.
Se è come dici sono proprio mega .... :cool:
Chill-Out
18-05-2008, 21:36
Ho fatto come consigliato !!
Adesso aspetto la risposta di Avira.
Se è come dici sono proprio mega .... :cool:

Attendiamo il responso, ciao.
ltc044
19-05-2008, 09:40
Intanto puoi provare a fare il controllo dei file di Windows. Se non risulta "buono" verrà ripristinato.

Clicca su Start, poi in esegui digita: sfc/ scannow.



ho provato, ma digitando (su esegui)

sfc/scannow

mi dice che non esiste il file

(anche con lo spazio dopo lo slash...)
Nuz
19-05-2008, 09:43
Avevo sbagliato, il comando è sfc /scannow.
ltc044
20-05-2008, 23:25
Attendiamo il responso, ciao.

.. e questo è il respondo dello staff di Avira


Dear Sir or Madam,


Thank you for your recent inquiry.

We found the virus TR/Patched.BD.150 in the attachment you have sent us.
The current version of AntiVir already detects this virus.

We thank you for your assistance.

It's not a false positive.

Attachment(s) you sent:
- sens_dll.zip
--
Freundliche Gruesse / Best regards
Avira GmbH

Fabian Henne
First Level Support

Avira GmbH
Lindauer Str. 21, D-88069 Tettnang, Germany
Internet: http://www.avira.com
ltc044
20-05-2008, 23:50
Intanto puoi provare a fare il controllo dei file di Windows. Se non risulta "buono" verrà ripristinato.

Clicca su Start, poi in esegui digita: sfc/ scannow.



ho eseguito il comando indicato. Dopo che mi ha chiesto svariate volte di inserire il cd di windows xp con cui ho installato, si è conclusa (in un tempo non brevissimo) la operazione .... senza alcun messaggio finale !
E' giusto così ??
xcdegasp
21-05-2008, 09:57
rifai una scansione con avira :)
visto che figata è scrivere ad avira? :p
Chill-Out
21-05-2008, 15:01
.. e questo è il respondo dello staff di Avira


Dear Sir or Madam,


Thank you for your recent inquiry.

We found the virus TR/Patched.BD.150 in the attachment you have sent us.
The current version of AntiVir already detects this virus.

We thank you for your assistance.

It's not a false positive.

Attachment(s) you sent:
- sens_dll.zip
--
Freundliche Gruesse / Best regards
Avira GmbH

Fabian Henne
First Level Support

Avira GmbH
Lindauer Str. 21, D-88069 Tettnang, Germany
Internet: http://www.avira.com



Ma l'avranno rianalizzato? :D Se hai ancora il sample inviato ad Avira me lo postresti mandare? Grazie.

Hai PM
ltc044
21-05-2008, 22:50
rifai una scansione con avira :)
visto che figata è scrivere ad avira? :p

ho rifatto la scansione con Avira (del solo sens.dll) ed adesso tutto è ok, il trojan sarebbe scomparso...

Ma l'avranno rianalizzato? :D Se hai ancora il sample inviato ad Avira me lo postresti mandare? Grazie.

Hai PM

ti ho postato il link allo zip che contiene il sens.dll originale, che effettivamente ancor adesso mi viene segnalato positivo per trojan !! (parlo di quello zippato che mi ero messo sul desktop, ovviamente).

In teoria quindi con il comando di cui sopra avrei risolto il problema ??
ltc044
21-05-2008, 23:00
Inoltre posto qui il riferimento a virustotal con la scansione del rinnovato sens.dll, che finalmente viene segnalato NEGATIVO da tutti gli antivirus !!!

Link alla scansione virustotal di sens.dll riparato (http://www.virustotal.com/it/analisis/da918eb585d214e85dfa936a7a19bfe5)

Che abbia ragione davvero Avira ??
Chill-Out
21-05-2008, 23:02
Inoltre posto qui il riferimento a virustotal con la scansione del rinnovato sens.dll, che finalmente viene segnalato NEGATIVO da tutti gli antivirus !!!

http://www.virustotal.com/it/analisis/da918eb585d214e85dfa936a7a19bfe5 (link scansione virustotal di sens.dll aggiustato)

Che abbia ragione davvero Avira ??

Il link non è cliccabile, comunque dovresti aver risolto