Pb pour enlever un virus troyen Win32 ! [resolu]

thomascavalera · le 19 avril 2006

Bonjour,

Je me débat depuis plusieurs jours pour enlever un virus troyen qui est detecté régulièrement par avast.

L'analyse en ligne par house call me dit que le fichier est C:\Windows\system32\senssrv.dll

Et bien sur aucun antivirus (y compris avast) n'arrive à le supprimer.

J'ai essayer de l'enlever manuellement en mode sans echec impossible le fichier est soit bloqué soit utiliser pour une autre processus !!!

Est-ce que quelqu'un peut me conseiller ?

Modifié le 2 mai 2006 par thomascavalera

Thanos · le 19 avril 2006

salut thomascavalera , bienvenue sur le forum

On va t'aider à te débarrasser de ce vilain!!

Suis bien la procédure décrite dans le lien ci dessous pour nettoyer ton pc (ca facilitera la désinfection) et poste un rapport hijackthis => http://forum.zebulon.fr/index.php?showtopic=83986

@+

thomascavalera · le 20 avril 2006

Salut Charles,

J'ai suivi la procédure de nettoyage de mon pc fourni sur votre site et je viens de faire un scan hijack

Ps : entre le temps de ta réponse j'ai réussi à supprimer le fichier dll en question avec l'outils misc tools d'HIjack (idéee donnée sur un autre forum. Mais si il ya d'autres trucs bizarres qui apparaissent sur mon scan n'hésiter pas à me le dire.

Merci à vous !

Désolé j'avais oublié mon scan :

Logfile of HijackThis v1.99.1

Scan saved at 23:38:25, on 20/04/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\WINDOWS\LogWatNT.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wdfmgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\MsPMSPSv.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O12 - Plugin for .m4a: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin6.dll

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.zebulon.fr/outils/antivirus/kav...can_unicode.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} - http://toolbar.google.com/data/fr/big/1.1....g/GoogleNav.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {7DA181BB-EF8D-4A7E-8C53-7BFC718EF71D} (Upload Class) - http://photos.wanadoo.fr/al/presentation/p...ivex/Ephoto.cab

O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotion...canner37710.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: semd32 - C:\WINDOWS\SYSTEM32\semd32.dll

O20 - Winlogon Notify: SensSrv - senssrv.dll (file missing)

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\WINDOWS\LogWatNT.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Thanos · le 21 avril 2006

salut thomascavalera

Ca c'est du rapport!! c'est extrêmement rare de ne voir que l'essentiel se lancer au démarrage de windob! antivirus + parefeu !

Mais si il ya d'autres trucs bizarres qui apparaissent sur mon scan n'hésiter pas à me le dire.

Y a ca =>

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

ce qui signifie 5 ans de retard dans les mises à jour, et autant de failles non comblées...celles la même que les inventeurs de merdware utilisent pour infecter un pc! Donc une fois ta désinfection finie, il faut impérativement faire les MAJ via Windows update!

Tu as réussi à éliminer la dll en question,mais étant donné qu'il s'agit de l'infection Haxdoor(semd32.dll); suis stp cette procédure car c'est une belle cochonnerie et je doute qu'elle soit partie...:

Télécharger haxfix.exe

et le sauvegarde sur le bureau.

Double cliquer sur haxfix.exe pour installer haxfix. (l'installation standard est c:\program Files\haxfix)
Cocher "Create a desktop icon"
Cliquer "Next"
Quand l'installation est terminée, s'assurer que "Launch HaxFix" est coché
Cliquer "Finish"

Une "fenêtre DOS" à fond rouge s'ouvre avec les options suivantes:

1. Make logfile (créer un rapport)

2. Run auto fix (lancer la réparation en mode automatique)

3. Run manual fix (lancer la réparation en mode manuel)

E. Exit Haxfix (quitter Haxfix)

Selectionner l'option 1. Make logfile en tapant 1 puis taper "Entrée"
Haxfix va analyser le système. Quand il a fini, un rapport s'ouvrira: haxlog.txt > (c:\haxlog.txt)
Copier le contenu de ce rapport et l'inclure (coller) dans votre réponse.

@ + tard avec le rapport :-P

Modifié le 21 avril 2006 par charles ingals

thomascavalera · le 21 avril 2006

Y a ca =>

ce qui signifie 5 ans de retard dans les mises à jour, et autant de failles non comblées...celles la même que les inventeurs de merdware utilisent pour infecter un pc! Donc une fois ta désinfection finie, il faut impérativement faire les MAJ via Windows update!

En effet je tourne toujours sur le sp1, mais c'est pas faute d'avoir essayé de me mettre à jour. Seulement quand je fais tourner Windows Update la maj SP2 s'interromp car le serveur ne reconnait pas ma clé de licence ou plutôt identifie ma clé comme étant "non conforme". Ce qui est normal car qd j'ai acheté mon pc chez un revendeur indépendant, il ya quelques années de ça, il m'a installé XP cracké (j'étais jeune et pas suffisamment prudent à l'époque) ...

Il est possible de rêgler ce pb ou il faut que j'achète une clé de licence windows officielle ?

Mais je m'égare là je croit que ce pb peut faire l'objet d'un autre post...

Je fais la manip que tu m'as conseillé dès ce soir et j'envoi le rapport.

Modifié le 21 avril 2006 par thomascavalera

thomascavalera · le 21 avril 2006

Voici comme tu m'as conseillé le log de Haxfix :

HAXFIX logfile - by Marckie

--------------

version 2.31

21/04/2006 19:54:46,79

checking for ps.a3d....

ps.a3d is present!

checking for p2s2.a3d....

p2s2.a3d not found

checking for matching notify keys....

no matching notify keys found

checking for matching services....

matching services found

Aspi32

semd32

semd64

checking for matching safeboot services....

matching safeboot services found

semd32.sys

semd64.sys

A bientôt

Thanos · le 21 avril 2006

salut

La suite=>

Option 2 autofix (réparation utomatique)

Ouvrir le dossier C:\Program Files\haxfix et double-cliquer sur fix.bat
(ou double-cliquer sur l'icone du bureau fix.bat )
Fermer toutes les autres fenêtres, car Haxfix re-démarerra le système.
Selectionner l'option 2. Run auto fix en tapant 2 puis "Entrée"

si une infection est trouvée, Vous aurez un message demandant de fermer toutes les autres fenêtres ouvertes.

Fermer toutes les autres fenêtres sauf la fenêtre à fond rouge de haxfix puis taper "Entrée"
La machine sera re-démarrée
En fin de re-démarrage un rapport s'ouvrira > (c:\haxfix.txt)
Poster le contenu de ce rapport ainsi qu'un nouveau rapport HijackThis .

En effet je tourne toujours sur le sp1, mais c'est pas faute d'avoir essayé de me mettre à jour.

On verra ca plus tard si tu veux , mais même le SP1 n'est pas installé.

thomascavalera · le 21 avril 2006

J'ai fait un run autofix et le programme n'a pas trouver d'infection voici le log

HAXFIX logfile - by Marckie

--------------

version 2.31

21/04/2006 21:48:40,77

Auto Haxdoorfix

Et voici mon nouveau log HijackThis :

Logfile of HijackThis v1.99.1

Scan saved at 22:00:00, on 21/04/2006