http://sosvirus.changelog.fr/MSNFix.zip ecco il tools per rimuovere questo maledetto problema che gira su msn il file .scr  che invia messaggi ai nostri amici dicendo di accettare queste foto il realta è un virus ... con determitane dll infette ...

Soluzione .... Tested Giuseppe Arcidiacono

Soluzione Manuale ..

Abbiamo intanto bisogno del Removal Tool MSNFix, (nota)
oppure di Ccleaner, ReegSeeker e Avenger se volete lavorare "in Manuale"

Il Backdoor è già presente in rete in due varianti: unifico la procedura poichè cambiano solo alcune .dll

>>INFO SUL MALWARE

All'interno del file Photo Album.zip si trova photo album.pif o photo album2007.pif nella seconda variante

Il malware copia e crea i seguenti files:

%windows%\photo album.zip
%system%\rdfhost.dll
%system%\rdihost.dll
%system%\rdshost.dll

dove %windows% è la cartella dove avete installato Windows e %system% è \windows\system su win98 e ME, e \windows\system32 su win2000 e XP

Vengono inoltre create le seguenti chiavi di registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ ShellServiceObjectDelayLoad]
rdshost = {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}
[HKEY_CLASSES_ROOT\CLSID\{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}\InProcServer32]
@= rdshost.dll
[HKEY_CLASSES_ROOT\CLSID\{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}\InProcServer32] @= rdfhost.dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
rdshost = {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}

ed il seguente valore alla voce O21 visibile nel log di hijackthis

O21 - SSODL: rdihost - {77346362-72F4-48E9-B076-A921E28DC0F2} - rdihost.dll (file missing)

(in questo caso la dll è rdihost.dll, ma potrebbe essere anche rdshost.dll oppure rdfhost.dll con reltivi codici diversi)



>> RIMOZIONE AUTOMATICA (SCOLLEGATI DA INTERNET)

• Disattivare il Ripristino di Sistema,(solo su XP ed ME)

• Pulita con CCleaner disattivando dalle opzioni avanzate "cancella solo file più vecchi di 48 ore"

• Scaricate il Removal Tool MSNFix

• Decomprimete il file, lanciate MSNFix.bat, premete R per cercare il malware, poi N per eliminarlo: il log vi confermerà l'avvenuta pulizia

• Disattivare il Ripristino di Sistema,(solo su XP ed ME)

• Pulita con CCleaner disattivando dalle opzioni avanzate "cancella solo file più vecchi di 48 ore"

• Aprite Avenger, selezionate Input Script Manually e cliccate sulla lente di ingrandimento: nella finestra di input fate un copia/incolla di queste righe:

• Cliccate su “Done” e poi sul Semaforo rispondendo “Si” alle successive domande finchè il PC non fa il reboot. Cancellate la cartella C:\Avenger
• Avviate RegSeeker e con la funzione "Cerca files inutili", inserite uno per volta i seguenti valori, cancellandone le corrispondenze:

• Fixare la voce O21 con HijackThis
• Eliminare il contenuto della cartella C:\windows\Prefetch e riavviare