Newsgroup: it.comp.os.win.xp
Titolo: Insomma........NSIS Media extension compare

sempre anche in firefox.
E' mai possibile che mi deva spuntare mentre navigo una pubblicità idiota 
che rompe il timone?
Non lo si può bloccare questo NSIS media extension? 

 ha scritto nel messaggio 
news:45a78854$0$4250$4faf...@reader1.news.tin.it...

Leggiti questo 
http://newsgroup.tecnologia.alice.it/virus-advertising-nsis-media-analisi/thread.jspa?threadID=4611686018430968772&tstart=0
e vedi se risolvi 

 e vedi se risolvi
Soluzione del tizio:
Però forse sono riuscito a bloccare il maledetto, ho cancellato tutte le 
chiavi
nel registro riferenti a NSIS, poi ho svuotato e negato l'accesso in 
scrittura a
tutti i potenziali proprietari della cartella C:\Programmi\File comuni\NSIS, 
ho
creato un file nsis.jar fasullo (0 byte) nella cartella C:\Programmi\Mozilla
Firefox\chrome e l'ho bloccato anch'esso. Al successivo riavvvio non c'erano 
più
le chiavi nel registro e la cartella NSIS era vuota e il file nsis.jar era 
di 0
byte. Process explorer non trova più handle collegati ad explorer.exe 
relativi
ad NSIS
Non posso di dire di averlo estirpato del tutto ma credo di averlo 
congelato.
Infatti se ripristino i permessi di scrittura alla cartella NSIS i file si
riformano cambiando nome ns75.dll al posto dell'originario ns2.dll. e le 
chiavi
si ricreano.
------------------------
Soluzione artifianale poco elegante e laboriosa per le chiavi di registro, 
ma comunque
1)   "ho svuotato e negato l'accesso in scrittura a
tutti i potenziali proprietari della cartella C:\Programmi\File comuni\NSIS" 
non so come si fa
2)  "ho
creato un file nsis.jar fasullo (0 byte) nella cartella C:\Programmi\Mozilla
Firefox\chrome e l'ho bloccato anch'esso"   non vale per internet explorer 

 ha scritto nel messaggio
news:45a78854$0$4250$4faf...@reader1.news.tin.it...

Questo è quello che ho fatto io per liberarmi di questo malware. Però non posso
garantirti che nel tuo pc i nomi delle librerie e delle chiavi corrispondano. I
nomi delle librerie infatti possono cambiare. Lascia perdere i miei vecchi post, 
erano i tentativi iniziali, alla fine l'ho debellato così:
  1.. Disinstallazione di Firefox e pulizia completa della cartella
C:\Programmi\Mozilla Firefox.
  2.. Rimozione della cartella  C:\programmi\File comuni\Nsis e delle chiavi ad
essa relative.
  3.. Cancellazione delle 2 librerie  ( krnsvr32.dll e wmdmb32.dll ) presenti in
C:\windows\system32 e delle 2 chiavi associate. Le librerie vanno eliminate 
utilizzando il programma unlocker.
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\Kernel.KernelExt.1]
@="KernelExt Class"
[HKEY_CLASSES_ROOT\Kernel.KernelExt.1\CLSID]
@="{D44E22BD-2D2C-4F13-BF1B-2DB458FD0C2C}"
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\Kernel.KernelExt]
@="KernelExt Class"
[HKEY_CLASSES_ROOT\Kernel.KernelExt\CLSID]
@="{D44E22BD-2D2C-4F13-BF1B-2DB458FD0C2C}"
[HKEY_CLASSES_ROOT\Kernel.KernelExt\CurVer]
@="Kernel.KernelExt.1"
CONCLUSIONI FINALI
Tutto ciò, salvo errori e/o omissioni, è quello che ho riscontrato nel mio PC.
Non mi assumo nessuna responsabilità per danni derivanti dall'utilizzo di queste
informazioni. Non posso garantire che su altri computer con sintomi simili e
affetti dallo stesso malware siano presenti le medesime chiavi  e file. I file
potrebbero avere nomi diversi, percorsi diversi, idem per le chiavi del registro
e il CLSID. Alcuni utenti segnalano che le librerie in C:\windows\system32 si
possono chiamare anche mssvide.dll wmudrv.dll e msrvdrv.dll.