Messenger Skinner – Virus, Adware e Rootkit per il vostro pc
Di cosa parliamo oggi? Di un apparentemente fantastico programmino per Live Messenger: MESSENGER SKINNER. Che caratteristiche ha teoricamente questo software? Beh, avete presente SweetIM? In teoria questo programma fa un pò la stessa cosa: aggiunge tantissime emoticons gratuite a Live Messenger.
Ma il “bello” (si fa per dire) è che non si limita a fare ciò…. ma installa sul vostro pc anche un simpatico adware rootkit (vale a dire un virus che apre automaticamente mentre navigate in internet finestre pubblicitarie, difficilissimo da eliminare perchè “invisibile” – esistono programmi appositi per eliminare questi “virus invisibili”, chiamati antirootkit)!
La cosa eccezionale è che tutto è stato veramente studiato ad arte: inannzitutto il programmino è ultrapubblicizzato su Google, lo trovate nei collegamenti sponsorizzati, come potete verificare in questo screenshot.
Andiamo poi a guardare il sito: esteticamente molto curato e, oltretutto, tradotto in 6 lingue!!! Guardate un pò:
Cosa leggiamo sul sito? “Messenger Skinner è garantito senza spyware né trojan di nessun tipo” e “Messenger Skinner è gratuito“. E’ davvero tutto ben fatto, e chiunque potrebbe fidarsi e decidere di scaricarlo per installarlo. Ma continuiamo. Una volta scaricato, ci si trova davanti ad un eseguibile, questo:
Una volta eseguito, ci troviamo di fronte a questa schermata contenente i Termini e le Condizioni (EULA) del software.
Ma concentriamoci un pò proprio su queste condizioni. Alle fine, sotto la voce “UNINSTALL”, troviamo questa breve menzione: “UNINSTALL: This software is completely free as it is subsidized by the Favorit contextual advertising component“. Si viene, quindi, avvisati dell’adware… ma quale utente non solo legge termini e condizioni, ma le legge fino alla fine?
Se leggiamo un pò più su, troviamo scritto: “Users should be aware that upon such uninstallation, the advertising messages might be sent during a period of three months after said uninstallation“: cioè, in pratica, i messaggi pubblicitari continueranno ad apparire per TRE MESI anche dopo un’eventuale disinstallazione del software…. fantastico! 
Ma non è finita qui: il “componente” (ossia l’adware) manda delle informazioni ad un server direttamente dal nostro pc: “The data sent to the Providers servers by the Component will be limited to technical and connection information such as: operating system user name, name of the computer in the operating system, IP address of the LAN of the computer, country of connection, browser default country, operating system version, operating system or browser service packs installed, ID of the most recent browser update, vertical and horizontal resolution of the monitor screen, IP address of the most recent internet connection, maximum and average response times, percentage losses, name of the last RAS connection and others relevant for the purposes indicated“. “Limited to”, limitatamente a? E quale altro dato rimane da inviare? Il numero di scarpe dell’utente? 
Ma vediamo adesso cosa dovremmo fare se volessimo liberarci del programma. Andiamo in Panello di Controllo > Installazione Applicazioni, effettuiamo la disinstallazione e si apre una pagina internet: per effettuare la disinstallazione completa (anche del “componente”) dobbiamo scaricare un altro programma, e per fare ciò dobbiamo immettere il nostro indirizzo e-mail (per essere probabilmente esposti a chissà quale forma di spam) per aspettare che ci inviino un messaggio con il link per scaricarlo che scadrà dopo 24 ore!
Sorpresa sorpresa, il file scaricato viene rilevato da software antivirus, per es. Panda, come un malware!
Inoltre se proviamo ad utilizzarlo per più di tre volte, ci appare un messaggio in cui ci viene detto che bisogna riscaricarlo, perchè è scaduto!!
COSA FARE QUINDI PER DISINSTALLARE IL FASTIDIOSO “COMPONENT” CIOè L’ADWARE INSTALLATO DA MESSENGER SKINNER?
Da tenere presente è che il malware è rilevato solo dal 34% degli antivirus in lista Virus total! Ciò sognifica che molto probabilmente il nostro antivirus non rileverà nulla e bisognerà agire manualmente con l’ausilio di un programma anti-rootkit e con un anti-spyware.
1- Disabiliamo il “Ripristino Configurazione di Sistema” da Pannello di Controllo > Sistema > Ripristino configurazione di sistema.
2- Scarichiamo un programma anti-rootkit, io ho usato F-Secure Blacklight ma voi potete scaricare anche Rootkit Detective di McAfee o Panda AntiRootkit, e facciamo una scansione completa del pc.
Nella cartella
- C:WINDOWS\system32
o nella cartella
- C:\Documents and Settings\%Nomeutente%\Impostazioni locali\Dati applicazioni\
verranno rilevati 4 files, tre file .dat e un file .exe che partirà in automatico all’avvio del pc: normalmente i file sono invisibili e non hanno un nome preciso, ma assolutamente casuale. Il software anti-rootkit, a seconda di quello da voi scelto:
- li rinominerà chiedendovi di riavviare il pc e quindi starà a voi cancellarli manualmente in seguito;
- oppure li eliminerà direttamente;
- oppure li rileverà soltanto.
In questo ultimo caso, copiate il percorso dei file da cancellare (lo trovate nel file log.txt che avrà generato l’anti-rootkit), avendo cura di CANCELLARE PER PRIMO IL FILE .EXE, nella casella “Full Path of file to delete” del tool standalone KILLBOX (scaricatelo gratuitamente da qui) e premete sulla casella col cerchio rosso con la croce bianca (vedi immagine), avendo messo la spunta su “Delete on Reboot”. Riavviate il pc se non si riavvia automaticamente.
3- Scaricate il tool standalone gratuito ATF CLEANER, eseguitelo, selezionate “Select All” e poi premete su “Empty Selected”.
4- Una volta certi di aver cancellato i files, scaricate l’antispyware free SpyBot Search and Destroy, aggiornatelo (ovviamente), ed effetuate una scansione del pc: sicuramente rileverà dei problemi, voi premete su “Correggi” per eliminarli.
5- Pulite il registro di sistema con un programma come Eusing Free Registry Cleaner (Scan Registry Issues > Repair Registry Issues).
E così dovreste avere risolto, ma per sicurezza effettuate anche una scansione completa del pc in modalità provvisoria (F8 all’avvio) col vostro antivirus. Dopodichè riabilitate il ripristino configurazione di sistema.
Se NON risolvete con questo procedimento o se siete poco esperti e vi sembra troppo complicato, le alternative sono due:
- usate il tool gratuito Navilog 1, sviluppato per rimuovere questo malware; leggete la guida (in inglese) su come utilizzarlo QUI;
- potete usare la versione trial di Trojan Remover (non l’ho testata personalmente ma pare che faccia egregiamente il suo dovere), scaricandola da QUI ;
Aggiornamento del 21 giugno 2008:
Se quanto scritto sopra non si rivelasse efficace per la disinfezione, effettuate la scansione on line del vostro pc al seguente link, e succesivamente un’altra scansione a quest’altro link.
L’operazione potrebbe essere assai lunga, ma alla fine assai efficace!
E così dovreste avere risolto, ma per sicurezza effettuate anche una scansione completa del pc in modalità provvisoria (F8 all’avvio) col vostro antivirus. Dopodichè riabilitate il ripristino configurazione di sistema.
Per chi non sapesse se installare o meno MESSENGER SKINNER, mi pare, a questo punto, ovvia la risposta
NON INSTALLATE MESSENGER SKINNER
Via | http://ugosan.spaces.live.com/
Ciao Giorgia.
Quello che devi cercare di cancellare è solamente “messengerskinner”!
Ma sei sicura che con la guida presente in questo sito non si riesce?
Perchè non riprovi ancora una volta?
Saluti.
Nunzio.
io ho cancellato quelle tre voci .exe e quella .dat ma messenger skinner è ancora lì… comunque riprovo
Ciao Nunzio.
Mi sono accorta che tra le installazioni applicazioni c’era assistente per l’accesso a windows live. L’ho cancellato. Ora di windows live non c’è più nulla. Ma messenger skinner tra i programmi nel disco locale c c’è sempre.
Hai altre soluzioni da provare?
Purtroppo no!
Good luck
Nunzio.
Nunzio senti ma….non è possibile cancellare messenger skinner direttamente dal regedit????
No.
Tramite il “regedit”, così come lo chiami tu, si ha la possibilità di accedere al registro di sistema di Windows.
Cordiali saluti.
Nunzio.
Lo so che ti sto impazzendo ma sei l’unico che riesce a darmi tali risposte.
E se io invece entro in msconfig.exe?? Da lì nemmeno posso eliminare messenger skinner?Perchè anche lì compare nella voce avvio se non ricordo male.
Grazie mille dei consigli…..
Non so chi tu sia, ma almeno csi non lo scarico…
Bravo e grande!
Per chi avesse difficoltà con la procedura di rimozione manuale, se andate al mio articolo originale (il link è alla fine del post), trovate due software semplicissimi da utilizzare (e trovate alternative anche nei commenti).
ciao.. ho scaricato mcafee e andava tt a posto.
improvvisamente mi si è riavviato PC.
ho acceso live messenger e l’opzione nella finestra di conversazioni di skinner è sparita.
X sicurezza ho ftt “cerca”"” e……. era ancora li! ho sssssscaricato spyware termnetor che ha trovato 1 cookie prontamente eliminato… sn a posto ?
Ciao “ric”.
Usa questo software per sapere se hai disinfettato il pc.
La guida all’utilizzo la trovi quì.
Cordiali saluti.
Nunzio.
lo avevo appena installato, e quando ho letto queste cose, l’ho subito rimosso. Grazie mille
Ciao!io ho ahimè installato messengerskinner…ho provato a seguire la procedura qui descritta ma nessuno dei programmi anti-rootkit rileva questi file nascosti….come devo fare?grazie
Ciao Marco.
Effettua una scansione on line del tuo pc con i seguenti software:
BitDefender
Ewindo
L’operazione richiederà del tempo, ma alla fine dovresti disinfettare il pc.
Cordiali saluti.
Nunzio.
Grazie sembra proprio che il problema i risolto!
Saluti.
Piccolo suggerimento:
nell’aggiornamento ha segnalato delle scansioni online (bitdefender e ewido). Io ti consiglio di inserire kaspersky che non elimina i virus ma li segnala pressochè tutti quindi una volta trovati si possono eliminare con avenger, OTmouvet o qualsiasi altro programma simile
I read similar article also named er Skinner – Virus, Adware e Rootkit per il vostro pc | La Guida Informatica, and it was completely different. Personally, I agree with you more, because this article makes a little bit more sense for me
adesso si spiegano tutte quelle pubblicità..ma che cavolo!!!grazie dell’aiuto!!!=)
l’unico che ha risolto il problema e’ stato NAVILOG 1…..tutti i restanti programmi sono ineffici
da marzo combatto con il maledettissimo Skinner il problema sta che chi non ha dimestichezza con il pc…non fa una passeggiata. Ho provato un po di download ma nulla non si trova traccia del maledetto Cid che mi rallenta tutto. Ora riprovo…qualche suggerimento per incapaci???grazie
mettere il link per Navilog1?????sarebbe graditissimo
Ciao Paola.
Eccoti il link dove scaricare Navilog1.
Se non riuscissi con Navilog1, prova con quest’altro.
Fammi sapere.
Cordiali saluti.
Nunzio.
Grazie! ci provo adesso ti faccio sapere
ciao ho provato la seconda opzione ma il maledetto e ancora presente: purtroppo ora sono completamente isteria nella serata ci riprovo.Il CiD mi perseguita….
scaricate a-squared Free 3.5
Ha ucciso messenger Skinners! che meraviglia ciao
http://www.emsisoft.it/it/software/antimalware/
salve a tutti,purtroppo è vero,messenger skinner ha una virus,un trojan.per cui tutti quelli che lo hanno scaricato,avranno sicuramente da qualche parte quel bastardo.comunque è possibile cancellarlo anche con mcafee che appena si intalla(messenger skinner)ti esce un messagio che ha scoperto il bastardo e (a me così è andato)l’ha soppresso,cancellato.per cui,benchè apparentemente sia un buon programma cancellatelo e scaricate dei buoni antivirus o fate la scannerizzazioni on line di panda.
I Cid sono ricomparsi……non ho piu parole
Ciao Paola.
Prova a seguire questa guida per liberarti definitivamente dei Cid.
Fammi sapere.
Cordiali saluti.
Nunzio.
Ciao! Ho fatto tutti i passi della guida, sono arrivata al punto 4, ho fatto la scansione con SpyBot Search and Destroy, effettivamente mi ha rilevato ed eliminato un dialer e due malwere ma il trojan Messanger Skinner NO… dice che non e’ possibile eliminarlo perche’ potrebbe essere caricato in memoria…
Cosa posso fare?
Ciao Joanna.
Prova a ripetere la scansione in modalità provvisoria.
Spegni e riavvia il pc e pigia il tasto F8 e nelle opzioni che ti propone windows scegli di partire in modalità provvisoria.
Se ciò non bastasse, utilizza questo software, la guida come utilizzarlo la trovi qui.
Good look!
Nunzio.
as pessoas que eu mando emotions ñ conseguem ver pq?
Olá Babi.
Desculpe, mas não falam portohese.
Tente escrever-me em Inglês.
Obrigado.
Nunzio
Salve Nunzio,la ringrazio molto anche se indirettamente per il suo aiuto.Facevo parte anch’io fino a ieri di tutte quelle persone che avevano scaricato messenger skinner.Poi siccome dopo solo due giorni dal download ho letto tramite questo sito tutti i guai che portava dietro questo programma,ieri ho deciso di disinstallarlo.Leggendo le indicazioni delle sue risposte sono riuscita almeno credo a eliminarlo.Ho prima rimosso il programma dal sistema,poi ho scaricato spybot,navilog e anche f-secure blacklight.ho usato in primis però c cleaner anche perchè di tanto in tanto ho l’abitudine di pulire il pc,poi ho usato spybot e infatti ha trovato 4 trojan e altre due voci che ora non ricordo.ho fatto la correzione e poi il riavvio del pc ma poi il navilog mi ha rilevato ancora qualcosa e così ho usato f-secure blacklight che a fine scansione mi diceva che non c’era niente di anormale nel sistema analizzato,dopo tutto questo posso stare sicura o devo tentare ancora qualcos’altro? (devo però precisare che non ho mai disattivato il ripristino del sistema perchè tutte queste operazioni me le ha accettate senza problemi)Grazie
@Gisella
Io ti consiglierei di effettuare un’ultima scansione con HijackThis™.
La guida all’uso la trovi a questo link, il log (il risultato della scansione) analizzalo a questo link.
Se hai problemi contattami pure.
Cordiali saluti.
Nunzio.
Salve nunzio,nel frattempo aspettavo una sua risposta,ho rifatto la scansione con spybot e mi ha ridato due trojan e anche due cookie che agivano su internet explorer,li ho cercati cliccando dai risultati di spybot,ho eliminato le cartelle che indicava e anche altro che non avevo scaricato io e dopo ho rifatto la scansione con spybot e ora mi da 3 cookie tracciante,media plex ne dice 2 e web trends live 1,provo con il link della risposta precedente? Grazie
Salve nunzio,ho rifatto la scansione con spybot e ora mi dice che è tutto ok e non ho niente da rilevare,il pc sembra che sia a posto,secondo lei ogni quanto si dovrebbe usare spybot,intendo periodicamente tanto per star tranquilli,grazie mille,gisella
@Gisella
Io non parlerei di quanto volte utilizzare spybot, piuttosto quali sono le precauzione che un utente deve prendere per limitare il rischio di infezioni.
Se possiedi un sistema operativo Windows XP creati un account con accesso limitato (non di amministratore) ed utilizzalo quando navighi in internet
Utilizza sempre un buon antivirus (non necessariamente a pagamanto)- questo sito ti potrà aiutare nella scelta
Utilizza sempre un firewall se non incorporato all’interno dell’antivirus – in questo caso ti consiglio Comodo Firewall (gratuito)
Utilizza sempre un antispyware – Spyware Terminator (gratuito)
Periodicamente effettua delle scansioni in modalità provvisoria con l’antivirus, l’anti-spyware e antimalware come A-Square 4 e Malwarebytes Anti-Malware
Tutto questo ridurrà, ma non eliminerà del tutto, le probabilità di infezione del tuo sistema operativo.
Spero di essere stato esaustivo, in caso contrario non esitare a contattarmi.
Cordiali saluti.
Nunzio.
p.s. dimenticavo……..tieni sempre aggiornati il sistema operativo e tutti i software di sicurezza
Salve Nunzio,grazie per tutti gli ottimi consigli,ha ragione,ho dimenticato di fornirle in primis tutte le coordinate del mio pc,ho un portatile hp con sistema operativo originale windows xp media center edition 2002 service pack 3 hp invent,il tecnico mi ha istallato l’antivirus nod 32 e windows firewall e sono attivi gli aggiornamenti automatici,la protezione firewall e l’antivirus.Però come amministratore c’è scritto Gisella.Come browser uso di solito internet explorer,ma adesso sto usando mozilla firefox perchè stamattina ho rifatto la scansione con spybot e mi dice che su explorer ci sono:
Doubleclick,1 cookie;
mediaplex,2 cookie;
web trends live,1 cookie;
statcounter,1 cookie.
dopo aver corretto come mi dice spybot,ho chiuso explorer e ora sto navigando con firefox.ma questi cookie cosa bisogna fare per eliminarli definitivamente? La scansione con f-secure blacklight non ha rilevato alcun rootkit.Spero stavolta di non aver omesso nessuna notizia,grazie ancora di tutto,gisella
@Gisella.
Per creare in XP un utente con accesso limitato fai così:
Clicca su Start/Pannello di controllo/Account utente/crea utente/crea utente con accesso limitato.
Utilizza l’utente così creato quando devi navigare in internet, in questo modo limiti tanto le possibilità di infezioni.
Utilizza un software come CCleaner scaricabile a questo link per eliminare i cookie.
Tieni presente che nella maggior parte dei casi i cookie non rappresentano una minaccia per il sistema operativo.
Cordialmente.
Nunzio.
ciao nunzio
ho installato sto maledetto msn skinner
pero all avvio mi è uscito avg e ho fatto move to valute. e poi un errore.
adesso sto provando a scansionare
con i 2 roolkit panda mcaffe e f.secure online
poi provero ad aware spybot search e destroy spyware doctor e scansione avg e house call on line
sperando di rimuoverlo.
p.s. panda non mi rileva nulla cmqme mai?
ho letto su che sto programma ci ”ruba” i dati ip ecc.
c’è da preoccuparsi?
devo farmi cambiare l?ip?
siccme ho 2 ip per 2 pc non vorrei che mo pure l’altro ip e mi entrano nella rete ho nel pc
attendo grazie
ciao nunzio scusa il disturbo
non havndo letto prima questo avviso ho installato msn skinner.
quando lo installao ed avviato e uscito avg (mio antivirus)
e la bloccato (facendo move to valut
ciao nunzio scusa il disturbo
non havndo letto prima questo avviso ho installato msn skinner.
quando lo installao ed avviato e uscito avg (mio antivirus)
e la bloccato (facendo move to valut.)
dopodiche mi è uscito un errore. e non mi ha apeto il programma
non sapendo se ero infettato oppure no ho scansionato con
mcaffe panda e fsecure(questo on line perchè non me lo faceva mettere con conflitto avg.
cio non mi trova nulla
sara’ possibile?
adesso sto scansionando con spybot search e destroy poi faro ad aware e poi spyware doctor. dopodiche avg e house call on line.
la mia paura eè che siccome ho letto ce rubano l’ip possano farmi danno alla linea oppue entrarmi nella linea ho nel altro indirizzo ip del altro pc.
devo farmi cambiare l’ip dal gestore?
attendo aiuto grazie
@momo
Da quello che so Messenger Skinner non ruba gli indirizzi IP, ma si limita ad installare un Rootkit che mostra pubblicità addirittura anche dopo tre mesi dalla sua disinstallazione.
Ti consiglierei un ulteriore scansione con Navilog,la guida è disponibile a questo link.
Fammi sapere, resto in ascolto…..
Saluti.
N
non so usare navilog è in francese se rifaccio il procedimento di scansione con i tools?
p.s. se dovesse rubare gli ip cosa devo fare?
dimenticav ose scansiono con questo va bene?
@momo
Ho trovato a questo link una guida del programma in lingua italiana.
Procedi con la scansione e poi fammi sapere.
Saluti.
N
ok. riguardo gli ip cosa dovrei fare se sono stati infettati oppure visualizzati?
sto cercando di fare ma come faccio partire la cancellazione fa un conto alla rovescia e riavvia il pc è normale?
poi completa il test ma nn capisco se c’è qualcosa ti posso postare i dettagli?
@momo
Stai tranquillo! Messenger Skinner non ruba indirizzi IP, ne tanto meno li può “infettare”!
Postami pure i dettagli.
ok
Navipromo Removal version 3.7.1 started on 10/01/2009 at 12.16.55,85
Fix running from C:\Programmi\navilog1
Updated on 02.01.2009 at 19h00 by IL-MAFIOSO
Microsoft Windows XP Professional ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : Genuine Intel(R) CPU T2300 @ 1.66GHz )
BIOS : Phoenix NoteBIOS 4.0 Release 6.1
USER : user ( Administrator )
BOOT : Normal boot
Antivirus : AVG Anti-Virus Free 8.0 (Activated)
C:\ (Local Disk) – NTFS – Total:74 Go (Free:67 Go)
D:\ (CD or DVD)
E:\ (USB)
F:\ (USB)
G:\ (USB) – FAT32 – Total:7824 Mo (Free:6 Go)
H:\ (Local Disk) – NTFS – Total:232 Go (Free:226 Go)
Automatic removal
with Catchme and GNS results
Cleanning stage done on Reboot
*** fsbl1.txt not found ***
(Check that Catchme found nothing in Search Mode)
*** Deleting with Backups GenericNaviSearch results ***
* Deletion in “C:\WINDOWS\System32″ *
* Deletion in “C:\Documents and Settings\user\impost~1\datiap~1″ *
*** Deleting folders in “C:\WINDOWS” ***
*** Deleting folders in “C:\Programmi” ***
*** Deleting folders in “C:\Documents and Settings\All Users\menuav~1\progra~1″ ***
*** Deleting folders in “C:\Documents and Settings\All Users\menuav~1″ ***
*** Deleting folders in “c:\docume~1\alluse~1\datiap~1″ ***
*** Deleting folders in “C:\Documents and Settings\user\datiap~1″ ***
*** Deleting folders in “C:\Documents and Settings\user\impost~1\datiap~1″ ***
*** Deleting folders in “C:\Documents and Settings\user\menuav~1\progra~1″ ***
*** Deleting files ***
*** Deleting temporary files ***
Cleaning of C:\WINDOWS\Temp done !
Cleaning of C:\Documents and Settings\user\impost~1\Temp done !
*** Complementary Search ***
(Search specific files)
1)Deletion with backups new Instant Access files:
2)Heuristic search and deletion with backups :
* In “C:\WINDOWS\system32″ *
* In “C:\Documents and Settings\user\impost~1\datiap~1″ *
*** Copy Registry to Safebackup folder ***
Backing up Registry done !
*** Cleaning Registry ***
Registry cleaned
*** Certificates ***
Egroup Certificate not found !
Electronic-Group Certificate not found !
Montorgueil Certificate not found !
OOO-Favorit Certificate not found !
Sunny-Day-Design-Ltd Certificate not found !
*** Search others known folders and files ***
*** Cleaning stage complete on 10/01/2009 at 12.20.02,62 ***
ecco. se e tutto ok devo fare altre scansioni da modalita’ provvisoria o altro?
il tool lo tengo installato?