dmari virus

[Verwijderd]

hee,
ik weet niet of ik hier nu goed zit want ik ben nieuw op tweakers, maar ik heb op mijn windows een virus zitten genaamd dmari.exe

Het is binnengekomen via msn ( ja iemand heeft het geaccepteerd)

Nod32 ziet het niet als virus en met ccleaner kan ik het niet verwijder, ( ook niet normaal).

Ik heb geen idee hoe ik hier vanaf kan komen, weten julie iets ?

[Big Womly]

Opstarten in veilige modus (F8), bestanden verwijderen, registry keys verwijderen.
Kijk zeker eens in HKLM\Software\Microsoft\CurrentVersion\Run en HKCU\SoftSoftware\Microsoft\CurrentVersion\Run

[leuk_he]

lees ook eens de faq/search over hijackthis. Kun je automatisch opstarten van veel programma's mee voorkomen. Wel veel handwerk/0.

[M2M]

of nog wat andere virusscanners / spyware / adware scanners proberen, misschien dat hijjackthis de rommel kan verwijderen?

Zorg wel voor backups van al je bestanden voordat je gaat rommelen in registers en bestanden gaat verwijderen in de windows directory.

[MAX3400]

Ik vond ergens anders (dankje, Google) de volgende reg-keys die je moet aanzetten/wijzigen:

code:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"MSServer"=-
"dmzmq.tmp"=-
"dmzhe.tmp"=-
"dmzga.tmp"=-
"dmyvt.tmp"=-
"dmyra.tmp"=-
"dmyme.tmp"=-
"dmyjh.tmp"=-
"dmydq.tmp"=-
"dmxuc.tmp"=-
"dmxdu.tmp"=-
"dmwre.tmp"=-
"dmvya.tmp"=-
"dmtvs.tmp"=-
"dmtba.tmp"=-
"dmqtp.tmp"=-
"dmqlp.tmp"=-
"dmprw.tmp"=-
"dmpob.tmp"=-
"dmpip.tmp"=-
"dmnta.tmp"=-
"dmnkh.tmp"=-
"dmnjc.tmp"=-
"dmnfl.tmp"=-
"dmmvx.tmp"=-
"dmmtv.tmp"=-
"dmmtj.tmp"=-
"dmmaq.tmp"=-
"dmlfm.tmp"=-
"dmlds.tmp"=-
"dmkrg.tmp"=-
"dmkot.tmp"=-
"dmjmi.tmp"=-
"dmjkf.tmp"=-
"dmjhj.tmp"=-
"dmhug.tmp"=-
"dmgug.tmp"=-
"dmgsa.tmp"=-
"dmfkk.tmp"=-
"dmerf.tmp"=-
"dmemh.tmp"=-
"dmeen.tmp"=-
"dmdrc.tmp"=-
"dmdoy.tmp"=-
"dmdfj.tmp"=-
"dmdbs.tmp"=-
"dmcxs.tmp"=-
"dmcmw.tmp"=-
"dmcbw.tmp"=-
"dmbrr.tmp"=-
"dmbof.tmp"=-
"dmbnl.tmp"=-
"dmben.tmp"=-
"dmasl.tmp"=-
"dmari.tmp"=-
"341bb0c1"=-

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentVersion\Run]
"dmnay.exe"=-
"dmuvf.exe"=-

[Verwijderd]

ik ben helemaal niet thuis in het virus wereldje maar had toevallig ergens anders hijjackthis gedownload maar hij ziet heel dat programma niet, of doe ik dan wat fout ?

[MAX3400]

Verwijderd schreef op donderdag 29 januari 2009 @ 11:48:
ik ben helemaal niet thuis in het virus wereldje maar had toevallig ergens anders hijjackthis gedownload maar hij ziet heel dat programma niet, of doe ik dan wat fout ?

http://www.hijackthis.nl/computerschoonmaken.html

Niet erg dat je niet veel weet van virussen maar gezien je problemen (en het feit dat je wel op internet kan), is er misschien een mogelijkheid dat zoekmachines je ook zelfstandig op weg kunnen helpen?

[ Voor 23% gewijzigd door MAX3400 op 29-01-2009 11:49 ]

[leuk_he]

Verwijderd schreef op donderdag 29 januari 2009 @ 11:48:
ik ben helemaal niet thuis in het virus wereldje maar had toevallig ergens anders hijjackthis gedownload maar hij ziet heel dat programma niet, of doe ik dan wat fout ?

Hijack vind geen virussen, maar somt alle (goede en slechte) processen op die na het rebooten gestart worden. Ok o.a. de regekeys die MAX3400 opsomt. Die kun je uitklikken.

Helaas is hijack this niet simpel, maar wel de laatste oplossing als virusscanners een virus/trojan (NOG) niet kennen.

Andere oplossing is uiteraard nog wat virus scanners te proberen.

[Sassie]

Laat die dmari.exe eens analyseren op http://virusscan.jotti.org/ of http://www.virustotal.com/.
En post de lijst met resultaten dan ook eens hier.
Wellicht kunnen we dan meer te weten komen over welk virus het is (en welke antivirus het detecteert en evt kan cleanen).

/edit:
Als je nu toch al hijackthis gedownload hebt, maak dan eens een log en post die hier (tussen code-tags).

[ Voor 17% gewijzigd door Sassie op 29-01-2009 12:17 ]

[chromeeh]

Verwijderd schreef op donderdag 29 januari 2009 @ 11:48:
ik ben helemaal niet thuis in het virus wereldje maar had toevallig ergens anders hijjackthis gedownload maar hij ziet heel dat programma niet, of doe ik dan wat fout ?

Misschien eens heel verstandig dat je de FaQ mbt het B&V forum eens doorleest, met een HijackThis logje kunnen we al heel wat meer bijv.

Uiteraard heb je ook al de bekende anti malware tools geprobeerd zoals Spybot S&D, MalwareBytes, A-Squared.

[hellknight]

Heb je MalwareBytes Anti Malware en/of Superantispyware reeds geprobeerd?
Mogelijk dat die het wel wegkrijgen.
Lukt het daar ook niet mee, ga dan niet zelf lopen klooien met Hijackthis, want als je niet weet wat je doet, is dat een prima manier om je windows om zeep te helpen.
Er zijn diverse sites welke een dedicated anti-malware hulp sectie hebben, met een uitstekend getrained team van malware-bestrijders. Voorbeelden zijn Bleeping Computer en Malware Removal.
Als je er zelf niet uitkomt, zou ik je adviseren hulp te zoeken op een van die sites. Met alle respect voor GoT en de mensen hier, maar als je hier een hijackthis log zou posten, kan iedereen hier aanwijzingen geven om zaken te verwijderen, zonder dat je enige zekerheid hebt dat deze persoon weet waar hij/zij het over heeft. Bij de genoemde sites, en de diverse andere van dit soort, kunnen alleen diegenen die het volledige trainingsprogramma daar hebben doorlopen hulp bieden bij hijackthis logs, zodat je zeker weet dat deze persoon een grondige kennis van zaken heeft

[Verwijderd]

hier het logfile van hijackthis, de andere proggs van hellknight hebben ook niet gewerkt

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:40:24, on 29-1-2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\CmUCReye.exe
C:\Program Files\Medion Info Display\MdionLCM.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\fxstaller.exe
C:\Program Files\TomTom HOME 2\HOMERunner.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Java\jre1.6.0_07\bin\jucheck.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotinfolink.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [CmUCRRun] C:\WINDOWS\system32\CmUCReye.exe
O4 - HKLM\..\Run: [MedionVFD] "C:\Program Files\Medion Info Display\MdionLCM.exe"
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [Showwnd] showwnd.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Windows UDP Control Center] fxstaller.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Program Files\TomTom HOME 2\HOMERunner.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Program Files\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobiele favorieten maken... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn...aireShowdown.cab56986.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn...tatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macrom...ve/cabs/flash/swflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Mobiel Apple apparaat (Apple Mobile Device) - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-service (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


neem aan dat dit is waar jullie om vroegen

[Staatslot]

Ik zit met een pc van iemand met hetzelfde virus.. Nod32 herkent het niet, avast alleen het bestandje dmari.exe.. Het process dat bij mij draait heet algs.exe zodra ik die kill heb ik geen activiteiten meer zodra ik cmd>netstat uitvoer. Ben er ook nog niet uit hoe ik dit weg ga krijgen..

[chromeeh]

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotinfolink.com

Dit lijkt mij al niet helemaal goed, heb je al gescanned met de eerder genoemde programma's?

[Noxious]

Zomaar wat dingetjes die mij opvallen en die volgens mij niet kloppen:

C:\WINDOWS\fxstaller.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe <-- een bekend 'fake' antispyware programma

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotinfolink.com
O4 - HKLM\..\Run: [Windows UDP Control Center] fxstaller.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll

[N0 0B]

waarom fake als het zelfs in de meuktracker wordt getoond?
meuk: SuperAntiSpyware Free Edition 4.25.1012

[LuCarD]

Noxious schreef op donderdag 29 januari 2009 @ 14:58:
Zomaar wat dingetjes die mij opvallen en die volgens mij niet kloppen:

C:\WINDOWS\fxstaller.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe <-- een bekend 'fake' antispyware programma

Heb je daar een bron van? Aangezien ze wel in de tnet meuktracker staan. En als het klopt wat je zegt dan zouden ze er eigenlijk uit moeten.

[Noxious]

LuCarD schreef op donderdag 29 januari 2009 @ 15:05:
[...]


Heb je daar een bron van? Aangezien ze wel in de tnet meuktracker staan. En als het klopt wat je zegt dan zouden ze er eigenlijk uit moeten.

Oh excuse me ik was in de war met SuperAntiVirus2009

[Verwijderd]

k had het ook en ik heb de oplossing :DD

Start -> Uitvoeren -> typ 'msconfig' in -> ga naar het tabblad "opstarten"

zoek dan naar (bij mij) : winamp, Core, fxstaller en ssvc
zoals je ziet zijn ze allemaal van 'Software\Microsoft\CurrentVersion\Run'

vink ze alle 4 weg en dan 'toepassen' en dan 'ok'
als je het venster sluit vraag die of je opnieuw wil opstarten, doe dat

*let op: het virus is niet verwijderd maar onschadelijk gemaakt

problemo solved

joerie

[ Voor 7% gewijzigd door Verwijderd op 29-01-2009 18:16 ]