taskmgr.exe, dllhost.exe (Dikkat)

   msnmsgr.exe veya dllhost.exe veya taskmgr.exe adı ile gizlenen yeni nesil keyloger Hakkında:

Bahsettiklerimiz bu isimler  veya farklı isimler adı altında bulaşan Yeni nesil Türk Yapımı   Güzel bir Keyloger client'i  dir.  Ticari amaçlı yapılmıştır ve kötü amaçlarda  kullanılmaktadır. Buradaki  taskmgr.exe  ismini   yapımcı istediği zaman değişebilmektedir.   örnek: aa.exe  gibi, taskmgr.exe  adı  keyloger clientini oluşturan program ile standart olarak gelmektedir.  
Bu keyloger  Şifrelerinizin  ve kişisel bilgilerinizin  çalınması amacı ile kullanılır. 

Şimdi ise standart olarak  taskmgr.exe adı altında gizlenip çalışan bu keyloger'ın temizleme yöntemini anlatacağım.

Bulaştığı yerler  ve temizleme yöntemi burda anlatıldığı gibidir.

Eğer pc nize bulaşmış ise ;

1: Bulaştığı zaman  hemen aktif olur görev yöneticisinde gözükür.

    Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.

2: Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez. 

   Fakat Pc nizi aç  kapa yaptıktan sonra veya herhangi bir programı açmanız ile    aktif hale gelip Görev yöneticisinde gözükür   bu andan itibaren   Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.

Burda bahsettiğimiz taskmgr.exe ve dllhost.exe  yi açıklayalım;

Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol edebilirsiniz orda taskmgr  veya konum kısmını genişlettiğinizde Application Data klasörü içerisinde  çalışan    " C:\Documents and Settings\Kullanıcı adınız\Application Data\taskmgr.exe  gibi  "  program yer alıyorsa bu bir keylogerdir.

Örnek:

veya  bu ve benzeri gibi

Zaten bu kontrolleri  Yeni Nesil Keyloger Tespit Etme Sistemi v1.4 programı yapmaktadır kafalarda soru işareti kalmasın diye açıklama gereksiniminde bulundum

Dikkat : 

Son zamanlarda farklı isimlerde bulaştığını tesbit ettik

Bunun üzerine  Yeni Nesil Keyloger Tespit Etme Sistemi v1.4.3 programını hazırladık  isterseniz bu program ile  sistemizizi test edebilirsiniz

Gerekli açıklamalar içerisinde mevcuttur.

Burdan indirebilirsiniz.

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111&PID=13742

İsterseniz manuel  olarak aşığıdaki yöntem ile sisteminizi kontrol edebilirsiniz.

Manuel olarak İsim ve Konum Tespiti Yamak  için:

1. Yöntem 

Başlat  - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin 

"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz   programları devre dışı bırakabilirsiniz."

Örnek:

veya

Başlangıçta çalışan programları Kontrol edin;

Xp  için  C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörü içerisisinde,

Güncel
C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   klasörü içerisisinde,

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local 
içerisinde çalışan işlem  varsa  orda bulunan isimden keylogerin ismini tesbit edebilirsiniz.

Örnek:

C:\Documents and Settings\sizin otorum açma adınız\Application Data\xxx.exe  

Keylogerin ismi xxx.exe dir
Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

2.Yöntem   

Processexplorer ile çalışan tüm işlemleri  kontrol etmenizi tavsiye ederiz.

Processexplorer dan çalışan işlemleri  kontrol ederken; 

Xp  için; C:\Documents and Settings\sizin otorum açma adınız\Application Data 

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming  klasörü  içerisinde çalışan programa rastlarsanız o keylogerdir.

3. Yöntem

Bahsettiğimiz bu keyloger'in başlangıçta  çalışan programlar arasında gizlenme  özelliği olduğundan böyle bir durum söz konusu ise  Keylogerin adını ve konumunu tesbit etmek için;

Registry den 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Da bulunan shell değerini kontrol edin.

Örnek:

Burdaki shell degeri herzaman standart olarak 
Shell      Explorer.exe  dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\xxx.exe"

Keylogerin ismi: xxx.exe dir
Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

Bahsettiğimiz bu keyloger'in  sisteminize farklı isimde  bulaştığını tesbit ettiyseniz;

Temizleme işlemi  burda anlattığımız gibi   geçerlidir yani aşağıdaki anlatımlarda bulunan  msnmsgr.exe yerine  tesbit ettiğiniz dosya ismini baza alarak temizleme işlemini yapacaksınız . 

****************************

Bulaştığı zaman

Vindows işletim sistemlerine bulaşır...

Bulaşan bu keyloger kendine ait dosyaları aşağıdaki klasörlerden birine kopyalıyabilir;

C:\Documents and Settings\sizin otorum açma adınız\Application Data
C:\Users\sizin otorum açma adınız\AppData\Local
C:\Users\sizin otorum açma adınız\AppData\Roaming

C:\WINDOWS\system
C:\WINDOWS
C:\Documents and Settings\Kullanıcı adınız\temp
C:\Program Files
c:\winnt\profiles\username\start menu\programs\startup 

Standart olarak : 

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

Güncel

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.

Güncel
Xp' de C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

********************************************

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.

 Güncel
Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

********************************************

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming    içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

Güncel

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.

 Güncel
Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.

Not: Gizli dosya ve klasörler seçeneğini aktif hale getirmeden belirtilen dizini göremezsiniz.

İşletim sisteminden Temizlemek için 

Aşağıda   örnek temizleme yöntemleri anlatılmıştır sisteminize bu isimler harici farklı isimlerde  bahsettiğimiz yeni nesil keyloger dan  bulaşmış ise temizleme yöntemi yine aynıdır sadece keyloger isimleri farklıdır.

Xp işletim sisteminden Temizlemek için;
Gizli dosya ve klasörler seçeneğini aktif hale getirin
Processexplorer'ı  programı ile  C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Processexplorer'ı  programı ile  C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan dllhost.exe yi sonlandırın

Processexplorer Downlod:
http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860

***********************************************************

C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörünü açıp taskmgr.exe,  ntcheck.sys,  ntcheck.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörünü açıp dllhost.exe,  appdata.sys,  appdata.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll    dosyalarını silin

Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın. 

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin
TaskMgr     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Güncel

Bu değeri silin
DLLHost     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Güncel

Bu değeri silin
Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

Birde

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run  da bulunan 

Bu değeri silin
Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

***********************************************************
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak 
Shell      Explorer.exe  dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Bu şekil değiştirin
Shell      Explorer.exe 

Güncel

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Bu şekil değiştirin
Shell      Explorer.exe 

*********************************************************** 

Daha sonra  var ise aşagıdaki kayıtlarıda siliniz.

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\taskmgr.exe     TaskMgr  

Güncel 

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\dllhost.exe     DLLHost  

Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Application Data\taskmgr.exe  'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Application Data\dllhost.exe  'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Local Settings\Application Data\dllhost.exe 'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

Vista işletim sisteminden Temizlemek için; 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin
Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys,  ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys,  appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log,  ntcheck.dll dosyalarını silin

Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın. 

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak 
Shell      Explorer.exe  dir.

Eğer shell değeri bu şekil ise

 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin
Shell         explorer.exe   

Güncel

Eğer shell değeri bu şekil ise

 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin
Shell         explorer.exe   

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

 Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

Windows 7  işletim sisteminden Temizlemek için; 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys,  ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys,  appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log,  ntcheck.dll dosyalarını silin

Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın. 

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak 
Shell      Explorer.exe  dir.

Eğer shell değeri bu şekil ise

 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin
Shell         explorer.exe   

Güncel

Eğer shell değeri bu şekil ise

 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin
Shell         explorer.exe   

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.

 Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

Yapamayanlar Xp ,  VİSTA  ve Windows 7 den   temizlemek için hazırlamış olduğum bu temsili videoyu  örnek alarak temizleyebilirler

Not: Aşapıdaki konuyuda inceleyiniz

Yeni Nesil Keyloger Tespit Etme Sistemi Hakkında hazırlamış olduğumuz diğer  konulara aşağıdaki linkten  ulaşabilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373

Konuyu devamlı güncel tutmaya çalışacağız.
Bizi takip etmeye devam edin.

Edit:
Konuda güncelleme yapılmıştır

Saygılarımla 
İnvertor

DÃ¼zenleyen invertor - 06-03-2010 Saat 13:11