mstwain32.exe Adı altında bulaşan Keylogger / Trojan' a dikkat !

   mstwain32.exe   Adı altında bulaşan; Yeni nesil Türk Yapımı   Güzel bir Trojan client'i  dir.  Ticari amaçlı yapılmıştır ve kötü amaçlarda  kullanılmaktadır. Buradaki  mstwain32.exe ismini   yapımcı veya kullanıcı istediği zaman değişebilmektedir.   örnek: aa.exe bb.exe  gibi, mstwain32.exe  ismi  Trojan clientini oluşturan program ile standart olarak gelmektedir.  

Bu makalemde sizlere  mstwain32.exe   adı altında bulaşan yeni nesil  Keylogger / Trojan'ın tespit ve temizleme yönteminden bahsedeceğim Windows Görev yöneticisi işlemler kısmında gözükmez... 

Konu ile alakalı  hazırlamış olduğum diğer  konulara aşağıdaki linkten ulaşabilirsiniz  bu konuları da incelemenizi tavsiye ederim.
http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373

Bu Keyloger / Trojan  Bilgisayarınıza bulaşmış ise:  Şifrelerinizin ve kişisel bilgilerinizin  çalınması ile kullanılır. Aynı zamanda sizin haberiniz olmadan Trojan'ı yayan kişi   bilgisayarınızı yönetebilir, kameradan görüntü alabilir, Mikrofondan ortam ses kaydını alabilir... vb işleri sizin haberiniz olmadan yapabilme yetkisine sahiptir

Dosyanın simgesi  farklı olabilir  basit bir örnek verecek olursak   gönderen kişi dosyanın simgesini  "mp3" müzik dosyası gibi ayarlarlıyabilir  içine de  bir müzik dosyası gömüp bulaştırmak istediği kişiye gönderir  ve   dosyayı  alan kişi müzik dinlemek için  o dosyayı çalıştırdığında   keyloger bulaşmış olur.

Not: Bu tür durumlarda   şüphe duyuyorsanız dosya uzantısını kontrol ediniz. Yukarıda bahsettiğim örnekteki  mp3 dosyasının  uzantısı .mp3 değil .exe dir. Ama .exe uzantılı bir dosyanın  içerisine gömülmüştür.

Anti virüs yazılımlarına yakalanmamaktadır   son zamanlarda kaspersky internetsecurity  yazılımına “Backdoor.Win32.Turkojan.dgg” olarak  yakalanmaktadır. Fakat yapımcı tarafından  güncellemesi yapıldığı için   anti virüs yazılımlarına  yakalanmama ihtimali yüksektir. Şuan itibari ile  anti virüs yazılımlarına yakalanmamaktadır.

Bazı Keylogger ve Trojan  ler  Windows Görev Yöneticisi -  Çalışan İşlemler kısmında gözükmez.  Bunun için windows görev yöneticisi yerine   Process explorer programını  "Gelişmiş görev yöneticisini"   kullanmanızı tavsiye ederim .  Affı yoktur  gizli olarak çalışan Keylogger veya Trojan varsa   Process explorer  ile konumunu tespit edip inceleyebilirsiniz.

Process explorer'i  aşağıdaki linkten indirebilirsiniz 

http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860

Process explorer Hakkında:

Process explorer programını çalıştırarak  sistemde çalışan uygulamaların konumunu rahatlıkla tesbit edebilirsiniz.

Process explorer'i çalıştırdıktan sonra çalışan uygulmaların üzerine mause ile gelerek dosyanın konumumu tespit edebilir isterseniz sonlandırabilirsiniz. 

Not : Bazı Trojan ve Keylogger lar sonlanmaz mstwain32.exe de bunlardan biridir ama sıkmayın canınızı yazının devamında  bu engeli nasıl aşacağınız mevcuttur

mstwain32.exe  adı altında bulaşan  bu  Trojan eğer pc nize bulaşmış ise aşağıda  bahsettiğim yöntemi kullanarak tespit edip temizleye bilirsiniz. Bizzat tarafımdan test edilmiştir.

Görev yöneticisinden kendini gizlediği için dikkat çekmez bundan dolayı Processexplorer programı ile  çalışan tüm işlemleri  kontrol etmenizi tavsiye ederim.

Processexplorer dan çalışan işlemleri  kontrol ederken system değil explorer.exe altında çalışan işlemleri  inceleyiniz; 

Görüldüğü üzere C:\windows  klasörüne mstwain32.exe  adında trojan  bu  exe dosyasını buradan sonlandıramazsınız siz sonlandırdıkça tekrar geri gelir
Bunun için aşağıda anlatılan admıları dikkatlice uygulayınız.

Bulaştığı zaman
Xp, Windows 7 ve Vista da Standart olarak c:\windows  klasörü içerisine  mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında 4 dosya olarak bulaşır.

Dikkat: mstwain32.exe yi procces explorer  görebilirsiniz fakat  sonlandıramazsınız siz sonlandırdıkça o çalışır. C:\WINDOWS içerisinde mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında bulaşan dosyalarıda göremezsiniz sebebi ise mstwain32.exe çalıştığı anda bahsetmiş olduğum bu dosyaları ve registryde olan kaydını  bu Trojan gizler bundan dolayı geri kalan işlemleri  işletim sistemini  güvenli modda açıp devam edeceğiz. 

Xp, Windows 7 ve Vista işletim sistemlerinden Temizleme 

Öncelikle işletim sisteminizi güvenli modda açınız Sonra  C:\windows Klasörünü açınız Görüldüğü üzere gözükmeyen dosyalar güvenli modda açılan işletim sisteminde  gözükmektedir  kırmızı ile işaretledim

mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt Dosyalarını silin

Sonra başlat çalıştıra regedit yazıp registry kayıt defterini açın.

*************************************************************************
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunan 
Bu değeri silin
mstwain32   C:\Windows\mstwain32.exe
*************************************************************************

Bu işlemi  yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  C:\WINDOWS\mstwain32.exe  'yi aratın  varsa  ilgili girdi  değeri sadece C:\WINDOWS\mstwain32.exe yi içeriyorsa silin eğer  ilgili girdi de çift değer mevcutsa değer kısmından  sadece  C:\WINDOWS\mstwain32.exe kısmını silin. Arama işlemine devam edin     birşey bulunmuyorsa Trojan   temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

Not: Tespit için dilerseniz hazırlamış olduğumuz Yeni Nesil Keyloger Tespit Etme Sistemi Programını kullanabilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111

Saygılarımla 
invertor

DÃ¼zenleyen invertor - 06-02-2011 Saat 12:08

Yazar	Mesaj Konu Arama Konu SeÃ§enekleri YanÄ±t Yaz Yeni Konu OluÅŸtur Konuyu YazdÄ±r Translate Konu
invertor Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Security Professional İnventor KayÄ±t Tarihi: 18-01-2008 Status: Aktif DeÄŸil Points: 3365	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± invertor Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla Konu: mstwain32.exe Adı altında bulaşan Keylogger / Trojan' a dikkat ! GÃ¶nderim ZamanÄ±: 05-02-2011 Saat 02:01
	mstwain32.exe Adı altında bulaşan; Yeni nesil Türk Yapımı Güzel bir Trojan client'i dir. Ticari amaçlı yapılmıştır ve kötü amaçlarda kullanılmaktadır. Buradaki mstwain32.exe ismini yapımcı veya kullanıcı istediği zaman değişebilmektedir. örnek: aa.exe bb.exe gibi, mstwain32.exe ismi Trojan clientini oluşturan program ile standart olarak gelmektedir. Bu makalemde sizlere mstwain32.exe adı altında bulaşan yeni nesil Keylogger / Trojan'ın tespit ve temizleme yönteminden bahsedeceğim Windows Görev yöneticisi işlemler kısmında gözükmez... Konu ile alakalı hazırlamış olduğum diğer konulara aşağıdaki linkten ulaşabilirsiniz bu konuları da incelemenizi tavsiye ederim. http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373 Bu Keyloger / Trojan Bilgisayarınıza bulaşmış ise: Şifrelerinizin ve kişisel bilgilerinizin çalınması ile kullanılır. Aynı zamanda sizin haberiniz olmadan Trojan'ı yayan kişi bilgisayarınızı yönetebilir, kameradan görüntü alabilir, Mikrofondan ortam ses kaydını alabilir... vb işleri sizin haberiniz olmadan yapabilme yetkisine sahiptir Dosyanın simgesi farklı olabilir basit bir örnek verecek olursak gönderen kişi dosyanın simgesini "mp3" müzik dosyası gibi ayarlarlıyabilir içine de bir müzik dosyası gömüp bulaştırmak istediği kişiye gönderir ve dosyayı alan kişi müzik dinlemek için o dosyayı çalıştırdığında keyloger bulaşmış olur. Not: Bu tür durumlarda şüphe duyuyorsanız dosya uzantısını kontrol ediniz. Yukarıda bahsettiğim örnekteki mp3 dosyasının uzantısı .mp3 değil .exe dir. Ama .exe uzantılı bir dosyanın içerisine gömülmüştür. Anti virüs yazılımlarına yakalanmamaktadır son zamanlarda kaspersky internetsecurity yazılımına “Backdoor.Win32.Turkojan.dgg” olarak yakalanmaktadır. Fakat yapımcı tarafından güncellemesi yapıldığı için anti virüs yazılımlarına yakalanmama ihtimali yüksektir. Şuan itibari ile anti virüs yazılımlarına yakalanmamaktadır. Bazı Keylogger ve Trojan ler Windows Görev Yöneticisi - Çalışan İşlemler kısmında gözükmez. Bunun için windows görev yöneticisi yerine Process explorer programını "Gelişmiş görev yöneticisini" kullanmanızı tavsiye ederim . Affı yoktur gizli olarak çalışan Keylogger veya Trojan varsa Process explorer ile konumunu tespit edip inceleyebilirsiniz. Process explorer'i aşağıdaki linkten indirebilirsiniz http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860 Process explorer Hakkında: Process explorer programını çalıştırarak sistemde çalışan uygulamaların konumunu rahatlıkla tesbit edebilirsiniz. Process explorer'i çalıştırdıktan sonra çalışan uygulmaların üzerine mause ile gelerek dosyanın konumumu tespit edebilir isterseniz sonlandırabilirsiniz. Not : Bazı Trojan ve Keylogger lar sonlanmaz mstwain32.exe de bunlardan biridir ama sıkmayın canınızı yazının devamında bu engeli nasıl aşacağınız mevcuttur mstwain32.exe adı altında bulaşan bu Trojan eğer pc nize bulaşmış ise aşağıda bahsettiğim yöntemi kullanarak tespit edip temizleye bilirsiniz. Bizzat tarafımdan test edilmiştir. Görev yöneticisinden kendini gizlediği için dikkat çekmez bundan dolayı Processexplorer programı ile çalışan tüm işlemleri kontrol etmenizi tavsiye ederim. Processexplorer dan çalışan işlemleri kontrol ederken system değil explorer.exe altında çalışan işlemleri inceleyiniz; Görüldüğü üzere C:\windows klasörüne mstwain32.exe adında trojan bu exe dosyasını buradan sonlandıramazsınız siz sonlandırdıkça tekrar geri gelir Bunun için aşağıda anlatılan admıları dikkatlice uygulayınız. Bulaştığı zaman Xp, Windows 7 ve Vista da Standart olarak c:\windows klasörü içerisine mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında 4 dosya olarak bulaşır. Dikkat: mstwain32.exe yi procces explorer görebilirsiniz fakat sonlandıramazsınız siz sonlandırdıkça o çalışır. C:\WINDOWS içerisinde mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında bulaşan dosyalarıda göremezsiniz sebebi ise mstwain32.exe çalıştığı anda bahsetmiş olduğum bu dosyaları ve registryde olan kaydını bu Trojan gizler bundan dolayı geri kalan işlemleri işletim sistemini güvenli modda açıp devam edeceğiz. Xp, Windows 7 ve Vista işletim sistemlerinden Temizleme Öncelikle işletim sisteminizi güvenli modda açınız Sonra C:\windows Klasörünü açınız Görüldüğü üzere gözükmeyen dosyalar güvenli modda açılan işletim sisteminde gözükmektedir kırmızı ile işaretledim mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt Dosyalarını silin Sonra başlat çalıştıra regedit yazıp registry kayıt defterini açın. *********************************************************************** HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunan Bu değeri silin mstwain32 C:\Windows\mstwain32.exe ********************************************************************* Bu işlemi yaptıktan sonra: Kontrol etmek için Kayıt defteri düzenleyicisin den C:\WINDOWS\mstwain32.exe 'yi aratın varsa ilgili girdi değeri sadece C:\WINDOWS\mstwain32.exe yi içeriyorsa silin eğer ilgili girdi de çift değer mevcutsa değer kısmından sadece C:\WINDOWS\mstwain32.exe kısmını silin. Arama işlemine devam edin birşey bulunmuyorsa Trojan temizlenmiş demektir. Bilgisayarınızı yeniden başlatın işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz. Not: Tespit için dilerseniz hazırlamış olduğumuz Yeni Nesil Keyloger Tespit Etme Sistemi Programını kullanabilirsiniz** http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111 Saygılarımla invertor DÃ¼zenleyen invertor - 06-02-2011 Saat 12:08
	Hash Kontrolü yapma ( MD5, SHA-1, CRC32,... vb)

wolf Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Üye KayÄ±t Tarihi: 30-07-2009 Status: Aktif DeÄŸil Points: 0	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± wolf Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla GÃ¶nderim ZamanÄ±: 06-02-2011 Saat 16:15
	Paylaşım için teşekkürler. Ellerine sağlık invertor.

chakkal Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Üye KayÄ±t Tarihi: 26-01-2011 Konum: Turkey Status: Aktif DeÄŸil Points: 57	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± chakkal Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla GÃ¶nderim ZamanÄ±: 06-02-2011 Saat 22:34
	paylaşım için tşk. ;)
	chakkal

asdwasd11 Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Yeni Üye KayÄ±t Tarihi: 22-03-2011 Konum: Turkey Status: Aktif DeÄŸil Points: 0	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± asdwasd11 Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla GÃ¶nderim ZamanÄ±: 22-03-2011 Saat 13:22
	çok tşk ederim

GSLİSEKO Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Yeni Üye KayÄ±t Tarihi: 26-12-2011 Status: Aktif DeÄŸil Points: 0	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± GSLİSEKO Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla GÃ¶nderim ZamanÄ±: 26-12-2011 Saat 16:30
	paylaşımınız için teşekkürler, bi sorum olucaktı, başlat/çalıştır/msconfig yapıp da başlangıç sekmesinde mstwain32.exe gözüküyor ama hem arattığımda hem de process explorer kullandığımda bulamıyorum, ne yapmalıyım sizce?