Güvenlik Programları, Güvenlik ve Güvenlik açıkları

Bu keyloger Şifrelerinizin ve kişisel bilgilerinizin çalınması amacı ile kullanılır.

Şimdi ise standart olarak taskmgr.exe adı altında gizlenip çalışan bu keyloger'ın temizleme yöntemini anlatacağım.

Bulaştığı yerler ve temizleme yöntemi burda anlatıldığı gibidir.

Eğer pc nize bulaşmış ise ;

1: Bulaştığı zaman hemen aktif olur görev yöneticisinde gözükür.

Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs periyodik bir şekilde belirtilen zaman aralıklarında yapımcının belirtmiş olduğu adrese yollamaktadır.

2: Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez.

Fakat Pc nizi aç kapa yaptıktan sonra veya herhangi bir programı açmanız ile aktif hale gelip Görev yöneticisinde gözükür bu andan itibaren Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs periyodik bir şekilde belirtilen zaman aralıklarında yapımcının belirtmiş olduğu adrese yollamaktadır.

Burda bahsettiğimiz taskmgr.exe ve dllhost.exe yi açıklayalım;

Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol edebilirsiniz orda taskmgr veya konum kısmını genişlettiğinizde Application Data klasörü içerisinde çalışan " C:\Documents and Settings\Kullanıcı adınız\Application Data\taskmgr.exe gibi " program yer alıyorsa bu bir keylogerdir.

Örnek:

veya bu ve benzeri gibi

Zaten bu kontrolleri Yeni Nesil Keyloger Tespit Etme Sistemi v1.4 programı yapmaktadır kafalarda soru işareti kalmasın diye açıklama gereksiniminde bulundum

Dikkat :

Son zamanlarda farklı isimlerde bulaştığını tesbit ettik

Bunun üzerine Yeni Nesil Keyloger Tespit Etme Sistemi v1.4.3 programını hazırladık isterseniz bu program ile sistemizizi test edebilirsiniz

Gerekli açıklamalar içerisinde mevcuttur.

Burdan indirebilirsiniz.

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111&PID=13742 - http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111&PID=13742

İsterseniz manuel olarak aşığıdaki yöntem ile sisteminizi kontrol edebilirsiniz.

Manuel olarak İsim ve Konum Tespiti Yamak için:

1. Yöntem

Başlat - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin

"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz   programları devre dışı bırakabilirsiniz."

Örnek:

veya

Başlangıçta çalışan programları Kontrol edin;

Xp için C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörü içerisisinde,

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   klasörü içerisisinde,

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local

içerisinde çalışan işlem varsa orda bulunan isimden keylogerin ismini tesbit edebilirsiniz.

Örnek:

C:\Documents and Settings\sizin otorum açma adınız\Application Data\xxx.exe

Keylogerin ismi xxx.exe dir

Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

2.Yöntem

Processexplorer ile çalışan tüm işlemleri  kontrol etmenizi tavsiye ederiz.

Processexplorer dan çalışan işlemleri kontrol ederken;

Xp için; C:\Documents and Settings\sizin otorum açma adınız\Application Data

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming klasörü  içerisinde çalışan programa rastlarsanız o keylogerdir.

3. Yöntem

Bahsettiğimiz bu keyloger'in başlangıçta çalışan programlar arasında gizlenme özelliği olduğundan böyle bir durum söz konusu ise  Keylogerin adını ve konumunu tesbit etmek için;

Registry den

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Da bulunan shell değerini kontrol edin.

Örnek:

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\xxx.exe"

Keylogerin ismi: xxx.exe dir

Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

Bahsettiğimiz bu keyloger'in sisteminize farklı isimde bulaştığını tesbit ettiyseniz;

Temizleme işlemi burda anlattığımız gibi   geçerlidir yani aşağıdaki anlatımlarda bulunan msnmsgr.exe yerine tesbit ettiğiniz dosya ismini baza alarak temizleme işlemini yapacaksınız .

****************************

Bulaştığı zaman

Vindows işletim sistemlerine bulaşır...

Bulaşan bu keyloger kendine ait dosyaları aşağıdaki klasörlerden birine kopyalıyabilir;

C:\Documents and Settings\sizin otorum açma adınız\Application Data
C:\Users\sizin otorum açma adınız\AppData\Local

C:\Users\sizin otorum açma adınız\AppData\Roaming

C:\WINDOWS\system
C:\WINDOWS
C:\Documents and Settings\Kullanıcı adınız\temp
C:\Program Files
c:\winnt\profiles\username\start menu\programs\startup

Standart olarak :

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

********************************************

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

********************************************

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming    içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Not: Gizli dosya ve klasörler seçeneğini aktif hale getirmeden belirtilen dizini göremezsiniz.



İşletim sisteminden Temizlemek için

Aşağıda   örnek temizleme yöntemleri anlatılmıştır sisteminize bu isimler harici farklı isimlerde bahsettiğimiz yeni nesil keyloger dan bulaşmış ise temizleme yöntemi yine aynıdır sadece keyloger isimleri farklıdır.

Xp işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Processexplorer'ı programı ile C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Processexplorer'ı programı ile C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan dllhost.exe yi sonlandırın

Processexplorer Downlod:

http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860 - http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860

***********************************************************

C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörünü açıp taskmgr.exe,  ntcheck.sys, ntcheck.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörünü açıp dllhost.exe,  appdata.sys, appdata.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine dllhost.exe,  drivers.log , ntcheck.dll    dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Güncel

Bu değeri silin

Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

Birde

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunan

Bu değeri silin

Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Bu şekil değiştirin

Shell      Explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Bu şekil değiştirin

Shell      Explorer.exe

***********************************************************

Daha sonra var ise aşagıdaki kayıtlarıda siliniz.



HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\taskmgr.exe     TaskMgr

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\dllhost.exe     DLLHost

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Application Data\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Application Data\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Local Settings\Application Data\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Vista işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.

1. Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2. Görünüm sekmesini tıklatın.
3. Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys, ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys, appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log, ntcheck.dll dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin

Shell         explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin

Shell         explorer.exe

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Windows 7 işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.

1. Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2. Görünüm sekmesini tıklatın.
3. Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys, ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys, appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log, ntcheck.dll dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin

Shell         explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin

Shell         explorer.exe

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Yapamayanlar Xp ,  VİSTA ve Windows 7 den   temizlemek için hazırlamış olduğum bu temsili videoyu  örnek alarak temizleyebilirler

Not: Aşapıdaki konuyuda inceleyiniz

Yeni Nesil Keyloger Tespit Etme Sistemi Hakkında hazırlamış olduğumuz diğer  konulara aşağıdaki linkten ulaşabilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373 - http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373

http://www.bilgineferi.com/forum/forum_posts.asp?TID=7378 -

Konuyu devamlı güncel tutmaya çalışacağız.

Bizi takip etmeye devam edin.

Edit:

Konuda güncelleme yapılmıştır

Saygılarımla

İnvertor