Güvenlik Programları, Güvenlik ve Güvenlik açıkları - cmdln.exe Adında bulaşan Yeni nesil keylogger a dikkat

Eğer pc nize keylogger bulaşmış ise ;

Bulaştığı zaman hemen aktif olur görev yöneticisinde gözükmez.

Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs periyodik bir şekilde belirtilen zaman aralıklarında yapımcının belirtmiş olduğu adrese yollamaktadır.

Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez.

Fakat Pc nizi aç kapa yaptıktan sonra veya herhangi bir programı açmanız ile aktif hale gelip Görev yöneticisinde gözükür bu andan itibaren Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs periyodik bir şekilde belirtilen zaman aralıklarında yapımcının belirtmiş olduğu adrese yollamaktadır.

Dosyanın simgesi farklı olabilir basit bir örnek verecek olursak gönderen kişi dosyanın simgesini "mp3" müzik dosyası gibi ayarlarlıyabilir içine de bir müzik dosyası gömüp bulaştırmak istediği kişiye gönderir ve dosyayı alan kişi müzik dinlemek için o dosyayı çalıştırdığında keyloger bulaşmış olur.

Not: Bu tür durumlarda şüphe duyuyorsanız dosya uzantısını kontrol ediniz. Yukarıda bahsttiğim örnekteki mp3 dosyasının uzantısı .mp3 değil .exe dir. Ama .exe uzantılı bir dosyanın içerisine gömülmüştür.

Bazı Keylogger ve Trojan ler Windows Görev Yöneticisi - Çalışan İşlemler kısmında gözükmez. Bunun için windows görev yöneticisi yerine Process explorer programını "Gelişmiş görev yöneticisi" kullanmanızı tavsiye ederim . Affı yoktur gizli olarak çalışan Keylogger veya Trojan varsa Process explorer ile konumunu tespit edip inceleyebilirsiniz.

Process explorer'i aşağıdaki linkten indirebilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860 - http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860

Process explorer Hakkında:

Process explorer programını çalıştırarak sistemde çalışan uygulamaların konumunu rahatlıkla tesbit edebilirsiniz.

Process explorer'i çalıştırdıktan sonra çalışan uygulmaların üzerine mause ile gelerek dosyanın konumumu tespit edebilir isterseniz sonlandırabilirsiniz.

cmdln.exe adı altında bulaşan bu keyloger, eğer pc nize bulaşmış ise aşağıda bahsettiğim yöntemi kullanarak temizleye bilirsiniz. Keyloger bizzat tarafımdan test edilmiştir.

Tespit Etme yöntemi 1 Keylogger başlangıçtan gizlenmişse bu yöntem işe yaramaz

Başlat - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin

"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz programları devre dışı bırakabilirsiniz."

Bulaştığı Yer:

C:\Documents and Settings\All Users\Belgeler\ içerisinde cmdln.exe, prmpt.exe, DChck.txt, jkp.txt olarak bulunur

Windows7 ve Vista

Bulaştığı Yer:

C:\Documents and Settings\All Users\Belgeler\ içerisinde cmdln.exe, prmpt.exe, DChck.txt, jkp.txt olarak bulunur

Tespit Etme yöntemi 2 Tavsiye edilir

Görüldüğü üzere cmdln.exe adında keylogger bulaşmış

Temizleme yöntemi Xp, Windows 7, Vista

İndirmiş olduğunuz procces Explorer Programını açın

Resimde gözüldüğü üzere cmdln.exe üzerine sağ tıklayın sonra karşınıza gelen ekrandan Kill Process Tree Shift+Del i tıklayın cmdln.exe yi sonlandırın buna bağlı olarak olarak prmpt.exe de sonlanmış olacaktır

Xp Kullanıyorsanız

C:\Documents and Settings\All Users\Paylaşılan Belgeler Klasörünü açın

içerisinde bulunan cmdln.exe, prmpt.exe, DChck.txt, jkp.txt Dosyalarını silin

Sonra

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

*******************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

C:\Documents and Settings\All Users\Belgeler\cmdln.exe

*******************************************************

sonra

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

Bu değerleri silin

C:\Documents and Settings\All Users\Belgeler\cmdln.exe svchost

C:\Documents and Settings\All Users\Belgeler\prmpt.exe Prmpt

Bu işlemi yaptıktan sonra: Kontrol etmek için Kayıt defterinden sırası ile Belgeler\cmdln.exe ve Belgeler\prmpt.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keylogger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Vista veya Windows 7 Kullanıyorsanız

C:\Documents and Settings\All Users\Paylaşılan Belgeler Klasörünü açın

içerisinde bulunan cmdln.exe, prmpt.exe, DChck.txt, jkp.txt Dosyalarını silin

Sonra

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

*******************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

C:\Documents and Settings\All Users\Belgeler\cmdln.exe

*******************************************************

sonra

**********************************************

Standart olarak yaygın olan bu keylogger'in temizliği yukarıdakigibidir.

Önemli: cmdln.exe yerine farklı isimler olabilir.

Benim analizime göre ismi ne olursa olsun bu keylogger'ların registry de bulaştığı yerler bellidir.

Bu gibi durumda en temiz yöntem Başlat çalıştır regedit ' ten başlangıçta çalışan programları kontrol etmektir başlangıçta da gözükmüyorsa regedit tende tespit edilebilir.

Konu hakkındaki yorumlarınızı beklerim

Not: Tespit için dilerseniz hazırlamış olduğumuz Yeni Nesil Keyloger Tespit Etme Sistemi Programını kullanabilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111

Saygılarımla

invertor