taskmgr.exe, dllhost.exe (Dikkat)

invertor · Mesaj gönderen **invertor** » Sal Ara 15, 2009 2:46 pm

msnmsgr.exe veya dllhost.exe veya taskmgr.exe adı ile gizlenen yeni nesil keyloger Hakkında:

Bahsettiklerimiz bu isimler veya farklı isimler adı altında bulaşan Yeni nesil Türk Yapımı   Güzel bir Keyloger client'i dir. Ticari amaçlı yapılmıştır ve kötü amaçlarda kullanılmaktadır. Buradaki taskmgr.exe ismini   yapımcı istediği zaman değişebilmektedir. örnek: aa.exe gibi, taskmgr.exe adı keyloger clientini oluşturan program ile standart olarak gelmektedir.

Bu keyloger Şifrelerinizin ve kişisel bilgilerinizin çalınması amacı ile kullanılır.

Şimdi ise standart olarak  taskmgr.exe adı altında gizlenip çalışan bu keyloger'ın temizleme yöntemini anlatacağım.

Bulaştığı yerler ve temizleme yöntemi burda anlatıldığı gibidir.

Eğer pc nize bulaşmış ise ;

1: Bulaştığı zaman hemen aktif olur görev yöneticisinde gözükür.

Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu adrese yollamaktadır.

2: Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez.

   Fakat Pc nizi aç kapa yaptıktan sonra veya herhangi bir programı açmanız ile    aktif hale gelip Görev yöneticisinde gözükür   bu andan itibaren Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün kullanıcı adı ve şifreler, yazmış olduğunuz ve kopyala yapıştır yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu adrese yollamaktadır.

Burda bahsettiğimiz taskmgr.exe ve dllhost.exe yi açıklayalım;

Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol edebilirsiniz orda taskmgr veya konum kısmını genişlettiğinizde Application Data klasörü içerisinde çalışan    " C:\Documents and Settings\Kullanıcı adınız\Application Data\taskmgr.exe gibi " program yer alıyorsa bu bir keylogerdir.

Örnek:

http://www.bilgineferi.com/forum/uploads/20091215_121328_baslangic.png

veya bu ve benzeri gibi

http://www.bilgineferi.com/forum/uploads/20091228_022507_sshot-2.png

Zaten bu kontrolleri Yeni Nesil Keyloger Tespit Etme Sistemi v1.4 programı yapmaktadır kafalarda soru işareti kalmasın diye açıklama gereksiniminde bulundum

Dikkat :

Son zamanlarda farklı isimlerde bulaştığını tesbit ettik

Bunun üzerine Yeni Nesil Keyloger Tespit Etme Sistemi v1.4.3 programını hazırladık  isterseniz bu program ile sistemizizi test edebilirsiniz

http://www.bilgineferi.com/forum/uploads/20100119_103219_yeni_nesil.JPG

Gerekli açıklamalar içerisinde mevcuttur.

Burdan indirebilirsiniz.

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8111&PID=13742

İsterseniz manuel olarak aşığıdaki yöntem ile sisteminizi kontrol edebilirsiniz.

Manuel olarak İsim ve Konum Tespiti Yamak için:

1. Yöntem

Başlat - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin

"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz   programları devre dışı bırakabilirsiniz."

Örnek:

http://www.bilgineferi.com/forum/uploads/20091228_022507_sshot-2.png

veya

http://www.bilgineferi.com/forum/uploads/20100119_015321_sshot-2.png

Başlangıçta çalışan programları Kontrol edin;

Xp için C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörü içerisisinde,

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   klasörü içerisisinde,

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local

içerisinde çalışan işlem varsa orda bulunan isimden keylogerin ismini tesbit edebilirsiniz.

Örnek:

C:\Documents and Settings\sizin otorum açma adınız\Application Data\xxx.exe

Keylogerin ismi xxx.exe dir

Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

2.Yöntem

Processexplorer ile çalışan tüm işlemleri  kontrol etmenizi tavsiye ederiz.

Processexplorer dan çalışan işlemleri kontrol ederken;

Xp için; C:\Documents and Settings\sizin otorum açma adınız\Application Data

Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming klasörü  içerisinde çalışan programa rastlarsanız o keylogerdir.

3. Yöntem

Bahsettiğimiz bu keyloger'in başlangıçta çalışan programlar arasında gizlenme özelliği olduğundan böyle bir durum söz konusu ise  Keylogerin adını ve konumunu tesbit etmek için;

Registry den

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Da bulunan shell değerini kontrol edin.

Örnek:

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\xxx.exe"

Keylogerin ismi: xxx.exe dir

Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.

Bahsettiğimiz bu keyloger'in sisteminize farklı isimde bulaştığını tesbit ettiyseniz;

Temizleme işlemi burda anlattığımız gibi   geçerlidir yani aşağıdaki anlatımlarda bulunan msnmsgr.exe yerine tesbit ettiğiniz dosya ismini baza alarak temizleme işlemini yapacaksınız .

****************************

Bulaştığı zaman

Vindows işletim sistemlerine bulaşır...

Bulaşan bu keyloger kendine ait dosyaları aşağıdaki klasörlerden birine kopyalıyabilir;

C:\Documents and Settings\sizin otorum açma adınız\Application Data
C:\Users\sizin otorum açma adınız\AppData\Local

C:\Users\sizin otorum açma adınız\AppData\Roaming

C:\WINDOWS\system
C:\WINDOWS
C:\Documents and Settings\Kullanıcı adınız\temp
C:\Program Files
c:\winnt\profiles\username\start menu\programs\startup

Standart olarak :

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

********************************************

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

********************************************

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming    içerisine taskmgr.exe,  ntcheck.sys, ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  appdata.sys, appdata.dll olarak 3 dosya şeklinde bulaşır.

Güncel

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine dllhost.exe,  drivers.log , ntcheck.dll olarak 3 dosya şeklinde bulaşır.

Not: Gizli dosya ve klasörler seçeneğini aktif hale getirmeden belirtilen dizini göremezsiniz.



İşletim sisteminden Temizlemek için

Aşağıda   örnek temizleme yöntemleri anlatılmıştır sisteminize bu isimler harici farklı isimlerde bahsettiğimiz yeni nesil keyloger dan bulaşmış ise temizleme yöntemi yine aynıdır sadece keyloger isimleri farklıdır.

Xp işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Processexplorer'ı programı ile C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Processexplorer'ı programı ile C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan dllhost.exe yi sonlandırın

Processexplorer Downlod:

http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860

***********************************************************

C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörünü açıp taskmgr.exe,  ntcheck.sys, ntcheck.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Application Data klasörünü açıp dllhost.exe,  appdata.sys, appdata.dll    dosyalarını silin

Güncel

C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine dllhost.exe,  drivers.log , ntcheck.dll    dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Güncel

Bu değeri silin

Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

Birde

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunan

Bu değeri silin

Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"

Bu şekil değiştirin

Shell      Explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"

Bu şekil değiştirin

Shell      Explorer.exe

***********************************************************

Daha sonra var ise aşagıdaki kayıtlarıda siliniz.



HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\taskmgr.exe     TaskMgr

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\dllhost.exe     DLLHost

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Application Data\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Application Data\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra:  Kontrol etmek için Kayıt defteri düzenleyicisin den Local Settings\Application Data\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Vista işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.

1. Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2. Görünüm sekmesini tıklatın.
3. Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys, ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys, appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log, ntcheck.dll dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin

Shell         explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin

Shell         explorer.exe

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Windows 7 işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.

1. Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2. Görünüm sekmesini tıklatın.
3. Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan taskmgr.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming içerisinde bulunan dllhost.exe yi sonlandırın

Güncel

Ctrl + Alt+ Del tuşlarına basarak Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın

***********************************************************

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys, ntcheck.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys, appdata.dll   dosyalarını silin

Güncel

C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log, ntcheck.dll dosyalarını silin



Akabinde;

Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.

***********************************************************

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Bu değeri silin

TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"

Güncel

Bu değeri silin

DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Güncel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana

Bu değeri silin

Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"

***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin

Shell         explorer.exe

Güncel

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"

Bu şekil değiştirin

Shell         explorer.exe

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Güncel

Bunları yaptıktan sonra;   Kontrol etmek için Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın eğer bu kelimeler bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger temizlenmiş demektir.

Bilgisayarınızı yeniden başlatın   işlem tamamdır. Artık Sisteminizi sorunsuz kullanabilirsiniz.

Yapamayanlar Xp ,  VİSTA ve Windows 7 den   temizlemek için hazırlamış olduğum bu temsili videoyu  örnek alarak temizleyebilirler

[FLASH WIDTH=633 HEIGHT=541]http://www.bilgineferi.com/forum/uploads/invertor/msnmsgr/mwplayer.swf[/FLASH]

Not: Aşapıdaki konuyuda inceleyiniz

Yeni Nesil Keyloger Tespit Etme Sistemi Hakkında hazırlamış olduğumuz diğer  konulara aşağıdaki linkten ulaşabilirsiniz

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373

Konuyu devamlı güncel tutmaya çalışacağız.

Bizi takip etmeye devam edin.

Edit:

Konuda güncelleme yapılmıştır

Saygılarımla

İnvertor

invertor2010-03-06 04:11:35

jackasss1 · Mesaj gönderen **jackasss1** » Çrş Ara 30, 2009 4:00 am

kardes öncelikle eline sağlık çok guzel bi çalısma olmuş benim bu olay dun başıma geldi bişey sorcaktım..Dediklerini hepsini yaptım fakat slhell değerini değiştirin demişiniz ya orda slhell i bulamadım ben yani oyle bi kayıt yok, diğer dediklerini yaptım hepsi temiz gozukuyo ama -yeni nesil keyloger tespit etme- programınızı indirdim kontrol yap dedim fakat keyloger bulaşmış diyo fakat nerde oldugu hakkında bişey gelmiyo boş gozukuyo bi yardımcı olursan çok sevincem ya deyse format atmak zorunda kalcam..

invertor · Mesaj gönderen **invertor** » Çrş Ara 30, 2009 12:24 pm

[QUOTE=jackasss1]kardes öncelikle eline sağlık çok guzel bi çalısma olmuş benim bu olay dun başıma geldi bişey sorcaktım..Dediklerini hepsini yaptım fakat slhell değerini değiştirin demişiniz ya orda slhell i bulamadım ben yani oyle bi kayıt yok, diğer dediklerini yaptım hepsi temiz gozukuyo ama -yeni nesil keyloger tespit etme- programınızı indirdim kontrol yap dedim fakat keyloger bulaşmış diyo fakat nerde oldugu hakkında bişey gelmiyo boş gozukuyo bi yardımcı olursan çok sevincem ya deyse format atmak zorunda kalcam..[/QUOTE]

Hangi işletim sistemini kullanıyorsunuz ?

Shell değeri hakkında;

Örnek;

shell degeri herzaman standart olarak

Shell      Explorer.exe dir.

Eğer shell değeri bu şekil ise

Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"

Bu şekil değiştirin

Shell         explorer.exe

jackasss1 · Mesaj gönderen **jackasss1** » Çrş Ara 30, 2009 2:59 pm

veri tabanı xp yuklu, gorunum vista yukledim, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon burdaki shell degerini explorer olarak değiştirin demişinz ya shell die bi tıklancak bişey bulamadım orda başta varsayılan sonra a sonra b die bişeyler var bazılarında da item,key die böyle veriler var shell die bieşye hiç rastlamadımy a da shellden kastınızı yanlış anladım ? Bende ilk başta scvhost ve ntcom die vardı pc acılıp kapanınca ntcom bulunamadımı ona benzer bi hata veriyodu direk dediklerini yapınca hepsi duzeldi saolasın ama tespit etme programında bulaşmış dio tek işte shell değeri olmadı yardımın için şimdiden saol kardeş seninde başını agrıttım..

jackasss1 · Mesaj gönderen **jackasss1** » Çrş Ara 30, 2009 3:04 pm

yani kısaca diger dediklerinin hepsi oldu tek shell degerini bulup duzeltemedim winlogon un içinde shell die bişeyi bulamadım yani

invertor · Mesaj gönderen **invertor** » Prş Ara 31, 2009 10:31 am

Bak şimdi sana şöyle izah edeyim

Öncelikle ctrl+alt+del tuşlari ile görev yöneticisini açın işlemler kısmında scvhost diye çalışan bir dosya varmı var ise sonlandırın

Sonra

Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol et bakalım scvhost adında bir değer varmı

Temsili örnek

http://www.bilgineferi.com/forum/uploads/20091228_022507_sshot-2.png

Not:

Yeni nesil keyloger tespit etme programı ile aldığınız sonucta shell yazan yerin karşısı boşmu

http://www.bilgineferi.com/forum/uploads/20091215_113444_i1.JPG

Saygılarımla

invertor2009-12-31 10:34:08

jackasss1 · Mesaj gönderen **jackasss1** » Prş Ara 31, 2009 11:22 am

Saolasın kardeş çok yardımcı oldun tekrar saol iyi akşamlar

invertor · Mesaj gönderen **invertor** » Sal Oca 19, 2010 11:47 am

Temizlik yönteminde güncelleme yapılmıştır

Saygılarımla

İnvertor

aHsheN · Mesaj gönderen **aHsheN** » Prş Mar 04, 2010 5:21 am

Merhaba
Öncelikle dataylı anlatımınız için çok tesekkur ederım.
soyledıklerınızı yaptım elımden geldıgınce.
baska bı forumda komut sıstemınde, net user yazdıgımda cıkmıyorsa temız oldugunu soylemısler, bende de cıkmadı.
Sımdı benım asıl merak ettıgım (bu konuda kolay ve anlasılır bır sekılde acıklama ıstemem) asıl bana bunu gonderen kısınn kım oldugunu ogrenmektır. Sizden ricam bana yardımcı olurmusunuz ?
Teşekkür ederim Sevgiler

invertor · Mesaj gönderen **invertor** » Prş Mar 04, 2010 8:26 am

[QUOTE=aHsheN]Merhaba
Öncelikle dataylı anlatımınız için çok tesekkur ederım.
soyledıklerınızı yaptım elımden geldıgınce.
baska bı forumda komut sıstemınde, net user yazdıgımda cıkmıyorsa temız oldugunu soylemısler, bende de cıkmadı.
Sımdı benım asıl merak ettıgım (bu konuda kolay ve anlasılır bır sekılde acıklama ıstemem) asıl bana bunu gonderen kısınn kım oldugunu ogrenmektır. Sizden ricam bana yardımcı olurmusunuz ?
Teşekkür ederim Sevgiler

[/QUOTE]

Burada bahsi geçen keyloger dan sisteminize bulaşmış ise keyloger i bulaştıran kullanıcının adını öğrenme işlemini bir önceki konuda eklemiştim

Keyloger'i oluşturan kullanıcının adını bulma temsili videolu anlatım

[FLASH WIDTH=633 HEIGHT=541]http://www.bilgineferi.com/forum/uploads/invertor/keyloger-kullanıci_adi_tesbit/mwplayer.swf[/FLASH]

Konu hakkında detaylı bilgi

http://www.bilgineferi.com/forum/forum_posts.asp?TID=8005

Kullanıcı adını bulduğunuzda ne yapabilirsiniz google aracılığı ile kullanıcı adını araştırıp para ile satılan fakat kötü amaçlarda kullanılan bu keylogerin satışının yapıldığı yere ulaşıp oradan mevcut kullanıcıya ulaşmayı deneyebilirsiniz.

invertor2010-03-04 08:29:15