Bilginin Adresi Ana Sayfa
Forum Anasayfası Forum Anasayfası > Bilgisayar Güvenliği / Computer Security > Güvenlik Programları, Güvenlik ve Güvenlik açıkları
  Aktif Konular Aktif Konular RSS - taskmgr.exe, dllhost.exe  (Dikkat)
  SSS SSS  Forumu Ara   Events   Kayıt Ol Kayıt Ol  GiriÅŸ GiriÅŸ

taskmgr.exe, dllhost.exe (Dikkat)

 Yanıt Yaz Yanıt Yaz
Yazar
Mesaj
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Konu: taskmgr.exe, dllhost.exe (Dikkat)
    Gönderim Zamanı: 15-12-2009 Saat 23:46
msnmsgr.exe veya dllhost.exe veya taskmgr.exe adı ile gizlenen yeni nesil keyloger Hakkında:
 
Bahsettiklerimiz bu isimler  veya farklı isimler adı altında bulaşan Yeni nesil Türk Yapımı   Güzel bir Keyloger client'i  dir.  Ticari amaçlı yapılmıştır ve kötü amaçlarda  kullanılmaktadır. Buradaki  taskmgr.exe  ismini   yapımcı istediği zaman değişebilmektedir.   örnek: aa.exe  gibi, taskmgr.exe  adı  keyloger clientini oluşturan program ile standart olarak gelmektedir. 

Bu keyloger  Şifrelerinizin  ve kişisel bilgilerinizin  çalınması amacı ile kullanılır.

 

 

Şimdi ise standart olarak  taskmgr.exe adı altında gizlenip çalışan bu keyloger'ın temizleme yöntemini anlatacağım.

 
 
Bulaştığı yerler  ve temizleme yöntemi burda anlatıldığı gibidir.


Eğer pc nize bulaşmış ise ;

1: Bulaştığı zaman  hemen aktif olur görev yöneticisinde gözükür.
 
    Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.
 
 
2: Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez. 
 
   Fakat Pc nizi aç  kapa yaptıktan sonra veya herhangi bir programı açmanız ile    aktif hale gelip Görev yöneticisinde gözükür   bu andan itibaren   Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.
 
 
 
Burda bahsettiğimiz taskmgr.exe ve dllhost.exe  yi açıklayalım;
 
Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol edebilirsiniz orda taskmgr  veya konum kısmını genişlettiğinizde Application Data klasörü içerisinde  çalışan    " C:\Documents and Settings\Kullanıcı adınız\Application Data\taskmgr.exe  gibi  "  program yer alıyorsa bu bir keylogerdir.
 
Örnek:
 
 
 
 
veya  bu ve benzeri gibi
 
 
 
 
Zaten bu kontrolleri  Yeni Nesil Keyloger Tespit Etme Sistemi v1.4 programı yapmaktadır kafalarda soru işareti kalmasın diye açıklama gereksiniminde bulundum
 
 
 
 
 
Dikkat :
 
Son zamanlarda farklı isimlerde bulaştığını tesbit ettik
 
Bunun üzerine  Yeni Nesil Keyloger Tespit Etme Sistemi v1.4.3 programını hazırladık  isterseniz bu program ile  sistemizizi test edebilirsiniz
 
 
 
Gerekli açıklamalar içerisinde mevcuttur.
 
Burdan indirebilirsiniz.
 
 
İsterseniz manuel  olarak aşığıdaki yöntem ile sisteminizi kontrol edebilirsiniz.
 
Manuel olarak İsim ve Konum Tespiti Yamak  için:
 
 
1. Yöntem 
 
Başlat  - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin 
 
"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz   programları devre dışı bırakabilirsiniz."
 
Örnek:
 
 
veya
 
 
 
Başlangıçta çalışan programları Kontrol edin;
 
 
Xp  için  C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörü içerisisinde,
 
Güncel
C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   klasörü içerisisinde,
 
 
Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming
 
Güncel
 
C:\Users\sizin otorum açma adınız\AppData\Local 
içerisinde çalışan işlem  varsa  orda bulunan isimden keylogerin ismini tesbit edebilirsiniz.
 
 
Örnek:
 
C:\Documents and Settings\sizin otorum açma adınız\Application Data\xxx.exe 
 
Keylogerin ismi xxx.exe dir
Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.
 
 
 
 
2.Yöntem  
 
 
Processexplorer ile çalışan tüm işlemleri  kontrol etmenizi tavsiye ederiz.
 
Processexplorer dan çalışan işlemleri  kontrol ederken;
 
Xp  için; C:\Documents and Settings\sizin otorum açma adınız\Application Data 
 
Vista ve windows 7 için; C:\Users\sizin otorum açma adınız\AppData\Roaming  klasörü  içerisinde çalışan programa rastlarsanız o keylogerdir.
 
 
 
 
 
3. Yöntem
 
Bahsettiğimiz bu keyloger'in başlangıçta  çalışan programlar arasında gizlenme  özelliği olduğundan böyle bir durum söz konusu ise  Keylogerin adını ve konumunu tesbit etmek için;
 
Registry den

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Da bulunan shell değerini kontrol edin.

 
Örnek:
 
Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
Eğer shell değeri bu şekil ise
Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\xxx.exe"
 
 
Keylogerin ismi: xxx.exe dir
Bulunduğu konum: C:\Documents and Settings\sizin otorum açma adınız\Application Data\ klasörünün içidir.
 
 
 
 
 
Bahsettiğimiz bu keyloger'in  sisteminize farklı isimde  bulaştığını tesbit ettiyseniz;
 
Temizleme işlemi  burda anlattığımız gibi   geçerlidir yani aşağıdaki anlatımlarda bulunan  msnmsgr.exe yerine  tesbit ettiğiniz dosya ismini baza alarak temizleme işlemini yapacaksınız .
 
 
 
 
 
 
 
 
****************************

Bulaştığı zaman
 
Vindows işletim sistemlerine bulaşır...
 
Bulaşan bu keyloger kendine ait dosyaları aşağıdaki klasörlerden birine kopyalıyabilir;

C:\Documents and Settings\sizin otorum açma adınız\Application Data
C:\Users\sizin otorum açma adınız\AppData\Local
C:\Users\sizin otorum açma adınız\AppData\Roaming
C:\WINDOWS\system
C:\WINDOWS
C:\Documents and Settings\Kullanıcı adınız\temp
C:\Program Files
c:\winnt\profiles\username\start menu\programs\startup
 
 
 
Standart olarak :
 

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
Xp' de C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
 
********************************************
 

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.
 
 Güncel
Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
********************************************

Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming    içerisine  taskmgr.exe,  ntcheck.sys,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  appdata.sys,  appdata.dll  olarak 3 dosya şeklinde bulaşır.
 
 Güncel
Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll  olarak 3 dosya şeklinde bulaşır.
 
 
Not: Gizli dosya ve klasörler seçeneğini aktif hale getirmeden belirtilen dizini göremezsiniz.
 
  
 
 
İşletim sisteminden Temizlemek için
 
Aşağıda   örnek temizleme yöntemleri anlatılmıştır sisteminize bu isimler harici farklı isimlerde  bahsettiğimiz yeni nesil keyloger dan  bulaşmış ise temizleme yöntemi yine aynıdır sadece keyloger isimleri farklıdır.
 
 
 
 
Xp işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Processexplorer'ı  programı ile  C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan taskmgr.exe yi sonlandırın
 
Güncel
 
Processexplorer'ı  programı ile  C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan dllhost.exe yi sonlandırın
 
Processexplorer Downlod:
 
 
***********************************************************
 
C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörünü açıp taskmgr.exe,  ntcheck.sys,  ntcheck.dll    dosyalarını silin
 
Güncel
 
C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörünü açıp dllhost.exe,  appdata.sys,  appdata.dll    dosyalarını silin
 
 
Güncel
 
C:\Documents and Settings\sizin otorum açma adınız\Local Settings\Application Data   içerisine  dllhost.exe,  drivers.log ,  ntcheck.dll    dosyalarını silin
 
 
 
  
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
TaskMgr     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"
 
 
Güncel
 
Bu değeri silin
DLLHost     "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"
 
 
Güncel
 
Bu değeri silin
Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"
 
Birde
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run  da bulunan
 
Bu değeri silin
Dllhost     "C:\Documents and Settings\ sizin otorum açma adınız \Local Settings\Application Data\dllhost.exe"
 
 
 
 
 
 
***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
Eğer shell değeri bu şekil ise

 
Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\taskmgr.exe"
 
Bu şekil değiştirin
Shell      Explorer.exe 
 
 
Güncel
 
Eğer shell değeri bu şekil ise

 
Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\dllhost.exe"
 
Bu şekil değiştirin
Shell      Explorer.exe 
 
 
 
*********************************************************** 
 
Daha sonra  var ise aşagıdaki kayıtlarıda siliniz.
 
  
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\taskmgr.exe     
TaskMgr  
 
 
Güncel
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
C:\Documents and Settings\sizin otorum açma adınız \Application Data\dllhost.exe     DLLHost
  
 
 
Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Application Data\taskmgr.exe  'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
Güncel
 
Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Application Data\dllhost.exe  'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
 
Güncel
 
Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Local Settings\Application Data\dllhost.exe 'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 

Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

 
 
 
 
Vista işletim sisteminden Temizlemek için; 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.
 
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan taskmgr.exe yi sonlandırın
 
 
Güncel
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan dllhost.exe yi sonlandırın
 
Güncel
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın
 
***********************************************************
 
 
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys,  ntcheck.dll   dosyalarını silin
 
Güncel
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys,  appdata.dll   dosyalarını silin
 
Güncel
 
C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log,  ntcheck.dll dosyalarını silin
  
 
 
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
 
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"
 
 
Güncel
 
Bu değeri silin
DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"
 
 
Güncel
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana
 
Bu değeri silin
 
Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"
 
 
 
 
 
***********************************************************
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
 
Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
Güncel
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
 
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
Güncel
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
 
Güncel
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 

 Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

 
 
 
 
Windows 7  işletim sisteminden Temizlemek için; 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.
 
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan taskmgr.exe yi sonlandırın
 
 
Güncel
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan dllhost.exe yi sonlandırın
 
Güncel
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın dllhost.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Local içerisinde bulunan dllhost.exe yi sonlandırın
 
***********************************************************
 
 
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  taskmgr.exe,  ntcheck.sys,  ntcheck.dll   dosyalarını silin
 
Güncel
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  dllhost.exe,  appdata.sys,  appdata.dll   dosyalarını silin
 
Güncel
 
C:\Users\sizin otorum açma adınız\AppData\Local\ klasörünü açıp  dllhost.exe,  drivers.log,  ntcheck.dll dosyalarını silin
  
 
 
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
 
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
TaskMgr       "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe"
 
 
Güncel
 
Bu değeri silin
DLLHost      "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"
 
 
Güncel
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run da bulunana
 
Bu değeri silin
 
Dllhost     "C:\Users\sizin otorum açma adınız\AppData\Local\dllhost.exe"
 
 
 
 
 
***********************************************************
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
 
Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
Güncel
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\dllhost.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
 
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\taskmgr.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
Güncel
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\dllhost.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
 
Güncel
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  AppData\Local\dllhost.exe'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 

 Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 

Yapamayanlar Xp ,  VİSTA  ve Windows 7 den   temizlemek için hazırlamış olduğum bu temsili videoyu  örnek alarak temizleyebilirler
 
 
 
Not: Aşapıdaki konuyuda inceleyiniz
 
 
Yeni Nesil Keyloger Tespit Etme Sistemi Hakkında hazırlamış olduğumuz diğer  konulara aşağıdaki linkten  ulaşabilirsiniz
 
 
Konuyu devamlı güncel tutmaya çalışacağız.
Bizi takip etmeye devam edin.
 
 
Edit:
Konuda güncelleme yapılmıştır
 
 
 
 
 
Saygılarımla
İnvertor


Düzenleyen invertor - 06-03-2010 Saat 13:11
Yukarı Dön
jackasss1 Açılır Kutu Gör
Yeni Üye
Yeni Üye


Kayıt Tarihi: 30-12-2009
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı jackasss1 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 30-12-2009 Saat 13:00
kardes öncelikle eline sağlık çok guzel bi çalısma olmuş benim bu olay dun başıma geldi bişey sorcaktım..Dediklerini hepsini yaptım fakat slhell değerini değiştirin demişiniz ya orda slhell i bulamadım ben yani oyle bi kayıt yok, diğer dediklerini yaptım hepsi temiz gozukuyo ama -yeni nesil keyloger tespit etme- programınızı indirdim kontrol yap dedim fakat keyloger bulaşmış diyo fakat nerde oldugu hakkında bişey gelmiyo boş gozukuyo bi yardımcı olursan çok sevincem ya deyse format atmak zorunda kalcam..
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 30-12-2009 Saat 21:24
Orjinalini yazan: jackasss1 jackasss1 Yazdı:

kardes öncelikle eline sağlık çok guzel bi çalısma olmuş benim bu olay dun başıma geldi bişey sorcaktım..Dediklerini hepsini yaptım fakat slhell değerini değiştirin demişiniz ya orda slhell i bulamadım ben yani oyle bi kayıt yok, diğer dediklerini yaptım hepsi temiz gozukuyo ama -yeni nesil keyloger tespit etme- programınızı indirdim kontrol yap dedim fakat keyloger bulaşmış diyo fakat nerde oldugu hakkında bişey gelmiyo boş gozukuyo bi yardımcı olursan çok sevincem ya deyse format atmak zorunda kalcam..
 
Hangi işletim sistemini kullanıyorsunuz ?
 
 
Shell değeri hakkında;
 
Örnek;
 
shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\taskmgr.exe.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
Yukarı Dön
jackasss1 Açılır Kutu Gör
Yeni Üye
Yeni Üye


Kayıt Tarihi: 30-12-2009
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı jackasss1 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 30-12-2009 Saat 23:59

veri tabanı xp yuklu, gorunum vista yukledim, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon burdaki shell degerini explorer olarak değiştirin demişinz ya shell die bi tıklancak bişey bulamadım orda başta varsayılan sonra a sonra b die bişeyler var bazılarında da item,key die böyle veriler var shell die bieşye hiç rastlamadımy a da shellden kastınızı yanlış anladım ? Bende ilk başta scvhost ve ntcom die vardı pc acılıp kapanınca ntcom bulunamadımı ona benzer bi hata veriyodu direk dediklerini yapınca hepsi duzeldi saolasın ama tespit etme programında bulaşmış dio tek işte shell değeri olmadı yardımın için şimdiden saol kardeş seninde başını agrıttım..

Yukarı Dön
jackasss1 Açılır Kutu Gör
Yeni Üye
Yeni Üye


Kayıt Tarihi: 30-12-2009
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı jackasss1 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 31-12-2009 Saat 00:04
yani kısaca diger dediklerinin hepsi oldu tek shell degerini bulup duzeltemedim winlogon un içinde shell die bişeyi bulamadım yani
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 31-12-2009 Saat 19:31
Bak şimdi sana şöyle izah edeyim
 
Öncelikle ctrl+alt+del tuşlari ile görev yöneticisini açın  işlemler kısmında scvhost diye çalışan bir dosya varmı  var ise sonlandırın
 
Sonra
 
Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol et bakalım  scvhost  adında  bir değer varmı
 
Temsili örnek 
 
 
 
 
Not:
Yeni nesil keyloger tespit etme programı ile aldığınız sonucta  shell yazan yerin karşısı boşmu 
 
 
 
 
Saygılarımla
 
 
 


Düzenleyen invertor - 31-12-2009 Saat 19:34
Yukarı Dön
jackasss1 Açılır Kutu Gör
Yeni Üye
Yeni Üye


Kayıt Tarihi: 30-12-2009
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı jackasss1 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 31-12-2009 Saat 20:22
Saolasın kardeş çok yardımcı oldun tekrar saol iyi akşamlar
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 19-01-2010 Saat 20:47

Temizlik yönteminde güncelleme yapılmıştır

 
Saygılarımla
İnvertor
Yukarı Dön
aHsheN Açılır Kutu Gör
Yeni Üye
Yeni Üye
Simge

Kayıt Tarihi: 04-03-2010
Konum: Türkiye
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı aHsheN Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 04-03-2010 Saat 14:21
Merhaba
Öncelikle dataylı anlatımınız için çok tesekkur ederım.
soyledıklerınızı yaptım elımden geldıgınce.
baska bı forumda komut sıstemınde, net user yazdıgımda cıkmıyorsa temız oldugunu soylemısler, bende de cıkmadı.
Sımdı benım asıl merak ettıgım (bu konuda kolay ve anlasılır bır sekılde acıklama ıstemem) asıl bana bunu gonderen kısınn kım oldugunu ogrenmektır. Sizden ricam bana yardımcı olurmusunuz ?
Teşekkür ederim Sevgiler

Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 04-03-2010 Saat 17:26
Orjinalini yazan: aHsheN aHsheN Yazdı:

Merhaba
Öncelikle dataylı anlatımınız için çok tesekkur ederım.
soyledıklerınızı yaptım elımden geldıgınce.
baska bı forumda komut sıstemınde, net user yazdıgımda cıkmıyorsa temız oldugunu soylemısler, bende de cıkmadı.
Sımdı benım asıl merak ettıgım (bu konuda kolay ve anlasılır bır sekılde acıklama ıstemem) asıl bana bunu gonderen kısınn kım oldugunu ogrenmektır. Sizden ricam bana yardımcı olurmusunuz ?
Teşekkür ederim Sevgiler

 
Burada bahsi geçen keyloger dan sisteminize bulaşmış ise keyloger i bulaştıran kullanıcının adını öğrenme işlemini bir önceki konuda eklemiştim
 
 
 
Keyloger'i oluşturan kullanıcının adını bulma  temsili videolu  anlatım
 
 
 
 
 
Kullanıcı adını bulduğunuzda  ne yapabilirsiniz    google aracılığı ile kullanıcı adını araştırıp para ile satılan fakat kötü amaçlarda kullanılan  bu keylogerin  satışının yapıldığı yere ulaşıp oradan mevcut kullanıcıya ulaşmayı deneyebilirsiniz.
 
 


Düzenleyen invertor - 04-03-2010 Saat 17:29
Yukarı Dön
mert847 Açılır Kutu Gör
Yeni Üye
Yeni Üye
Simge

Kayıt Tarihi: 08-05-2010
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı mert847 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 08-05-2010 Saat 12:08
kardes paylasımın ıcın cok tesekkur edıorum allah razı olsun bende sadece dllhost.exe vardı gitti bide bıse sorcam bu Process Explorer da kırmızı svchost.exeler var ati,ekrn exe,alg.exe,lsass.exe var o bıse yaparmı virusmu bi acıklama yaparmısın kardes
merterdal
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 08-05-2010 Saat 23:35
Orjinalini yazan: mert847 mert847 Yazdı:

kardes paylasımın ıcın cok tesekkur edıorum allah razı olsun bende sadece dllhost.exe vardı gitti bide bıse sorcam bu Process Explorer da kırmızı svchost.exeler var ati,ekrn exe,alg.exe,lsass.exe var o bıse yaparmı virusmu bi acıklama yaparmısın kardes
 
Öncelikle anlattığımız yöntemleri uygulayın
Yazmış olduğunuz isimler sistem dosyalarıdır  fakat  görev yöneticisinde  çalışlma şeklini  görmeden yorum yazmak yanlış olur 
 
Bir resim eklerseniz duruma göre yardımcı olabilirim.
Yukarı Dön
nokihan Açılır Kutu Gör
Yeni Üye
Yeni Üye
Simge

Kayıt Tarihi: 02-06-2010
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı nokihan Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 04-06-2010 Saat 21:30
teşekkürler yalnız anlatım bayağı karışık ben bile bu anlatımda baya zorlandım win7 kullanıyorum açılışta o dosyalar yok  roaming tede localdede yok görev yöneticisinde sadece çıkıyor.taskmgr.exe ve dllhost.exe.ordan sonlandırıyorum ama regeditten anlattıklarında dediğin dosyalar yok.regeditten aratıyorum o dosyalar yok.rundan bakıyorum yok.yanirgediti altüst ettim o dosyala yok.bu nedir  bu hırsıın adını bulsak ne olacak  dah basit temisleme yokmudur.regeditten dosyaları bulamadık roamingtede yok dosyalarda gisli değil.acaip bi durum gibime geliyor.antilogger programı daha iyi çözüm değilmidr bu anlatımın süper ama o dosyalar yokki. teşekkürler
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 06-06-2010 Saat 08:54

Orjinalini yazan: nokihan nokihan Yazdı:

teşekkürler yalnız anlatım bayağı karışık ben bile bu anlatımda baya zorlandım win7 kullanıyorum açılışta o dosyalar yok  roaming tede localdede yok görev yöneticisinde sadece çıkıyor.taskmgr.exe ve dllhost.exe.ordan sonlandırıyorum ama regeditten anlattıklarında dediğin dosyalar yok.regeditten aratıyorum o dosyalar yok.rundan bakıyorum yok.yanirgediti altüst ettim o dosyala yok.bu nedir  bu hırsıın adını bulsak ne olacak  dah basit temisleme yokmudur.regeditten dosyaları bulamadık roamingtede yok dosyalarda gisli değil.acaip bi durum gibime geliyor.antilogger programı daha iyi çözüm değilmidr bu anlatımın süper ama o dosyalar yokki. teşekkürler

 
 
Bilgisayarınızda bahsettiğim dosyalar yoksa,  ve başlangıçta çalışan programlarınızda  farklı isimlerde mevcut değilse sorun yok demektir ;)
 
 
Saygılarımla

Yukarı Dön
 Yanıt Yaz Yanıt Yaz

Forum Atla Forum İzinleri Açılır Kutu Gör



Bu Sayfa 0.219 Saniyede Yüklendi.