Bilginin Adresi Ana Sayfa
Forum Anasayfası Forum Anasayfası > Bilgisayar Güvenliği / Computer Security > Güvenlik Programları, Güvenlik ve Güvenlik açıkları
  Aktif Konular Aktif Konular RSS - rundll.exe  adı altında bulaşan yeni nesil keyloger'a Dikkat
  SSS SSS  Forumu Ara   Events   Kayıt Ol Kayıt Ol  GiriÅŸ GiriÅŸ

rundll.exe adı altında bulaşan yeni nesil keyloger'a Dikkat

 Yanıt Yaz Yanıt Yaz
Yazar
Mesaj
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Konu: rundll.exe adı altında bulaşan yeni nesil keyloger'a Dikkat
    Gönderim Zamanı: 06-03-2010 Saat 11:20
msnmsgr.exe veya msmsgs.exe veya dllhost.exe veya taskmgr.exe, veya rundll32.exe  adı ile gizlenen yeni nesil keyloger Hakkında:
 
Bahsettiklerimiz bu isimler  veya farklı isimler adı altında bulaşan Yeni nesil Türk Yapımı   Güzel bir Keyloger client'i  dir.  Ticari amaçlı yapılmıştır ve kötü amaçlarda  kullanılmaktadır. Buradaki  rundll.exe  ismini   yapımcı istediği zaman değişebilmektedir.   örnek: aa.exe  gibi, taskmgr.exe  adı  keyloger clientini oluşturan program ile standart olarak gelmektedir. 

Bu keyloger  Şifrelerinizin  ve kişisel bilgilerinizin  çalınması amacı ile kullanılır

 
Şimdi ise standart olarak  rundll.exe adı altında gizlenip çalışan bu keyloger'ın temizleme yöntemini anlatacağım.
 
 
Bulaştığı yerler  ve temizleme yöntemi burda anlatıldığı gibidir.


Eğer pc nize bulaşmış ise ;

1: Bulaştığı zaman  hemen aktif olur görev yöneticisinde gözükür.
 
    Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.
 
 
2: Bulaştığı zaman hemen aktif olmaz bundan dolayı görev yöneticisinde gözükmez ve dikkatinizi çekmez. 
 
  
 Fakat Pc nizi aç  kapa yaptıktan sonra veya herhangi bir programı açmanız ile    aktif hale gelip Görev yöneticisinde gözükür   bu andan itibaren   Pc nizde girmiş olduğunuz internet adresleri, Girmiş olduğunuz bütün  kullanıcı adı ve  şifreler, yazmış olduğunuz ve kopyala yapıştır  yaptığınız bütün yazılar, pc nizin ekran görüntüsü,…vs   periyodik bir şekilde belirtilen zaman aralıklarında   yapımcının belirtmiş olduğu  adrese  yollamaktadır.
 
 
 
Burda bahsettiğimiz rundll.exe yi açıklayalım;
 
Başlattan Çalıştıra msconfig yazıp başlangıç ta çalışan programları kontrol edebilirsiniz orda rundll  veya konum kısmını genişlettiğinizde Application Data klasörü içerisinde  çalışan    " C:\Documents and Settings\Kullanıcı adınız\Application Data\rundll.exe  gibi  "  program yer alıyorsa bu bir keylogerdir.
 
Örnek:
 
 
 
Zaten bu kontrolleri  Yeni Nesil Keyloger Tespit Etme Sistemi v1.5 programı yapmaktadır kafalarda soru işareti kalmasın diye açıklama gereksiniminde bulundum
 
 
Dikkat :
 
Son zamanlarda farklı isimlerde bulaştığını tesbit ettik
 
Bunun üzerine  Yeni Nesil Keyloger Tespit Etme Sistemi v1.5.2 programını hazırladık  isterseniz bu program ile  sistemizizi test edebilirsiniz
 
   
 
Gerekli açıklamalar içerisinde mevcuttur.
 
Burdan indirebilirsiniz.
 
 
İsterseniz manuel  olarak aşığıdaki yöntem ile sisteminizi kontrol edebilirsiniz.
 
Manuel olarak İsim ve Konum Tespiti Yamak  için:
 
 
1. Yöntem 
 
Başlat  - Çalıştır'a msconfig yazıp açılan ekrandan başlangıca gelin 
 
"Buradan bilgisayar açıldıgında başlangıçta çalıştırılan programları kontrol edebilir şüphelendiğiniz   programları devre dışı bırakabilirsiniz."
 
Örnek:
 
 
 
2.Yöntem  
 
Processexplorer ile çalışan tüm işlemleri  kontrol etmenizi tavsiye ederiz.
 
 
 
 
 
****************************

Bulaştığı zaman
 
Vindows işletim sistemlerine bulaşır...
 
Bulaşan bu keyloger kendine ait dosyaları aşağıdaki klasörlerden birine kopyalıyabilir;

C:\Documents and Settings\sizin otorum açma adınız\Application Data
C:\Users\sizin otorum açma adınız\AppData\Local
C:\Users\sizin otorum açma adınız\AppData\Roaming
C:\WINDOWS\system
C:\WINDOWS
C:\Documents and Settings\Kullanıcı adınız\temp
C:\Program Files
c:\winnt\profiles\username\start menu\programs\startup
 
 
 
Standart olarak :
 

Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  rundll.exe,  drivers.log,  nt.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
Xp' de C:\Documents and Settings\sizin otorum açma adınız\Application Data     içerisine  rundll.exe,  system.sys, ntldr.dll   olarak 3 dosya şeklinde bulaşır.
 
********************************************
 

Vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  rundll.exe,  drivers.log,  nt.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
vista' da C:\Users\sizin otorum açma adınız\AppData\Roaming   içerisine  rundll.exe,  system.sys, ntldr.dll   olarak 3 dosya şeklinde bulaşır.
 
********************************************
 
Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming     içerisine  rundll.exe,  drivers.log,  nt.dll  olarak 3 dosya şeklinde bulaşır.
 
Güncel
 
Windows 7' de C:\Users\sizin otorum açma adınız\AppData\Roaming    içerisine  rundll.exe,  system.sys, ntldr.dll   olarak 3 dosya şeklinde bulaşır.
 
 
İşletim sisteminden Temizlemek için
 
Aşağıda   örnek temizleme yöntemleri anlatılmıştır sisteminize bu isimler harici farklı isimlerde  bahsettiğimiz yeni nesil keyloger dan  bulaşmış ise temizleme yöntemi yine aynıdır sadece keyloger isimleri farklıdır.
 
 
 
 
Xp işletim sisteminden Temizlemek için;

Gizli dosya ve klasörler seçeneğini aktif hale getirin

Processexplorer'ı  programı ile  C:\Documents and Settings\sizin otorum açma adınız\Application Data içerisinde bulunan rundll.exe yi sonlandırın
 
Processexplorer Downlod:
 
 
***********************************************************
 
C:\Documents and Settings\sizin otorum açma adınız\Application Data  klasörünü açıp rundll.exe,  drivers.log,  nt.dll    dosyalarını silin
 
Güncel not:  Yukarıdaki  dosya isimlerinin yerine ; ntldr.dll, ntdata.dll dosyalarıda  olabilir  varsa bu dosyalarıda silebilirsiniz
 
 
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
Rundll    "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\rundll.exe"
 
 
***********************************************************

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
Eğer shell değeri bu şekil ise

 
Shell     explorer.exe "C:\Documents and Settings\ sizin otorum açma adınız \Application Data\rundll.exe"
 
Bu şekil değiştirin
Shell      Explorer.exe 
 
 
Bunları yaptıktan sonra:  Kontrol etmek için  Kayıt defteri düzenleyicisin den  Application Data\rundll.exe  'yi aratın eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
 
 
 
Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 
 
 
Vista işletim sisteminden Temizlemek için; 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.
 
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan rundll.exe yi sonlandırın
 
 
 
***********************************************************
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  rundll.exe,  drivers.log,  nt.dll   dosyalarını silin
 
Güncel not:  Yukarıdaki  dosya isimlerinin yerine ; ntldr.dll, ntdata.dll dosyalarıda  olabilir  varsa bu dosyalarıda silebilirsiniz
 
 
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
 
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
Rundll       "C:\Users\sizin otorum açma adınız\AppData\Roaming\rundll.exe"
 
 
 
***********************************************************
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
 
Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\rundll.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
 
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\rundll.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 
 
 
 
 
 
Windows 7  işletim sisteminden Temizlemek için; 
 
 

 Gizli dosya ve klasörler seçeneğini aktif hale getirin

Gizli dosyaları ve klasörleri görüntülemek için aşağıdaki adımları izleyin.
1.  Başlat düğmesi , Denetim Masası, Görünüm ve Kişiselleştirme ve ardından Klasör Seçenekleri'ni tıklatarak Klasör Seçenekleri'ni açın.
2.  Görünüm sekmesini tıklatın.
3.  Gelişmiş ayarlar altından Gizli dosya ve klasörleri göster'i ve ardından Tamam'ı tıklatın.
 
 
 Ctrl + Alt+ Del tuşlarına basarak  Görev yöneticisini çalıştırın taskmgr.exe dosyalarının üzerine sağtıklayıp özelliklerden   kontrol edin C:\Users\sizin otorum açma adınız\AppData\Roaming  içerisinde bulunan rundll.exe yi sonlandırın
 
 
 
***********************************************************
 
C:\Users\sizin otorum açma adınız\AppData\Roaming     klasörünü açıp  rundll.exe,  drivers.log,  nt.dll   dosyalarını silin
 
 
Güncel not:  Yukarıdaki  dosya isimlerinin yerine ; ntldr.dll, ntdata.dll dosyalarıda  olabilir  varsa bu dosyalarıda silebilirsiniz
 
 
Akabinde;
 
Başlat-çalışr'a regedit yazıp Kayıt defteri düzenleyicisini açın ve aşağıdaki işlemleri yapın.
 
 
 
***********************************************************
 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 
Bu değeri silin
Rundll       "C:\Users\sizin otorum açma adınız\AppData\Roaming\rundll.exe"
 
 
 
***********************************************************
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
 
Burdaki shell degeri herzaman standart olarak
Shell      Explorer.exe  dir.
 
 
Eğer shell değeri bu şekil ise
 
 Shell         explorer.exe "C:\Users\sizin otorum açma adınız\AppData\Roaming\rundll.exe"
 
 
Bu şekil değiştirin
Shell         explorer.exe  
 
 
 
 
Bunları yaptıktan sonra;   Kontrol etmek için  Kayıt defteri düzenleyicisinden  Roaming\rundll.exe 'yi aratın  eğer bu kelimeler  bulunuyorsa ilgili girdileri silin bulunmuyorsa keyloger  temizlenmiş demektir.
 
Bilgisayarınızı yeniden başlatın   işlem tamamdır.  Artık   Sisteminizi  sorunsuz kullanabilirsiniz. 
 
 
 
 
Yapamayanlar Xp ,  VİSTA  ve Windows 7 den   temizlemek için hazırlamış olduğum bu temsili videoyu  örnek alarak temizleyebilirler
 
 
 
Not: Aşağıdaki konuyuda inceleyiniz
 
 
Yeni Nesil Keyloger Tespit Etme Sistemi Hakkında hazırlamış olduğumuz diğer  konulara aşağıdaki linkten  ulaşabilirsiniz
 
 
Konuyu devamlı güncel tutmaya çalışacağız.
Bizi takip etmeye devam edin.
 
 
 


Düzenleyen invertor - 11-11-2010 Saat 15:20
Yukarı Dön
S3Z3R Açılır Kutu Gör
Moderator
Moderator
Simge

Kayıt Tarihi: 31-03-2007
Status: Aktif DeÄŸil
Points: 820
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı S3Z3R Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 06-03-2010 Saat 13:36
Yaptığın çalışmalar çok iyi teşekkürler.
Yukarı Dön
wolf Açılır Kutu Gör
Üye
Üye
Simge

Kayıt Tarihi: 30-07-2009
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı wolf Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 06-03-2010 Saat 13:46
Gerkçekten yine çok iyi bir çalışma, anlatım da çok sade ve açıklayıcı. Teşekkürler..
Yukarı Dön
megabros Açılır Kutu Gör
Security Professional
Security Professional
Simge

Kayıt Tarihi: 08-06-2009
Konum: Turkey
Status: Aktif DeÄŸil
Points: 752
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı megabros Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 18-04-2010 Saat 11:10
Konuya eksiksiz ve mükemmel bir açıklama getirmişsiniz tebrik ederim.
 
Saygılar.
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 05-11-2010 Saat 01:07
Konu içeriğinde güncelleme yapılmıştır
 
 
 
 
 
Orjinalini yazan: megabros megabros Yazdı:

Konuya eksiksiz ve mükemmel bir açıklama getirmişsiniz tebrik ederim.
 
Saygılar.
Rica ederim vazifemiz kullanıcıları  bu konuda bilinçlendirmektir.
 
 
Saygılarımla
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 11-11-2010 Saat 15:21
Konu güncellenmiştir  gerekli kontrollerinizi yaparsınız
 
Saygılarımla
invertor
Yukarı Dön
serdarca27 Açılır Kutu Gör
Yeni Üye
Yeni Üye


Kayıt Tarihi: 14-04-2011
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı serdarca27 Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 14-04-2011 Saat 11:15
userinit exe keyloger diyor  anlamdım gitti
Yukarı Dön
Helperogue Açılır Kutu Gör
Yeni Üye
Yeni Üye
Simge

Kayıt Tarihi: 03-08-2011
Konum: Turkey
Status: Aktif DeÄŸil
Points: 0
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı Helperogue Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 03-08-2011 Saat 20:02
Benimki biraz daha sağlam msconfigden snlandırılamıo napabilirim???
Yukarı Dön
invertor Açılır Kutu Gör
Security Professional
Security Professional
Simge
İnventor

Kayıt Tarihi: 18-01-2008
Status: Aktif DeÄŸil
Points: 3365
Mesaj Seçenekleri Mesaj Seçenekleri   Thanks (0) Thanks(0)   Alıntı invertor Alıntı  Yanıt YazCevapla Mesajın Direkt Linki Gönderim Zamanı: 04-08-2011 Saat 11:46
Orjinalini yazan: Helperogue Helperogue Yazdı:

Benimki biraz daha sağlam msconfigden snlandırılamıo napabilirim???
 
 
msconfig ve Processexplorer  dan    bir ekran görüntüsü ekleyin bakalım
 duruma göre çözüm yöntemleri sunarız
 
Bu gibi sorunlara duruma göre  tek tık ile kölü bir çözüm getirmek için ilerleyen zamanlarda köklü bir döküman hazırlayacağım


Düzenleyen invertor - 04-08-2011 Saat 11:46
Yukarı Dön
 Yanıt Yaz Yanıt Yaz

Forum Atla Forum İzinleri Açılır Kutu Gör



Bu Sayfa 0.188 Saniyede Yüklendi.