Frmacil

Adım Adım Trojan Silimi
Temizlik sırasında yapmanız gereken bir takım işlemler vardır Daha az deneyimli kullanıcılar için, bu işlemlerin neler olduğunu ve nasıl yapılacağını bir kez gözden geçirelim

l PC’yi MS-DOS Kipinde Başlatma: Bunun için görev çubuğunuzdan Başlat*Bilgisayarı Kapat komutuna tıklayın; ve karşınıza çıkacak menüde "MS-DOS Kipinde Başlat" seçeneğini işaretleyerek Tamam tuşuna basın

l MS-DOS Komut İstemi Penceresi Açma: Yine görev çubuğunuzdan Başlat*Çalıştır komutuna tıklayın; ve açılan pencereye COMMAND yazın

l DOS Ortamında Dosya Silme: Komut satırındayken,

DEL "SilinecekDosyanınAdı"

komutunu kullanmalısınız Örnek olarak, Acid Shivers trojan dosyasını silerken

DEL "C:Windowsmsgsvr16exe"

komutunu kullanıyoruz Tırnak işaretlerini koymayı unutmayın; bu şekilde DOS’un desteklemediği uzun dosya isimleriyle karşı karşıya kaldığınızda başınız derde girmez

l Windows Ortamında Dosya Silme: Bunu yapmak, DOS ortamında komut yazmaktan daha kolaydır Windows Gezgini’nde silmek istediğimiz dosyayı işaretleyerek sağ fare tuşuna tıklayın ve SİL komutunu seçin PC’miz bize gerçekten silmek isteyip istemediğimizi sorduğunda ise olumlu cevap verin

l Registry Değeri Silme: Öncelikle Başlat*Çalıştır komutunu çalıştırarak REGEDIT yazın Karşınıza çıkacak pencerenin sol tarafında silinecek değerin adresini bulun ve sağ tarafta söz konusu değeri işaretleyip klavyedeki DELETE tuşuna basın Mesela BackDoor trojanı için HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun adresini açıp, sağ tarafta belirecek olan "icqnukeexe" değerinden kurtulmanız gerekiyor


DİKKAT EDİLMESİ

GEREKEN NOKTALAR

l Trojan temizliğine başlamadan önce, PC’nizdeki gizli ve sistem dosyalarınızın tümünü görünür hale getirin Bunun için Windows Gezgini’nde Görünüm*Klasör Seçenekleri (View*Folder Options) menüsüne tıklayın; açılan pencerenin Görünüm (View) sekmesinde "Tüm Dosyaları Göster" (Show All Files) kutucuğunun işaretli olduğuna emin olun Ayrıca altındaki "Bilinen Dosya Türlerinin Uzantılarını Gizle" kutucuğunun işaretini kaldırmanız da yararınıza olacaktır

l Bazı trojan’ların açıklamalarında aynı ada ve farklı dizine sahip birden fazla dosyanın silinmesi gerektiği yazmaktadır Eğer söz konusu dosya dizinlerden sadece birinde varsa, onu silmeniz de yeterli olacaktır

l Unutmayın ki, trojanların isimlerini ve diğer bilgilerini değiştirmek pek zor değildir Burada verdiklerimiz, taşıdıkları orijinal özelliklerdir Adı değiştirilmiş bir trojan dosyasının yerini belirlemek biraz daha problemlidir; bu sorunun çözümüne örnek olarak NetBus ve SubSeven trojanını inceleyebilirsiniz

l Dosya veya Registry değeri silme işlemleri sırasında çok dikkatli olun Özellikle Registry, Windows için hayati önem taşır Yanlış bir şey silmeniz sisteminizde aksaklıklara yol açabilir


TEMİZLİK ZAMANI!


ACID SHIVERS

Port Numarası: 10520

Dosya Adı: "msgsvr16exe"

Boyutu: 186 Kb

Dizini: C:Windows

1 Registy’nizdeki HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentV ersionRun "Explorer | msgsvr16

exe" kaydını silin

2 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRunSe rvices "Explorer | msgsvr16exe" kaydını silin

3 PC’nizi MS-DOS kipinde başlatın

4 "C:Windowsmsgsvr16exe" dosyasını silin

5 PC’nizi yeniden başlatın


BACK ORIFICE

Port Numarası: 31337

Dosya Adı: "exe"

Boyutu: 122 Kb

Dizini: C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRunSe rvices "exe" kaydını silin

2 PC’nizi yeniden başlatın

3 Windows Explorer’ı başlatın Görünüm*Klasör Seçenekleri menüsündeki Görünüm sekmesini açın ve Gizli Dosyalar bölümünde "Tüm Dosyaları Göster" seçeneğinin işaretli olduğundan emin olun

3 "C:WindowsSystemexe" dosyasını silin

4 PC’nizi yeniden başlatın

BACKDOOR

Port Numarası: 1999

Dosya Adı: "icqnukeexe"

Boyutu: 102 Kb

Dizini: C:Windows, C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "icqnukeexe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsicqnukeexe" ve "C:WindowsSystemicqnukeexe" dosyalarını silin

4 PC’nizi yeniden başlatın


BIG GLUCK

Port Numarası: 34324

Dosya Adı: "bg10exe"

Boyutu: 100 Kb

Dizini: C:Windows, C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRunSe rvices "bg10exe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsbg10exe" ve "C:

WindowsSystembg10exe" dosyalarını silin

4 PC’nizi yeniden başlatın


BLADE RUNNER

Port Numarası: 21, 5400, 5401, 5402

Dosya Adı: "serverexe"

Boyutu: 323 Kb

Dizini: C:Windows, C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "serverexe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsserverexe" ve "C:

WindowsSystemserverexe" dosyalarını silin

4 PC’nizi yeniden başlatın


BUGS

Port Numarası: 2115

Dosya Adı: "bugsexe"

Boyutu: 78 Kb

Dizini: C:Windows, C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "bugsexe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsbugsexe" ve "C:

WindowsSystembugsexe" dosyalarını silin

4 PC’nizi yeniden başlatın

DEEP BACK ORIFICE

Port Numarası: 31338

Dosya Adı: "exe"

Boyutu: 122 Kb

Dizini: C:Windows

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRunSe rvices "exe" kaydını silin

2 PC’nizi yeniden başlatın

3 Windows Explorer’ı başlatın Görünüm*Klasör Seçenekleri menüsündeki Görünüm sekmesini açın ve Gizli Dosyalar bölümünde "Tüm Dosyaları Göster" seçeneğinin işaretli olduğundan emin olun

4 "C:WindowsSystemexe" dosyasını silin

5 PC’nizi yeniden başlatın


DEEP THROAT

Port Numarası: 2140, 3150

Dosya Adı: "systempatchexe"

Boyutu: 255 Kb

Dizini: ?

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun anahtarını açın "systemDLL32 | systempatchexe" kaydının işaret ettiği dizini bir kenara not aldıktan sonra söz konusu kaydı silin

2 PC’nizi MS-DOS kipinde başlatın

3 Not etmiş olduğunuz dizin altındaki "systempatchexe" dosyasını silin MS-DOS kipinde adı 8 karakterden uzun dosyaların isimleri kısaltılacağı için, "system~1exe" veya benzeri ada sahip bir dosyayı aramalısınız Eğer "system~" şeklinde başlayan birden fazla EXE dosyası varsa hangisinin trojan dosyası olduğundan emin olmadan silme işine girişmeyin

4 PC’nizi yeniden başlatın


DOLY TROJAN

Port Numarası: 1011, 21

Dosya Adı: "teskexe"

Boyutu: 169 Kb

Dizini: C:Wİndows , C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "teskexe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsteskexe" ve "C:WindowsSystemteskexe" dosyalarını silin

4 PC’nizi yeniden başlatın
BoZKuRT
09-08-2005, 19:37

GIRLFRIEND

Port Numarası: 21554

Dosya Adı: "windllexe"

Boyutu: ?

Dizini: C:Windows

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "windllexe" kaydını silin

2 PC’nizi yeniden başlatın

3 "C:Windowswindllexe" dosyasını silin

4 PC’nizi yeniden başlatın


**** A TACK

Port Numarası: 31785, 31787

Dosya Adı: "expl32exe"

Boyutu: 236 Kb

Dizini: C:Windows

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "Explorer32 | C:Window***pl32exe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Window***pl32exe" dosyasını silin

4 PC’nizi yeniden başlatın


INIKILLER

Port Numarası: 9989

Dosya Adı: "badexe"

Boyutu: ?

Dizini: C:Windows

1 Registry’nizdeki HKEY_LOCAL_

MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun "Explorer" kaydını silin

2 PC’nizi yeniden başlatın

3 "C:Windowsbadexe" dosyasını silin

4 PC’nizi yeniden başlatın


MASTERS PARADISE

Port Numarası: 3129, 40421, 40422,40423,

40426

Dosya Adı: "syseditexe", "keyhookdll"

Boyutu: ?

Dizini: C:Windows

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "syseditexe" kaydını silin

2 PC’nizi yeniden başlatın

3 "C:Windowssyseditexe" ve "C:

Windowskeyhookdll" dosyalarını silin

4 PC’nizi yeniden başlatın

5 Gerçek "syseditexe" dosyasını Windows CD’nizden veya güvendiğiniz bir arkadaşınızdan tekrar yükleyin


NETBUS PRO

Port Numarası: 20034

Dosya Adı: "NBSvrexe"

Boyutu: 599 Kb

Dizini: C:Windows , C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRunSe rvices "NetBus Server Pro | nbsvrexe" kaydını silin

2 Registry’nizdeki HKEY_CURRENT_

USERNetBus Server anahtarını silin

3 PC’nizi MS-DOS kipinde başlatın

4 "C:WindowsNBSvrexe" , "C:WindowsNBHelpdll" , "C:WindowsLogtxt" dosyalarını silin (Aynı dosyalar C:WindowsSystem dizininde de olabilir)

5 PC’nizi yeniden başlatın


NETBUS

Port Numarası: 12345, 12346

Dosya Adı: "patchexe"

Boyutu: 470 Kb

Dizini: C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "patchexe" kaydını arayın Söz konusu kaydı bulamazsanız trojan’ın adı değiştirilmiş demektir Bu durumda aynı Registry anahtarı altında yer alan tüm EXE kayıtlarını not alın ve C:WindowsSystem dizinindeki EXE dosyalarıyla karşılaştırın 470 KB boyutunda olan dosya, adı değiştirilmiş NetBus trojanıdır Registry kaydını silin

2 Bir MS-DOS Komut İstemi penceresi açın ve "C:WindowsSystempatch

exe /remove" komutunu kullanın (Trojanın adı değiştirilmişse, patchexe yerine PC’nizdeki adını yazın)

3 "C:WindowsSystempatchexe" dosyasını silin


NETSPHERE

Port Numarası: 30100, 30101, 30102

Dosya Adı: "nssxexe"

Boyutu: 640 Kb

Dizini: C:WindowsSystem

1 Registry’nizdeki HKEY_LOCAL_

MACHINESoftwareMicrosoftWindowsCurrentVersionRun "NSSX | C:WindowsSystemnssxexe" kaydını silin

2 PC’nizi MS-DOS kipinde başlatın

3 "C:Windowsnssxexe" dosyasını silin

4 PC’nizi yeniden başlatın

BoZKuRT
09-08-2005, 19:37

RAT

Port Numarası: 1095, 1097, 1098, 1099

Dosya Adı: " exe", "mswinsckocx",

"wavestreamdll", "regsvr32exe"

Boyutu: 298 KB, 99 Kb, 35 Kb, 20 Kb

Dizini: C:WindowsSystem

1 Registry’nizdeki şu anahtarları silin:

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000} Implemented Categories

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}

Implemented Categories{40FC6ED5-2438-11CF-A3DB-080036F12502}

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}InprocServer32

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}ProgID

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}Programmable

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}TypeLib

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}Version

HKEY_LOCAL_MACHINESOFTWAREClassesInterface{925B0F6 B-605D-11CF-BAEF-F89005C10000}

HKEY_LOCAL_MACHINESOFTWAREClassesInterface{925B0F6 B-605D-11CF-BAEF-F89005C10000}ProxyStubClsid

HKEY_LOCAL_MACHINESOFTWAREClassesInterface{925B0F6 B-605D-11CF-BAEF-F89005C10000}ProxyStubClsid32

HKEY_LOCAL_MACHINESOFTWAREClassesInterface{925B0F6 B-605D-11CF-BAEF-F89005C10000}TypeLib

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}10

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}10

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}10win32

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}10FLAGS

HKEY_LOCAL_MACHINESOFTWAREClassesTypeLib{925B0F6D-605D-11CF-BAEF-F89005C10000}10HELPDIR

HKEY_LOCAL_MACHINESOFTWAREClassesWaveStreamingWav eStream

HKEY_LOCAL_MACHINESOFTWAREClassesWaveStreamingWav eStreamClsid

2) Registry’nizdeki şu kayıtları silin:

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000} @="WaveStreamingWaveStream"

HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{925B0F6C-605D-11CF-BAEF-F89005C10000}