Vipre Antivirüs Programı (Virüs Temizleme Programı)

30 GÜNLÜK DENEME SÜRÜMÜNÜ MUTLAKA DENEYİN…

http://www.sunbeltsoftware.com/Home-Home-Office/VIPRE/Download/

Bu tür durumlarda yapılması gereken en ideal yöntem riske girmeyerek dosya internet üzerinden virüs total göndererek 30 ‘a yakın anti virüs programı test yapabilmektir.

http://www.virustotal.com

Msicfgx.exe temizlemek için;

Görev yöneticisinde ki zararlı işlemleri “işlemi sonlandır” tıklayarak durdurun.
 msicfgx.exe
blat.exe

Kayıt Defterindeki zararlı kayıtları temizleyin;

• msicfgx = “%AppData%\msicfgx.exe”

DAPROSY TEMİZLEMEK ?

Görev Yöneticisindeki işlemleri bölümünden aşağıdaki  zararlı dosyaları “işlemi durdur” seçerek kapatın.
do not open – secrets!.exe
secrets!.exe
my music.exe
2.exe
1.exe
lsass.exe
winzip.exe
kbdsys.exe
system.exe

Kayıt Defterinde ki zararlı kayıtları temizleyin.Bu işlemden sonra bütün dizinlerdeki şüpheli gördüğünüz exe dosyalarını siliniz. Bilgisayarınızı yeniden başlattığınız zaman tekrar oluşmadıklarını göreceksiniz.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TPAutoConnSvc
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TPAutoConnSvc\Security
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TPAutoConnSvc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TPAutoConnSvc\Security

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
DirLocker = “%CommonAppData%\www.zilch�infinisoft.biz.de\winzip.exe”
LSAShell = “%Windir%\lsass.exe”

so that winzip.exe runs every time Windows starts
so that lsass.exe runs every time Windows starts

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
NoFolderOptions = 0×00000001

to remove the Folder Options item from all Windows Explorer menus and from Control Panel

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
WinSys = “%Windir%\system.exe”

• Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0

• Type = 0×00000110
• Start = 0×00000003
• ErrorControl = 0×00000001
• ImagePath = “”%ProgramFiles%\VMware\VMware Tools\TPAutoConnSvc.exe”"
• DisplayName = “TP AutoConnect Service”
• ObjectName = “LocalSystem”
• Description = “ThinPrint .print component for automatic creation of printer objects”

• Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0

• Type = 0×00000110
• Start = 0×00000003
• ErrorControl = 0×00000001
• ImagePath = “”%ProgramFiles%\VMware\VMware Tools\TPAutoConnSvc.exe”"
• DisplayName = “TP AutoConnect Service”
• ObjectName = “LocalSystem”
• Description = “ThinPrint .print component for automatic creation of printer objects”

• DisableSR =

• Shell =

• AppData =
• Cache =

Güvenli bildiğiniz birçok şirket ve kuruluşların sitelerine hack ederek script koyan hackerlar, site ziyaretçilerine virüs bulaştırıyor.İlginç tarafı ise Eset ve Kasperksy gibi lisanslı ve güncel antivirüsler bile tespit edemiyorlar.Tespit edilmesini engellenmiş.Genellikle activeX kontrol eden antivirüs programları site hatalarından kaynaklanan bu sorunu tespit edemiyorlar.Yani girdiğiniz sitede site hatası varsa sağ alt tarafta Sarı uyarı ikonu geliyor.Bu ikon tıkladığınız zaman sitedeki hataların satır noları görebilirsiniz.
Eğer internette bir siteye girdiğiniz hatalar verdiyse ve bilgisayarınızı düzgün şekilde kapatamıyorsanız.

İLK Bulaştığınız anladığınızda Yapmanız Gereken ;
Hemen aşağıda belirttiğimiz gibi Gizli Klasörleri açın ve Document Settings klasörünün altında kullanıcı adı hesabınızda altında Local Settings içinde ismi farklı olabilir fakat uzantıları OLD, BAK, BAT olan isimleri karışık dosyaları siliniz. Sonra reset atarak bilgisayarınızı yeniden başlatınız Açıldığı zaman siyah ekranda takılmayacaktır.

Peki Bilgisayarınıza Siyah Ekran Beyaz Mouse Takıldıysa Ne Yapılması Lazım ?

Temizleme yöntemi – Live CD ile açınız örneğin ERD 2008 Live CD açınız.

Açtıktan sonra C:/ içinde gördüğünüz Pagefile.sys siliniz.ortalama 300mb ile 1700 mb arasındadır.Bu aşamadan sonra Document and setting klasörünün içinde kullanıcı adınızın bulunduğu klasöre girin ve local settings içinde html veya htmq dosyalarını silin bilgisayarı yeniden başlatın.Local settings içinde farklı adlarda bir çok dosya vardır siz sadece ismi garip olan ve sonu html ile biten yada htmq ile biten dosyaları siliniz.Bilgisayarı yeniden başlatın en iyi yapılandırmayı seçip bilgisayarı açın…Şuana kadar 4-5 pc denenmiş ve başarıya ulaşmıştır.

Kolay gelsin.. (ÖZÜR : Bazı imla ve cümle hataları olabilir acele ve hızlı şekilde paylaşmak istedim…)

ERD Commander 2008 http://www.cenkut.net adresinden ulaşabilirsiniz.

Hüseyin Cenkut ÖZKAN

New Folder.exe virüsü için Aşağıdakileri Kayıt Defterinden Siliniz:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
“@”=[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
“Yahoo Messengger”=

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
“Shell”=”Explorer.exe “

New Folder.exe Virüsü için Aşağıdaki dosyayı bulup silin:
svichossst.exe

Aşağıda Koobface virüsünün oluşturduğu dosyaları silin :

[%WINDOWS%]\t55ft3105f44.dat
[%WINDOWS%]\t55ft3165f44.dat
[%WINDOWS%]\freddy43.exe
[%WINDOWS%]\t55ft3192f44.dat
[%WINDOWS%]\mstre19.exe
[%WINDOWS%]\t55ft3601f44.dat
[%WINDOWS%]\010112010146118114.dat
[%WINDOWS%]\0101120101465452.dat
[%WINDOWS%]\0101120101465749.dat
[%WINDOWS%]\0101120101464849.dat
[%WINDOWS%]\0101120101465552.dat
[%WINDOWS%]\ld08.exe
[%WINDOWS%]\pp06.exe
[%WINDOWS%]\pp07.exe
[%WINDOWS%]\0101120101464849.fx
[%PROFILE_TEMP%]\vcru_1247795886.exe
[%PROFILE_TEMP%]\srazo_1250168927.exe
[%PROFILE_TEMP%]\srazo_1250187393.exe
[%WINDOWS%]\0101120101464949.fx
[%PROFILE_TEMP%]\srazo_1250198444.exe
[%PROFILE_TEMP%]\srazo_1250190616.exe
[%PROFILE_TEMP%]\srazo_1250197084.exe
[%PROFILE_TEMP%]\srazo_1250090197.exe
[%PROFILE_TEMP%]\srazo_1250102323.exe
[%WINDOWS%]\st_1242070417.exe
[%WINDOWS%]\st_1242076717.exe
[%WINDOWS%]\st_1242088847.exe
[%WINDOWS%]\nl.exe
[%WINDOWS%]\dk39fi4fe.dat
[%WINDOWS%]\zaponce52597.dat
[%WINDOWS%]\zaponce52689.dat
[%WINDOWS%]\ld09.exe
[%WINDOWS%]\0101120101465752.dat
[%WINDOWS%]\0101120101464850.fx
[%WINDOWS%]\0101120101465553.fx
[%PROFILE_TEMP%]\srazo_1250135222.exe
[%WINDOWS%]\freddy56.exe
[%WINDOWS%]\freddy55.exe
[%WINDOWS%]\0101120101465353.dat
[%WINDOWS%]\freddy53.exe
[%WINDOWS%]\0101120101465453.dat
[%WINDOWS%]\0101120101465153.dat
[%WINDOWS%]\t55ft2772f44.dat
[%WINDOWS%]\t55ft2829f44.dat
[%WINDOWS%]\t55ft2692f44.dat
[%WINDOWS%]\t55ft3223f44.dat
[%WINDOWS%]\t55ft2784f44.dat
[%WINDOWS%]\t55ft2792f44.dat
[%WINDOWS%]\t55ft2803f44.dat
[%WINDOWS%]\t55ft3242f44.dat
[%WINDOWS%]\t55ft3546f44.dat
[%WINDOWS%]\freddy39.exe
[%WINDOWS%]\freddy40.exe
[%WINDOWS%]\t55ft3189f44.dat
[%WINDOWS%]\freddy46.exe
[%WINDOWS%]\zaponce53198.dat
[%WINDOWS%]\zaponce53290.dat
[%WINDOWS%]\zaponce53222.dat
[%WINDOWS%]\sonce123198.dat
[%WINDOWS%]\ro122366.dat
[%WINDOWS%]\ro122390.dat
[%SYSTEM%]\mon32.dll
[%WINDOWS%]\ro122715.dat
[%WINDOWS%]\ro122739.dat
[%WINDOWS%]\sonce123173.dat
[%WINDOWS%]\freddy48.exe
[%WINDOWS%]\freddy49.exe
[%WINDOWS%]\ld02.exe
[%WINDOWS%]\pp04.exe
[%WINDOWS%]\freddy50.exe
[%WINDOWS%]\010112010146120114.dat
[%WINDOWS%]\freddy57.exe
[%WINDOWS%]\ld06.exe
[%WINDOWS%]\pp05.exe
[%WINDOWS%]\st_1241664655.exe
[%WINDOWS%]\st_1242148703.exe
[%WINDOWS%]\t55ft2667f44.dat
[%WINDOWS%]\t55ft3097f44.dat
[%WINDOWS%]\Pp.exe
[%WINDOWS%]\zaponce53173.dat
[%WINDOWS%]\sonce122714.dat
[%WINDOWS%]\sonce122739.dat
[%WINDOWS%]\010112010146118114.lso
[%WINDOWS%]\0101120101465452.lso
[%WINDOWS%]\sonce122715.dat

Koobface virüsünün kayıt defterinde oluşturduğu kayıtları silmek :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy58.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, pp=[%WINDOWS%]\pp11.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysmstray=[%WINDOWS%]\mstre21.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, pp=[%WINDOWS%]\pp10.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy57.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysmstray=[%WINDOWS%]\mstre19.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysmstray=[%WINDOWS%]\mstre20.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, pp=[%WINDOWS%]\pp06.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy55.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysberay2=[%WINDOWS%]\romeo15.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy54.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy53.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy42.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysmstray=[%WINDOWS%]\mstre18.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy50.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy46.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy49.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysmstray=[%WINDOWS%]\mstre15.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy48.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, systgray2=[%WINDOWS%]\tag07.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysberay2=[%WINDOWS%]\romeo14.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy47.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy45.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysberay2=[%WINDOWS%]\romeo12.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, systgray2=C:\windows\tag12.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, pp=[%WINDOWS%]\pp04.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, systgray2=[%WINDOWS%]\tag12.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sysfbtray=[%WINDOWS%]\freddy44.exe

Bilgisayarınıza oluşturduğu dosyalar:
[%SYSTEM%]\a.exe
[%SYSTEM%]\fx.dll
[%SYSTEM%]\mljghff.dll
[%SYSTEM%]\runouce.exe
[%SYSTEM%]\awtoolb.dll
[%SYSTEM%]\addsu.exe
[%SYSTEM%]\msxml71.dll
[%SYSTEM%]\mmfinfo.dll
[%SYSTEM%]\vawemese.dll
[%APPDATA%]\twext.exe
[%PROFILE_TEMP%]\msxml71.dll
[%SYSTEM%]\ptj.exe
[%SYSTEM%]\visujowo.dll
[%SYSTEM%]\pawovuda.dll
[%SYSTEM%]\bugurube.dll
[%SYSTEM%]\hatasefa.dll
[%SYSTEM%]\jalopeya.dll
[%SYSTEM%]\hisakite.dll
[%SYSTEM%]\maboveli.dll
[%SYSTEM%]\genetoda.dll
[%SYSTEM%]\clkcnt.txt
[%SYSTEM%]\niwaluyu.dll
[%SYSTEM%]\lusanuwo.dll
[%SYSTEM%]\tadofuvo.dll
[%SYSTEM%]\lowofato.dll
[%SYSTEM%]\depopuho.dll
[%WINDOWS%]\TEMP\msxml71.dll
[%PROFILE_TEMP%]\a.exe
[%SYSTEM%]\subalavi.dll
[%SYSTEM%]\nmdfgds0.dll.vir
[%PROFILE_TEMP%]\_A00F2D8C2.exe
[%WINDOWS%]\BM27fe8036.txt
[%SYSTEM%]\fabovoma.dll
[%SYSTEM%]\huwutezi.dll
[%SYSTEM%]\lazageva.dll
[%SYSTEM%]\tagimodo.dll
[%SYSTEM%]\yizasilu.dll
[%SYSTEM%]\zakevate.dll
[%SYSTEM%]\odmnyxtm.dll
[%SYSTEM%]\vkeslkpi.dll
[%SYSTEM%]\urqpnlk.dll
[%SYSTEM%]\hggeded.dll
[%PROFILE_TEMP%]\_A00F10688F.exe
[%PROFILE_TEMP%]\_A00F1B4AFF.exe
[%PROFILE_TEMP%]\_A00F278DDEA.exe
[%PROFILE_TEMP%]\_A00F33E8EFC.exe
[%PROFILE_TEMP%]\_A00F464C08.exe
[%PROFILE_TEMP%]\_A00F7EBD7E.exe
[%PROFILE_TEMP%]\_A00F86BC3.exe
[%SYSTEM%]\__c00256C4.dat
[%SYSTEM%]\__c0037526.dat
[%SYSTEM%]\__c005B608.dat
[%SYSTEM%]\__c0067BE9.dat
[%SYSTEM%]\__c0080A31.dat
[%SYSTEM%]\__c00931E4.dat
[%SYSTEM%]\__c00BCAD6.dat
[%SYSTEM%]\__c00C7CF2.dat
[%SYSTEM%]\awtqr.dll
[%SYSTEM%]\ddayv.dll
[%SYSTEM%]\drivers\blank.gif
[%SYSTEM%]\drivers\box_2.gif
[%SYSTEM%]\drivers\button_buynow.gif
[%SYSTEM%]\drivers\button_freescan.gif
[%SYSTEM%]\drivers\cell_bg.gif
[%SYSTEM%]\drivers\cell_footer.gif
[%SYSTEM%]\drivers\cell_header_block.gif
[%SYSTEM%]\drivers\cell_header_remove.gif
[%SYSTEM%]\drivers\cell_header_scan.gif
[%SYSTEM%]\drivers\detect.htm
[%SYSTEM%]\drivers\download_btn.jpg
[%SYSTEM%]\drivers\download_now_btn.gif
[%SYSTEM%]\drivers\footer_back.jpg
[%SYSTEM%]\drivers\header_1.gif
[%SYSTEM%]\drivers\header_2.gif
[%SYSTEM%]\drivers\header_3.gif
[%SYSTEM%]\drivers\header_4.gif
[%SYSTEM%]\drivers\header_red_bg.gif
[%SYSTEM%]\drivers\header_red_free_scan.gif
[%SYSTEM%]\drivers\header_red_free_scan_bg.gif
[%SYSTEM%]\drivers\header_red_protect_your_pc.gif
[%SYSTEM%]\drivers\infected.gif
[%SYSTEM%]\drivers\main_back.gif
[%SYSTEM%]\drivers\product_2_header.gif
[%SYSTEM%]\drivers\product_2_name_small.gif
[%SYSTEM%]\drivers\product_features.gif
[%SYSTEM%]\drivers\pt.htm
[%SYSTEM%]\drivers\rating.gif
[%SYSTEM%]\drivers\screenshot.jpg
[%SYSTEM%]\drivers\sep_hor.gif
[%SYSTEM%]\drivers\sep_vert.gif
[%SYSTEM%]\drivers\shadow.jpg
[%SYSTEM%]\drivers\shadow_bg.gif
[%SYSTEM%]\drivers\spacer.gif
[%SYSTEM%]\drivers\star.gif
[%SYSTEM%]\drivers\star_gray.gif
[%SYSTEM%]\drivers\star_gray_small.gif
[%SYSTEM%]\drivers\star_small.gif
[%SYSTEM%]\drivers\style.css
[%SYSTEM%]\drivers\s_detect.htm
[%SYSTEM%]\drivers\v.gif

Kayıt Defterine Eklediği Kayıtlar:
HKEY_CLASSES_ROOT\CLSID\{013A653B-49A6-4f76-8B68-E4875EA6BA54}
HKEY_CLASSES_ROOT\CLSID\{67C55A8D-E808-4caa-9EA7-F77102DE0BB6}
HKEY_CLASSES_ROOT\CLSID\{C3352FCD-CFE5-4F35-831A-19C68DDB7CF4}
HKEY_LOCAL_MACHINE\SOFTWARE\Araf15
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C3352FCD-CFE5-4F35-831A-19C68DDB7CF4}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{500BCA15-57A7-4eaf-8143-8C619470B13D}
HKEY_CLASSES_ROOT\CLSID\{500BCA15-57A7-4eaf-8143-8C619470B13D}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{500BCA15-57A7-4eaf-8143-8C619470B13D}
HKEY_CLASSES_ROOT\CLSID\{470165f1-9f65-569f-f895-f14f58f41074}
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3b45ba7e-067c-4622-b527-73e4291f53f7}
HKEY_CLASSES_ROOT\CLSID\{3b45ba7e-067c-4622-b527-73e4291f53f7}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3b45ba7e-067c-4622-b527-73e4291f53f7}
HKEY_CLASSES_ROOT\CLSID\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{92335157-984b-4692-8405-530335ca9f27}
HKEY_CLASSES_ROOT\CLSID\{92335157-984b-4692-8405-530335ca9f27}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{c3352fcd-cfe5-4f35-831a-19c68ddb7cf4}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4a698102-5904-afd0-20df-cd1a65829ca4}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System
HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct
HKEY_CURRENT_USER\SOFTWARE\Microsoft\dslcnnct
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Juan
HKEY_CURRENT_USER\SOFTWARE\Microsoft\MS Juan
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws
HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DataDisp32
HKEY_CURRENT_USER\SOFTWARE\Microsoft\aldd
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0B014B81-4E12-46F9-806F-55867AF8FD3C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c001339D
HKEY_CLASSES_ROOT\CLSID\{871a54c1-1eb3-48bd-a879-5dba4ef16be6}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{871a54c1-1eb3-48bd-a879-5dba4ef16be6}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\csbdll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c003BA37
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c00656CC
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c00931E4
HKEY_CLASSES_ROOT\CLSID\{CD3447D4-CA39-4377-8084-30E86331D74C}
HKEY_CLASSES_ROOT\CLSID\{CF46BFB3-2ACC-441b-B82B-36B9562C7FF1}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CF46BFB3-2ACC-441b-B82B-36B9562C7FF1}
HKEY_CLASSES_ROOT\CLSID\{A98D0065-7326-41B5-B8D9-C5B692CDB82F}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{43FCD2CF-5569-4208-97D2-52748E0EF6A0}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F7B0F7B2-1B10-4240-B00B-354F3C04E3F5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{109BE732-8F8C-49D4-A3F4-FEDCAC7F0A25}
HKEY_CLASSES_ROOT\CLSID\{109BE732-8F8C-49D4-A3F4-FEDCAC7F0A25}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{109BE732-8F8C-49D4-A3F4-FEDCAC7F0A25}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{b62b5ce6-a4bf-428d-8a21-47ee1bd90eac}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{cd3447d4-ca39-4377-8084-30e86331d74c}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{cf46bfb3-2acc-441b-b82b-36b9562c7ff1}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0cf5d165-517e-48b6-b3c7-3054a24f8bf6}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4b646afb-9341-4330-8fd1-c32485aee619}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1557b435-8242-4686-9aa3-9265bf7525a4}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{5adf3862-9e2e-4ad3-86f7-4510e6550cd0}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{dd3ec823-d3a1-48b3-a18a-a1958795a18a}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{06df596b-3170-4f07-be10-86e31456bc56}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{92A444D2-F945-4dd9-89A1-896A6C2D8D22}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{12F02779-6D88-4958-8AD3-83C12D86ADC7}
HKEY_CLASSES_ROOT\CLSID\{12F02779-6D88-4958-8AD3-83C12D86ADC7}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{b62b5ce6-a4bf-428d-8a21-47ee1bd90eac}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{f7b0f7b2-1b10-4240-b00b-354f3c04e3f5}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B313D637-F405-4052-AC37-E2119AB3C8F8}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3ccdf8ce-c339-4dd6-ad4f-ca7230c7e2f2}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C976FB61-5756-491F-98A7-784AEB65C1BE}
HKEY_CLASSES_ROOT\CLSID\{C976FB61-5756-491F-98A7-784AEB65C1BE}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C976FB61-5756-491F-98A7-784AEB65C1BE}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c006C8C9
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c00CE446
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9e93a147-e3f9-47ab-baf0-915ccaaa7034}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9b4868e3-767e-4a1c-a792-3cc451ba8cac}
HKEY_CLASSES_ROOT\CLSID\{9b4868e3-767e-4a1c-a792-3cc451ba8cac}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9b4868e3-767e-4a1c-a792-3cc451ba8cac}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{00086CB2-F8B6-416C-B58F-028C74074F76}
HKEY_CLASSES_ROOT\CLSID\{00086CB2-F8B6-416C-B58F-028C74074F76}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0004ED1C-BAB4-4C64-B68B-2DA827F2154c}
HKEY_CLASSES_ROOT\CLSID\{0004ED1C-BAB4-4C64-B68B-2DA827F2154c}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{00043659-F8B6-416C-B58F-028C74074F76}
HKEY_CLASSES_ROOT\CLSID\{00043659-F8B6-416C-B58F-028C74074F76}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0002768E-BAB4-4C64-B68B-2DA827F2154c}
HKEY_CLASSES_ROOT\CLSID\{0002768E-BAB4-4C64-B68B-2DA827F2154c}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c007D700
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c007BAC2
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c001A288
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{000098D1-810C-470F-BDBE-44EB5309C2A3}
HKEY_CLASSES_ROOT\CLSID\{000098D1-810C-470F-BDBE-44EB5309C2A3}
HKEY_CLASSES_ROOT\CLSID\{C6039E6C-BDE9-4de5-BB40-768CAA584FDC}
HKEY_CLASSES_ROOT\CLSID\{E03C740E-BB24-4d3c-B92A-6F84DE1DD99C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C6039E6C-BDE9-4de5-BB40-768CAA584FDC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ebf1652d-fc54-4654-8738-55a21a0b520b}
HKEY_CLASSES_ROOT\CLSID\{ebf1652d-fc54-4654-8738-55a21a0b520b}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{ebf1652d-fc54-4654-8738-55a21a0b520b}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{a95b2816-1d7e-4561-a202-68c0de02353a}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{55737035-1b75-48dd-a4d8-66155d8ac7a3}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{35f7813a-af74-4474-b1dc-7ee6fb6c43c6}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{c6039e6c-bde9-4de5-bb40-768caa584fdc}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{944864a5-3916-46e2-96a9-a2e84f3f1208}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\__c001239
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Runonce=[%SYSTEM%]\runouce.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, gesetibava=Rundll32.exe “[%SYSTEM%]\zetorawi.dll”,s
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, userinit=[%APPDATA%]\twext.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {c3352fcd-cfe5-4f35-831a-19c68ddb7cf4}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {32023698-6984-8541-9654-698745012523}=skqncbib.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {18093456-9012-4568-9076-908765467181}=tisqatyu.dll
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F5364A.exe=[%PROFILE_TEMP%]\_A00F5364A.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {470165f1-9f65-569f-f895-f14f58f41074}=lofsdjbo.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {4fd45a54-9875-698f-e56e-65102358fdf4}=apsgdjba.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {4a698102-5904-afd0-20df-cd1a65829ca4}=zycbdime.dll
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F2D8C2.exe=[%PROFILE_TEMP%]\_A00F2D8C2.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPMbf323156=Rundll32.exe “[%SYSTEM%]\pawovuda.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, gesetibava=Rundll32.exe “[%SYSTEM%]\depopuho.dll”,s
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F464C08.exe=[%PROFILE_TEMP%]\_A00F464C08.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F7EBD7E.exe=[%PROFILE_TEMP%]\_A00F7EBD7E.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F1B4AFF.exe=[%PROFILE_TEMP%]\_A00F1B4AFF.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F86BC3.exe=[%PROFILE_TEMP%]\_A00F86BC3.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F33E8EFC.exe=[%PROFILE_TEMP%]\_A00F33E8EFC.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F278DDEA.exe=[%PROFILE_TEMP%]\_A00F278DDEA.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F10688F.exe=[%PROFILE_TEMP%]\_A00F10688F.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Launch Toolbox Application=[%SYSTEM%]\CRDTB_LAUNCH.EXE
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Launch Datacard Toolbox=[%SYSTEM%]\CRDPRAT.EXE
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Launch Toolbox Application=[%SYSTEM%]\CRDTB_LAUNCH.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, WCXELMS=WCXELMS.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar, {12F02779-6D88-4958-8AD3-83C12D86ADC7}=00
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sebavupuno=Rundll32.exe “[%SYSTEM%]\jidesoti.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {a98d0065-7326-41b5-b8d9-c5b692cdb82f}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {109be732-8f8c-49d4-a3f4-fedcac7f0a25}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Exohujesazukuya=rundll32.exe “[%WINDOWS%]\Qfeyirisohah.dll”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, BM7fefe868=Rundll32.exe “[%SYSTEM%]\ljhjdqgd.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, surayifuhu=Rundll32.exe “[%SYSTEM%]\lijeyoga.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM7ea4d3ff=Rundll32.exe “[%SYSTEM%]\pozarigo.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 7d97e063=rundll32.exe “[%SYSTEM%]\kamileva.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {9b4868e3-767e-4a1c-a792-3cc451ba8cac}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, MSServer=rundll32.exe [%SYSTEM%]\ssqNFVMG.dll,#1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM83132f38=Rundll32.exe “[%SYSTEM%]\batiweja.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 80201ca4=rundll32.exe “[%SYSTEM%]\kohigewi.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, kasimepiri=Rundll32.exe “[%SYSTEM%]\vamibedi.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM530f1a7d=Rundll32.exe “[%SYSTEM%]\tidubulu.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 503c29e1=rundll32.exe “[%SYSTEM%]\lodeyano.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, dihozamihe=Rundll32.exe “[%SYSTEM%]\busekuja.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run_Disabled, 6c2833c7=rundll32.exe “[%SYSTEM%]\yynjjxku.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run_Disabled, BM6f1b005b=Rundll32.exe “[%SYSTEM%]\psvavoae.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, yibekiroga=Rundll32.exe “[%SYSTEM%]\fuwobozu.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Rmiyiqijoyiqo=rundll32.exe “[%WINDOWS%]\akuxoxotumud.dll”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Ypigonorapule=rundll32.exe “[%WINDOWS%]\ehijuduligejo.dll”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, RemoteControl=[%SYSTEM%]\rmctrl.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, MSServer=rundll32.exe [%PROFILE_TEMP%]\ssqNGWqr.dll,#1
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, cmds=rundll32.exe [%PROFILE_TEMP%]\pmnmJDUN.dll,c
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {ebf1652d-fc54-4654-8738-55a21a0b520b}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 18a4cec6=rundll32.exe “[%SYSTEM%]\popefuha.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, larugojiwa=Rundll32.exe “[%SYSTEM%]\lugozeji.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, mosahagoju=Rundll32.exe “[%SYSTEM%]\yatesidu.dll”,s
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, mosahagoju=Rundll32.exe “[%SYSTEM%]\yatesidu.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM73ad0f30=Rundll32.exe “[%SYSTEM%]\fanenoto.dll”,a
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F8120D0E.exe=[%PROFILE_TEMP%]\_A00F8120D0E.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F10C22F1.exe=[%PROFILE_TEMP%]\_A00F10C22F1.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F13C401D1.exe=[%PROFILE_TEMP%]\_A00F13C401D1.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F10250FE7.exe=[%PROFILE_TEMP%]\_A00F10250FE7.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00FAF10576.exe=[%PROFILE_TEMP%]\_A00FAF10576.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, nurahanidi=Rundll32.exe “[%SYSTEM%]\pafelewa.dll”,s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs=[%SYSTEM%]\zanamalo.dll [%SYSTEM%]\sufojeni.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM577affa7=Rundll32.exe “[%SYSTEM%]\sufojeni.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, bisinirimi=Rundll32.exe “[%SYSTEM%]\yosutihe.dll”,s
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, bisinirimi=Rundll32.exe “[%SYSTEM%]\yosutihe.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, ac545607=rundll32.exe “[%SYSTEM%]\pohuzowo.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, sayudabomi=Rundll32.exe “[%SYSTEM%]\vavanoho.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM6b38fc50=Rundll32.exe “[%SYSTEM%]\fapilizu.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 680bcfcc=rundll32.exe “[%SYSTEM%]\wegehove.dll”,b
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, vutukeyuku=Rundll32.exe “[%SYSTEM%]\batiweja.dll”,s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs=[%SYSTEM%]\hofegope.dll [%SYSTEM%]\heyotina.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPMab293d9a=Rundll32.exe “[%SYSTEM%]\heyotina.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, vupatiloja=Rundll32.exe “[%SYSTEM%]\yivimefe.dll”,s
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, A00F372BF2B6.exe=[%PROFILE_TEMP%]\_A00F372BF2B6.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM11b5e9e7=Rundll32.exe “[%SYSTEM%]\yilefaju.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, fotasawomu=Rundll32.exe “[%SYSTEM%]\vajatika.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, 40d1e3a0=rundll32.exe “[%SYSTEM%]\yqqyjarw.dll”,b
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, cmds=rundll32.exe [%PROFILE_TEMP%]\vtUlLCvu.dll,c
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, gesetibava=Rundll32.exe “[%SYSTEM%]\luyusowa.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPMbf323156=Rundll32.exe “[%SYSTEM%]\subalavi.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {f7b0f7b2-1b10-4240-b00b-354f3c04e3f5}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {37e10337-6a37-45bb-bb1a-146c7d2a6e73}=
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Xqozatagacutica=rundll32.exe “[%WINDOWS%]\ivizonahukozi.dll”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Kpakifihuf=rundll32.exe “[%WINDOWS%]\Qgutohekafomoh.dat”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks, {aced1c9f-2718-4512-9f69-f4e28c1f484f}=
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, MSServer=rundll32.exe [%PROFILE_TEMP%]\cbXOIASi.dll,#1
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs=[%SYSTEM%]\yumovovi.dll [%SYSTEM%]\najamapa.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM63b076fb=Rundll32.exe “[%SYSTEM%]\najamapa.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, jifelubele=Rundll32.exe “[%SYSTEM%]\vibevije.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Hwuzoyiziyema=rundll32.exe “[%WINDOWS%]\Xmolumezim.dll”,e
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Qcozika=rundll32.exe “[%WINDOWS%]\adipizulufuj.dll”,e
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs=cru629.dat,[%SYSTEM%]\waremilo.dll [%SYSTEM%]\halaneho.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM33987eb8=Rundll32.exe “[%SYSTEM%]\halaneho.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, nevafizuyo=Rundll32.exe “[%SYSTEM%]\susopaya.dll”,s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs=[%SYSTEM%]\sitoyufe.dll [%SYSTEM%]\jimekaju.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM5bf816e2=Rundll32.exe “[%SYSTEM%]\jimekaju.dll”,a
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, gukanifuwe=Rundll32.exe “[%SYSTEM%]\defupabo.dll”,s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM73ad0f30=Rundll32.exe “[%SYSTEM%]\bafovudu.dll”,a
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, CPM3a493c19=Rundll32.exe “[%COMMON_APPDATA%]\dojeseja\dojeseja.dll”,a
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, dahanorika=Rundll32.exe “[%COMMON_APPDATA%]\vuvujake\vuvujake.dll”,s

Antivirus System Pro Sahtecisinin Temzilenmesi için Görev Yöneticisinden Açtıktan Sonra;

sysguard.exe isimli Çalışan Dosyayı “İŞLEMİ SONLANDIR” ile durdurunuz.

Antivirus System Pro Sahtecisinin Temzilenmesi için Kayıt Defterinden Aşağıdaki Kayıtları Silin;

HKEY_CURRENT_USER\Software\AvScan
HKEY_CLASSES_ROOT\CLSID\{BAD4551D-9B24-42cb-9BCD-818CA2DA7B63}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BAD4551D-9B24-42cb-9BCD-818CA2DA7B63}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run “system tool”

Antivirus System Pro Sahtecisinin Temzilenmesi için DLL Kaydının Silinmesi için;

Regsvr32 /u iehelper.dll komutu ile silebilirsiniz.

Bilgisayarınızı Yeniden Başlatın, Bu işlemleri tekrar yapın.Mutlaka Sonuça ulaşacaksınız …

Hüseyin Cenkut ÖZKAN

PC MightyMax sahte bir antivirüs programı kandırmaca yöntemlerle bilgisayarınızda virüs olduğuna sizi ikna edip kendisi satmak istiyor.Birçok uyarı ile sizi bezdirip onu satın almanızdan başka çareniz olmadığını düşündürüyor.Sahte uyarı mesajları, sistem hata mesajları kitlenmeler yavaşlamalar hepsi aslında PC MightyMax kendisi yapıyor.

Bilgisayarınız açıldığı gibi otomatik olarak başlayan PC MightyMax bunu değiştirmenizede engel oluyor.Bu sahte antivirüsü kapatamıyorsunuz.Genel olarak Kritik Uyarı, Alarm!!! mesajlarıyla sizi bilgisayarı kullanmanıza engel oluyor.Ve program ekle kaldırdan yada kendi üzerinde bilgisayarınızdan kaldıramıyorsunuz.

Yapılması gerekenler :

1-ADIM Görev Yöneticisi Açın (CRTL+DEL+ALT)
ve açılan görev yöneticisinden işlemler sayfasındaki PCMightyMaxSetup.EXE, pcmm.exe, pcmm2007.exe, ExeAfter.exe isimli çalışanları “işlemi sonlandır” ile kapatın.
2-ADIM Kayıt Defteri (Çalıştır’a regedit yazın)
ve açılan Kayıt defterindeki aşağıdaki kayıtları silin:
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache@^C:\Program Files\PC MightyMax\ExeAfter.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache@^C:\Program Files\PC MightyMax\pcmm.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders@^C:\Documents and Settings\Administrator\Application Data\Microsoft\Installer\{94D5AF0F-E6EE-4A75-BE31-9C9C9A87AD45}\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders@^C:\Documents and Settings\Administrator\Start Menu\Programs\PC MightyMax\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders@^C:\Program Files\PC MightyMax\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run@^PCMMRealtime
HKEY_CURRENT_USER\Software\Microsoft\Installer\Features\F0FA5D49EE6E57A4EB13C9C9A978DA54
HKEY_CURRENT_USER\Software\Microsoft\Installer\Products\F0FA5D49EE6E57A4EB13C9C9A978DA54
HKEY_CURRENT_USER\Software\Microsoft\Installer\UpgradeCodes\713B41478A517224DA270783641C4644
HKEY_CURRENT_USER\Software\PC MightyMax
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\713B41478A517224DA270783641C4644
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{94D5AF0F-E6EE-4A75-BE31-9C9C9A87AD45}
HKEY_LOCAL_MACHINE\SOFTWARE\PC MightyMax
3-ADIM
Son olarak bilgisayarınızdaki Arama ile aşağıdaki dosyaları arayın bulduklarınızı silin !!!
PCMightyMaxSetup.EXE pcmm.exe pcmm2007.exe %program_files%\\PC MightyMax\\beep.exe %program_files%\\PC MightyMax\\ExeAfter.exe

System Security 4.52 Sahte Antivirüs Programında Nasıl Kurtulacaz :
ilk etapta Malware Bytes indirmeyin önce

1.ADIM Görev Yöneticisinden Çalışan Programı Sonlandırın ! (CRTL+ALT+DEL Basınca Açılır)
05643921.exe ve install.exe dosyalarını SONLANDIRIN !

2.ADIM Çalıştır’a regedit yazın Windows Kayıt Defteri Açılacak orada aşağıdaki dosyaları bulup silin:

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\systemsecurity2009
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\systemsecurity2009 displayicon
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\systemsecurity2009 displayname
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\systemsecurity2009 shortcutpath
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\systemsecurity2009 uninstallstring

3.ADIM System Security Ait Dosyaları Silin:

05643921.exe

install.exe

system security 2009.lnk

system security 2009 support.lnk

Bu aşamadan sonra bilgisayarınıza Malware Byte Yükleyip tarama yapabilirsiniz. Eğer önceden inidirip denerseniz System Security engel olacak ve yükleme başlamayacaktır.

GrayBird Rootkit’ini Kullanan Virüslerin Listesi

GrayBird Rootkit’nin bilgisayarınıza yukarıdaki bir virüs ile bulaşması durumunda oluşturacağı dosyalar;

Hamweq veya MH690 Virüsünün Dosyaları;c:\RESTORE\k-1-3542-4232123213-7676767-8888886\Desktop.ini

c:\RESTORE\k-1-3542-4232123213-7676767-8888886\RanDll.exe

Hamweq veya MH690 Virüsünün Kayıt Defterine Eklediği Kayıtlar;

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{67KLN5J0-4OPM-00WE-AAX5-77EF1D187563}

• The newly created Registry Value is:
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{67KLN5J0-4OPM-00WE-AAX5-77EF1D187563}]
    • StubPath = “c:\RESTORE\k-1-3542-4232123213-7676767-8888886\RanDll.exe” 

HAMWEQ ve MH690 Virüsünü Temizlemek için
ilk önce internet ve yerel ağ bağlantınızı kesiniz
Bilgisayarınızın Sistem Geri Yükleme Özelleğini devre dışı bırakınız
Micorosoft Zararlı Temizleme Araçını indirip tarama yapınız.

Banbra Virüsü Bilgisayarınızda herhangi bir klasörün içinde herhangi bir isim ile 98,816 bytes boyutunda size ve sisteminize ait olmayan dosyalar oluşturur.Şüphelendiyseniz dosyanın HASH kodu bakınız.98,816 Byte olan bu dosyanın hash kodu : 0xA32ADD436FE7248E31BD53F13D1CF693

“Bunun için ise FileHashes programını bilgisayarınıza yükleyebilirsiniz.”

Banbra Virüsünün Kayıt Defterine eklediği Kayıtlar;

• HKEY_LOCAL_MACHINE\SOFTWARE\RkU38
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYBEX38
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYBEX38\0000
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sybex38

• The newly created Registry Values are:
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYBEX38\0000]
    • Service = “sybex38″
    • Legacy = 0×00000001
    • ConfigFlags = 0×00000000
    • Class = “LegacyDriver”
    • ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
    • DeviceDesc = “Rootkit Unhooker Driver”
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYBEX38]
    • NextInstance = 0×00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sybex38]
    • DisplayName = “Rootkit Unhooker Driver”
    • ErrorControl = 0×00000001
    • Start = 0×00000003
    • Type = 0×00000001

Menşei Rusya olan bu virüs yeni yeni yayılmaya başladı.Şuan için IKARUS ve KASPERSKY tarafında tespit edilmektedir.

HELPUD Virüsünün Bilgisayara Oluşturduğu Dosyalar;
%Windir%\o1.jpg
%Windir%\o1.vbs
%System%\ro.dll

HELPUD Virüsünün Kayıt Defterine eklediği Kayıtlar;

• HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host
• HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings
• HKEY_CURRENT_USER\Software\WinRAR SFX

•  
  • [HKEY_CURRENT_USER\Software\WinRAR SFX]
    • C%%WINDOWS = “C:\WINDOWS”

HELPUD Virüsünün Görev Yöneticisinde Çalıştırdığı Dosyalar;
fzga.exe

Bu virüsü temizlemek için IKARUS antivirüs programını kullanabilirsiniz.

Hüseyin Cenkut ÖZKAN

Aimo Virüsünün Dosyaları;

c:\users\usern\videos\karanchi_latest_scandal_hidden_cam_fXcXXng_xxx_02.mpg

c:\users\usern\videos\new.bat

 c:\users\usern\videos\svchost.exe

%Windir%\pchealth\ERRORREP\UserDumps\services.exe.20090730-141446-00.hdmp

%Windir%\pchealth\ERRORREP\UserDumps\services.exe.20090730-141446-00.mdmp

Aimo Virüsünün Kayıt Defterine Eklediği Kayıtlar ;

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\UserFaults
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE\0000
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE\0000\Control
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache\Security
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache\Enum
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE\0000
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE\0000\Control
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache\Security
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache\Enum
• HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{4EFE2452-168A-11D1-BC76-00C04FB9453B}
• HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{4EFE2452-168A-11D1-BC76-00C04FB9453B}\Default MidiOut Device
• HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{E0F158E1-CB04-11D0-BD4E-00A0C911CE86}
• HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{E0F158E1-CB04-11D0-BD4E-00A0C911CE86}\Default DirectSound Device
• HKEY_CURRENT_USER\Software\Microsoft\Multimedia\ActiveMovie
• HKEY_CURRENT_USER\Software\Microsoft\Multimedia\ActiveMovie\Filter Cache
• HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host
• HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings
• HKEY_CURRENT_USER\Software\WinRAR SFX

•  
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\UserFaults]
    • %Windir%\PCHealth\ErrorRep\UserDumps\services.exe.20090730-141446-00.mdmp = A6 00 00 00 60 00 00 00 60 00 00 00 A2 00 00 00 5F 06 70 71 00 00 00 00 05 00 01 00 28 0A 84 08 00 00 00 00 00 00 00 00 00 00 00 00 D9 07 07 00 04 00 1E 00 0E 00 0E 00 2E 00 1F 00 37 00 31 00 05 00 00 C0 30 00 36 00 00 00 00 00 00 00 00 00 B3 7E 10 4
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    • UserFaultCheck = “%System%\dumprep 0 -u”
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE\0000\Control]
    • *NewlyCreated* = 0×00000000
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE\0000]
    • Service = “SysCache”
    • Legacy = 0×00000001
    • ConfigFlags = 0×00000000
    • Class = “LegacyDriver”
    • ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
    • DeviceDesc = “System Service”
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SYSCACHE]
    • NextInstance = 0×00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache\Enum]
    • 0 = “Root\LEGACY_SYSCACHE\0000″
    • Count = 0×00000001
    • NextInstance = 0×00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache\Security]
    • Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0
  • [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SysCache]
    • Type = 0×00000010
    • Start = 0×00000002
    • ErrorControl = 0×00000001
    • ImagePath = “C:\Users\usern\videos\svchost.exe”
    • DisplayName = “System Service”
    • ObjectName = “LocalSystem”
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE\0000\Control]
    • *NewlyCreated* = 0×00000000
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE\0000]
    • Service = “SysCache”
    • Legacy = 0×00000001
    • ConfigFlags = 0×00000000
    • Class = “LegacyDriver”
    • ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
    • DeviceDesc = “System Service”
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSCACHE]
    • NextInstance = 0×00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache\Enum]
    • 0 = “Root\LEGACY_SYSCACHE\0000″
    • Count = 0×00000001
    • NextInstance = 0×00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache\Security]
    • Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysCache]
    • Type = 0×00000010
    • Start = 0×00000002
    • ErrorControl = 0×00000001
    • ImagePath = “C:\Users\usern\videos\svchost.exe”
    • DisplayName = “System Service”
    • ObjectName = “LocalSystem”
  • [HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{4EFE2452-168A-11D1-BC76-00C04FB9453B}\Default MidiOut Device]
    • FriendlyName = “Default MidiOut Device”
    • CLSID = “{07B65360-C445-11CE-AFDE-00AA006C14F4}”
    • FilterData = 02 00 00 00 00 00 80 00 01 00 00 00 00 00 00 00 30 70 69 33 02 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 30 74 79 33 00 00 00 00 38 00 00 00 48 00 00 00 6D 69 64 73 00 00 10 00 80 00 00 AA 00 38 9B 71 00 00 00 00 00 00 00 00 00 00 00 0
    • MidiOutId = 0xFFFFFFFF
  • [HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\devenum\{E0F158E1-CB04-11D0-BD4E-00A0C911CE86}\Default DirectSound Device]
    • FriendlyName = “Default DirectSound Device”
    • CLSID = “{79376820-07D0-11CF-A24D-0020AFD79767}”
    • FilterData = 02 00 00 00 00 00 80 00 01 00 00 00 00 00 00 00 30 70 69 33 02 00 00 00 00 00 00 00 08 00 00 00 00 00 00 00 00 00 00 00 30 74 79 33 00 00 00 00 A8 00 00 00 B8 00 00 00 31 74 79 33 00 00 00 00 A8 00 00 00 C8 00 00 00 32 74 79 33 00 00 00 00 A8 00 00 0
    • DSGuid = “{00000000-0000-0000-0000-000000000000}”
  • [HKEY_CURRENT_USER\Software\Microsoft\Multimedia\ActiveMovie\Filter Cache]
    • 0 = E0 5A 00 00 65 68 63 66 00 00 00 00 00 00 00 00 02 01 00 00 00 00 00 00 01 00 20 00 49 00 00 00 40 00 64 00 65 00 76 00 69 00 63 00 65 00 3A 00 64 00 6D 00 6F 00 3A 00 7B 00 32 00 45 00 45 00 42 00 34 00 41 00 44 00 46 00 2D 00 34 00 35 00 37 00 38 0
  • [HKEY_CURRENT_USER\Software\WinRAR SFX]
    • C%%users%usern%videos = “C:\users\usern\videos”

Aimo virüsünün oluşturduğu dosyaları ve kayıtları silin.Kesin emin olmak için güvenli modda internet bağlantısını keserek Kaspersky 2010 ile tarama yapınız.

KASPERSKY internet security veya antivirüs 30GÜNLÜK Trial İndirmek için http://www.cenkut.net indirebilirsiniz.

Hüseyin Cenkut ÖZKAN

Asıl amacı birbirinden tehlikeli sistem açıklarını açmak ve farklı trojanlar yükleyerek yerini sağlamlaştırmak bunların haricindede kendini temizlemek için satın almanız gerektiğini söyler sakın böyle birşey yapmayın.

Biforse Flux KillAV Xema CEP Virüslerinin bilgisayarınıza açtığı dosyalar;

%Temp%\nsd14.tmp
%Temp%\nsq17.tmp\ns18.tmp
%Temp%\nsq17.tmp\nsExec.dll
%System%\load.exe
%System%\sm.exe
%System%\spool32.exe
%System%\svcledr.exe
%System%\Windows lnstaller.exe

Biforse KillAV Xema CEP Flux Virüslerinin sistemde sürekli çalıştırdıkları programlar;

un.exe

nsF.tmp

binst.exe

ns4.tmp

flip.exe

nitest.exe

load.exe

Biforse KillAV Xema CEP Flux Virüslerinin oluşturdukları Kayıtlar (bkz: Kayıt Defteri Registry)

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{13D4758C-2B0C-5A4E-8A2A-1B844A5C851D}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{9B71D88C-C598-4935-C5D1-43AA4DB90836}
• HKEY_LOCAL_MACHINE\SOFTWARE\Wget
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\MediaResources\msvideo
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_LNSTALLER
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_LNSTALLER\0000
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows lnstaller
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows lnstaller\Security
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\MediaResources\msvideo
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_WINDOWS_LNSTALLER
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_WINDOWS_LNSTALLER\0000
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows lnstaller
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows lnstaller\Security
• HKEY_CURRENT_USER\Software\Microsoft\Active Setup\Installed Components\{13D4758C-2B0C-5A4E-8A2A-1B844A5C851D}
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RUNONCE
• HKEY_CURRENT_USER\Software\Wget

• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{13D4758C-2B0C-5A4E-8A2A-1B844A5C851D}]
  • StubPath = “%System%\svchost.exe 2″
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{9B71D88C-C598-4935-C5D1-43AA4DB90836}]
  • stubpath = “%System%\spool32.exe s”
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  • spool32\blah1 = “%System%\spool32.exe”
  • NortonAVTray = “%System%\svchost.exe”
• [HKEY_LOCAL_MACHINE\SOFTWARE\Wget]
  • nck = E7 1D 40 54 22 5E 59 60 B4 3C 2A 5E 33 34 72 00 A3 78 26 35 57 32 2D 60 B4 3C 2A 5E 33 34 72 00
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_LNSTALLER\0000]
  • Service = “Windows lnstaller”
  • Legacy = 0×00000001
  • ConfigFlags = 0×00000000
  • Class = “LegacyDriver”
  • ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
  • DeviceDesc = “Windows lnstaller”
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_LNSTALLER]
  • NextInstance = 0×00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows lnstaller\Security]
  • Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows lnstaller]
  • Type = 0×00000010
  • Start = 0×00000002
  • ErrorControl = 0×00000000
  • ImagePath = “%System%\Windows lnstaller.exe”
  • DisplayName = “Windows lnstaller”
  • ObjectName = “LocalSystem”
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_WINDOWS_LNSTALLER\0000]
  • Service = “Windows lnstaller”
  • Legacy = 0×00000001
  • ConfigFlags = 0×00000000
  • Class = “LegacyDriver”
  • ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
  • DeviceDesc = “Windows lnstaller”
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_WINDOWS_LNSTALLER]
  • NextInstance = 0×00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows lnstaller\Security]
  • Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0
• [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows lnstaller]
  • Type = 0×00000010
  • Start = 0×00000002
  • ErrorControl = 0×00000000
  • ImagePath = “%System%\Windows lnstaller.exe”
  • DisplayName = “Windows lnstaller”
  • ObjectName = “LocalSystem”
• [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
  • spool32\blah1 = “%System%\spool32.exe”
  • NortonAVTray = “%System%\svchost.exe”
• [HKEY_CURRENT_USER\Software\Wget]
  • klg = 01

Biforse Xema Flux KillAV CEP Virüsü Aşağıdaki Adrese Bağlantı Kurar;

 Söz konusu virüslerin en büyük tehlikesi kişisel bilgilerinizin başka kişilere gönderilmesidir.

Bu Virüslerden kurtulmak için Dosyalarını ve Kayıt Defterine ekledikleri kayıtları silin temizlendiğin emin olmak için KASPERSKY, SOPHOS veya MCAFE ile taratın.

Hüseyin Cenkut ÖZKAN

Scribble veya Virtob Virüsünün Bilgisayarınıza Kopyaladığı Dosyalar:

Çözüm
Anti Malware Bytes kurun.ve SpyBots yazılmını kurup taratın.Yine de kurtulamazsanız temporary internet files klasörünü içini boşaltın.

Hüseyin Cenkut Özkan

Kullandığı Sunucular (Host’lar)

Bilgisayarınızdaki bağlantıları kontrol ettiğinizde ise

128.123.18.17 NOLU IP’ye 443 Port Bağlandığınız görülüyor.

UltraSurf Virüsünün Kayıt Defterine Eklediği veya Oluşturduğu Kayıtlar :

• Oluşturduğu Kayıtlar:
  • [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
    • Bhinmepeagdaiijc = 0×00000617
  • [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
    • CurrentLevel = 00 00 00 00
    • 1C00 = 00 00 00 00

• Varolan kayıtlara ilaveler:
  • [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
    • CurrentLevel = 0×00000000
    • 1C00 = 0×00010000

UltraSurf Virüsünün Oluşturduğu Dosyalar:

Bqzkczcjjawjlemu ve Rouqifiipbxcwmgm adında 2 dosya oluşturur.Bu dosyalar Temp klasörünün içindedir.Bkz: %temp% Çalıştıra yazın

Temizlemek için Kayıt Defterini ve Temp klasöründe virüs yayılımlarını silin ve Mcafee ile tarama yapın…

Hüseyin Cenkut ÖZKAN

Bu yılın ilk altı ayında yeni çıkan veya farklı varyasyonlarla yayılımını devam ettiren virüsler dahil olmak üzere dağılım aşağıdaki gibidir.

1. Çin Halk Cumhuriyeti %32.07

2. Rusya Federasyonu %22.29 

3.Brezilya %6.93

4.Amerika Birleşik Devletleri %6.42

5.İngiltere Birleşik Krallık %6.17

6.Ukrayna %4.2

7.Almanya %3.57

8.İspanya %3.55

9.İsviçre %2.38

10.Fransa %2.24

Türkiye %0.40

Ülkemizde benzer oranlardaki diğer ülkeler ise :

Suudi Arabistan %0.58

İran %0.29

Polonya %0.33

Avusturalya %0.41

Herkezin merak beklediği bu konferansta son teknoloji ürünlerin güvenlik açıkları, güvenlik  konularında ki gelişmeler yanı sıra yeni tehlikelerle ilgili olarak bilgi verilecek.

Birkaç gündür gündemde dolaşan elektrik hatları üzerinden bilgi hırsızlığı konusunda detaylı bir açıklama yapılacağı beklenen konferansa birbirinden önemli birçok uzman katılacak.Geçmiş yıllara rağmen daha farklı bir atmosferde geçeceği ön görülen konferansı konunun uzmanları büyük bir heyecan ile beklemekteler.

Hüseyin Cenkut ÖZKAN

VirTool:Win32/Vtub.FQ (Microsoft)

Trojan-Downloader.Win32.VB.cgj(Ikarus)

isimleriyle bilinen Sohanad virüsü ve türevleri neler yapar ?

Yukarıdaki gibi hata mesajları verebilir.Yeni bir virüstür.Sohanad Virüsü yeni ortaya çıkmış yayılım özellikleri daha fazla arttırılmış bir virüstür.

Sohanad Virüsü Yahoo Messenger ve Windows saldırmaktadır.Yahoo Messengerınızdaki kişilere mesaj atarak yayılımını sağlar.Attığı mesajda bir site link verir tıkladığınız zaman Sohanad indirmiş olursunuz.Virüs yayıldığı zaman internet explorer açılış sayfasını değiştirir.Hedefinde Taşınabilir USB Diskler ve Sabit Diskler vardır.Autorun özelliğiyle bu cihazlarada kendini kopyalayarak yayılımını devam ettirir.

Sohanad Virüsünün Etkilediği ve Ürettiği Dosyalar ;

%AppData%\addons.dat

%System%\Bifrost\logg.dat

%System%\Bifrost\sestem.exe

Sohanad Virüsünün Kayıt Defterine Eklediği Kayıtlar;

stubpath = “%System%\Bifrost\sestem.exe s”

nck = DA 1B F2 30 A9 36 8C 59 15 B0 CD 74 FA 93 5B 67

klg = 01

plg1 = EA 44 DC 02 A3 27 D7 5F 11 AD B9 07 DA F2 35 03 2A 35 8E 58 1B 0E 11 94 D4 F9 28 1F 11 4D 98 BC D2 64 44 8E CD F9 B9 BA 23 BD 45 ED 15 A6 77 AF B8 7C 04 4D 90 91 58 5F 81 61 19 72 00 4E 53 7A E1 AB E6 8B 30 CA 34 56 F9 AD AD F8 4D 41 0F F6 9F 90 A2 1

Bilgisayarınızın internet bağlantısını kesin, Sistem Geri Yükleme Özelliğini devre dışı bırakın, Yerel Ağ ve İnternet Bağlatınızı Kesin ve Güvenli Modda Çalışıtırıp Yukarıdaki Dosyaları ve Kayıt Temizleyin…

Hüseyin Cenkut ÖZKAN

isimleriyle anılan bu virüse ürettiği dosyalar yüzünden Kavoo Virüsü olarak adlandırabiliriz.

Aşağıdaki Dosyaları Üretir ; “Tüm Dosyaları Siliniz”

autorun.inf  -  clhz9sae.dll   -   kavo.exe   -   kavo0.dll  -  kavo01.dll

Kayır Defteri eklenen kayıtlar; “Tüm Kayıtları Siliniz”

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

kava = “%System%\kavo.exe”

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]

CheckedValue = 0×00000000

Bilgisayarınızı Yeniden Başlatın. Tekrar Kontrol edin. Eğer virüsten kurtulamadıysanız.İnternet Bağlantısını kapatarak Sistem geri Yüklemeyi devre dışı bırakıp Güvenli Modda bu işlemleri yapınız.

Hüseyin Cenkut Özkan

Sinowal virüsü bilgi çalmayı hedefleyen bir virüs çeşididir.Bulaştığı bilgisayara diğer zararlı yazılımları atar.Kendini DLL dosyalarına adapte ederek Görev Yöneticisi çalışan yazılımları hedef almaktadır.

Antivirüs yazılımları Sinowal Virüsünün Tehlike Derecesini 7 Yükselttiler.

Sinowal Virüsü Yayılım Teknikleri

1. Diğer yazılımlara adaptasyon

2. Otomatik Çalıştır özelliklilere entegre olur

3. Yerel ağ ve İnternet Bağlantınızı Kullanır.

4. Gizlice ve Zorla Kurulumunu Yapar.

5. Tehlikeli Güvenlik Açıkları Oluşturur.

6. Şifrelerinizi Kaydeder.

7. Program Ekle Kaldır Devre Dışı Bırakır.

Sinowal Virüsünden Nasıl Kurtuluruz ?

1-ADIM – Bilgisayarınızın Sistem Geri Yükleme Özelliğini Devre Dışı Bırakın

2-ADIM – Bilgisayarınızı Yerel Ağ ve İnternet Bağlantılarını Kesin

3-ADIM – Bilgisayarınızı Güvenli Modda Çalıştırın.

4-ADIM – Güncel Bir Anti Virüs Programı ile tarama yapın.

Hüseyin Cenkut ÖZKAN

Peki Zlob Trojanın bilgisayarınıza bulaştığını nasıl anlarsınız ?

Görev Yöntecisinideki çalıştırığı zararlıları Durdurun ;

nvctrl.exe
msmsgs.exe
%System%\regperf.exe
%System%\ld100.tmp

**%System% Bilgisayarınızda kurulu olan Windows Sistem klasörüne ulaşmanızı sağlar. Başlat>Çalıştır> %System% yazarsanız karşınıza bilgisayarınızdak kurulu olan sistem klasörünün penceresini açacaktır.

Registery – Kayıt Defterindeki Zlob Virüsü Kayıtlarını Silin :
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunRegSvr32 =%System%msmsgs.exe
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsNTCurrentVersionWinlogonShell=explorer.exe

Zlob Virüsüne ait dosyaları silin;
hp[X].tmp
msvol.tlb
ncompat.tlb
RSA
Protect
vnp7s.net
zxserv0.com
dumpserv.com

Bu aşamadan sonra bilgisayarınıza Malware Bytes kurarak temizleyebilirsiniz.

Hüseyin Cenkut ÖZKAN

Flash disklere ile yayılımını sağlayan bu virüs gerçekten epey uğraştıran bir virüstür.

1. ADIM – Bilgisayarınızdaki Sistem Geri Yükleme Özelliğini Devre Dışı Bırakın.

2.ADIM – Bilgisayarınızın Yerel Ağ ve İnternet Bağlantısını Kesin

3.ADIM – Bilgisayarınızı Güvenlik Modda Açın

4. ADIM – Başlat > Çalıştır > regedit yazarak Sistem Kayıt Defterini Açın

5.ADIM – Registry yani Kayıt Defterinde aşağıdaki Kayıt bulun

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

6.ADIM – Bulduğunuz kayıttaki satırı aşağıdaki gibi düzeltin.

explorer.exe, xmss.exe yazan yerdeki xmss.exe silin sadece explorer.exe kalsın

7.ADIM – Aşağıdaki dosyaları bulup silin.Eğer dosyaları göremiyorsanız Klasör Seçeneklerinden Gizli Klasörleri ve Korunan Sistem Klasörlerini Gösteri seçin.

• C\autorun.inf
• C\xmss.exe
• C\Funny UST Scandal.avi.exe
• X:\autorun.inf
• X:\xmss.exe
• X:\Funny UST Scandal.avi.exe
• %Windir%\autorun.inf
• %Windir%\xmss.exe
• %Windir%\Funny UST Scandal.avi.exe

%Windir%  Windows Klasörünü anlamına gelmektedir.Eğer nerede olduğunu bilmiyorsanız Başlat>Çalıştır>%Windir% yazarsanız söz konusu dosyayı bulursunuz.

X: olarak belirttiğimiz ise FlashDisk veya USB Disklerinizi adıdır.Onlarıda temizledikten sonra

8.ADIM – Windows tüm Temp, Temporary Files klasörlerini boşaltın.

9.ADIM – Bilgisayarınız Yeniden Başlatın

10.ADIM – Güncel bir Anti Virüs yazılımı kurup tarama yapınız. KasperSky 30 Günlük Demo antivirüs programı bu virüsü bu şartlar altında bulmakta ve temizlemektedir.Eğer şartları yerine getiremezseniz sadece virüs tespit eder ve temizleyemez.

Hüseyin Cenkut ÖZKAN

Kullandığınız antivirüs yazılımı ne olursa olsun mutlaka haftalık olarak günceleştirmeleri ve virüs taramalarını kontrol ediniz.

ATF Cleaner ücretsiz basit bir programdır.Genel amacı kullanıcının kullanmadığı sistem klasörlerinde gecici arşivlenen ve işe yaramayan veriler silerek bilgisayarınızda hem boş alanı arttırır hemde gereksiz yavaşlamayı düzeltir.Kurulum gerektirmez tıklayın çalışacaktır.Dikkat edilmesi gereken bir konu İnternet Geçmişinizide temizler onu istemiyorsanız History seçmeyiniz.

ATF İndirmek için tıklayın.

Windows XP – Windows Vista – Windows 7 Test edilmiştir.Herhangi bir sorun çıkartmaz %100 Çalışır…

Listede görüldüğü üzere Kido virüs yayılımına devam ediyor ve sürekli olarak artıyor.Artık çok bilinen fakat halen etkin olarak yayılımını devam ettiren Sality virüsde listede yer almaktadır.Windows açığını kullanarak İnternet Exlorer üzerinden yayılan Downloader virüsleri 3-4 sıralarda yer almaktalar.Listede 5-6 ise Autorun virüsleri mevcut malum usb diskler üzerinden hızlı bir şekilde yayılmaktalar.Son zamanların eskimeyen virüsü Alman.NAB ise halen 12 sırada ve birçok bilgisayarı etkilemiş durumda..

Kaynak: Kasperksy – VirusList

McAfee Avert Stinger yazılımı ücretsiz bir temizleme aracıdır. Bu araç diğerlerinden farklı özelliği yüzlerce virüse karşı tek bir temizleyici araç olmasıdır. 2002 yılından 2009 yılına kadar çıkmış birçok sistemi etkileyen virüsleri tarama yaparak tespit eder ve temizler.Bilgisayarınızı güvenlik modda açıp, internet ve yerel ağ bağlatılarını kesiniz ve Sistem Geri Yüklemeyi devre dışı bırakınız. Bu işlemlerden sonra yapacağınız taramalarda daha iyi sonuçlar elde edebilirsiniz.

Mcfee Stinger indirmek için tıklayın…   Windows XP – Windows Vista – Windows 7 – TEST Edildi %100 Tespit Ediyor ve Temziliyor…

Mcfee Avert Stinger’ın Temizlediği Virüsler ; (Mcfee Avert Stinger Cleaner and Removal Viruses List)

W32/Autorun variants

W32/Mywife.

W32/Bagle.cc – .dd

W32/Bropia.worm.bx/by

W32/Korgo.worm.aj

W32/Lovgate.ar@MM

W32/Mydoom.bw@MM

W32/Sober.r@MM

W32/Zafi.e@MM

W32/RCBot.worm family

W32/IRCBot.worm MS05-039

W32/Zobot.worm family

W32/Bagle.bo – bt@MM

W32/Bropia.worm.q – aj

W32/Sober.m – .p@MM

W32/Bagle.dldr

W32/Bagle.bi – bn@MM

W32/Bropia.worm.q – .u

W32/Mydoom.bf – bi@MM

W32/Mydoom.be@MM

W32/Sober.l@MM

W32/Mydoom.bc – bd@MM

W32/Bropia.worm.a – .p

W32/Bagle.bh – bm@MM

W32/Dumaru.bd – bg@MM

W32/Mydoom.ao – bb@MM

W32/Nimda.u@MM

W32/Zafi.d@MM

Exploit-Lsass

W32/Bagle.bf – .bg@MM

W32/Korgo.ag – .ai

W32/Mydoom.an@MM

BackDoor-CHR 

 BackDoor-CEB

 W32/Sober.j@MM

W32/Bugbear.j@MM

W32/Korgo.worm.aa.dam

 W32/Korgo.worm.ac.dam

W32/Korgo.worm.ae

W32/Lovgate.aq@MM

W32/Mydoom.ad – .ah@MM

W32/Pate.d

W32/Sasser.worm.g

 W32/Bagle.ba – .bd@MM

 W32/Netsky.ah – .ai@MM

W32/Zafi.c@MM

W32/Netsky.ag@MM

W32/Bagle.ar – .az@MM

W32/Dumaru.aw – .bb@MM

W32/Korgo.w – .ad

W32/Lovgate.ap@MM

 W32/Mydoom.t – .ac@MM

W32/Nachi.worm.m

 W32/Mydoom.s@MM

 Backdoor-CHR

 W32/Bagle.aj – .aq@MM

W32/Lovgate.al – .am@MM

W32/Mydoom.p – .r@MM

BackDoor-CFB

 W32/Zindos.worm

W32/Mydoom.o@mm

W32/Bagle.ai@mm

W32/Mydoom.n@mm

W32/Lovgate.ae – .ak@mm

W32/Bagle.ag – .ah@mm

W32/Bagle.ad – .af@mm

W32/Korgo.worm.p – .v

W32/Lovgate.ac@MM – .ad@MM

 W32/Mydoom.l@MM – .m@MM

W32/Korgo.worm.a – .o

W32/Zafi.a@MM – .b@MM

W32/Bagle.ac@MM

W32/Dumaru.aj – .ap

 W32/Lovgate.ab@MM

W32/Mydoom.k@MM

W32/Sasser.worm.f

W32/Sober.g@MM

W32/Bagle.ab@MM

W32/Netsky.ac – ad@MM

W32/Sasser.worm.e

W32/Sasser.worm.d

W32/Sasser.worm.b

W32/Sasser.worm

W32/Bagle.aa@MM

W32/Netsky.aa – .ab@MM

W32/Bagle.x – .z@MM

W32/Bugbear.c – .d@MM

W32/Doomjuice.c

W32/Dumaru.ae – .ah@MM

W32/Elkern.cav.f

W32/Lovgate.z@MM

W32/Mimail.v@MM

W32/Mydoom.i – .j@MM

W32/Netsky.u – .z@MM

W32/Yaha.aa@MM

 W32/Netsky.s – .t@MM

W32/Lovgate.n – .y@MM

W32/Sober.f@MM

W32/Netsky.q@MM

W32/Bagle.u@MM

W32/Netsky.o – .p@MM

W32/Bagle.r – .t@MM

W32/Mydoom.h@MM

W32/Bagle.o – .p@MM

 W32/Netsky.k – .n@MM

W32/Bagle.k – .n@MM

 W32/Netsky.j

W32/Sober.d@mm

W32/Bagle.f – .j@MM

W32/Mydoom.g@MM

W32/Bagle.e@MM

W32/Bagle.c@MM

W32/Netsky.c@MM

 W32/Mydoom.f@mm

W32/Netsky.a@MM

W32/Netsky.b@MM

W32/Bagle.b@MM

W32/Doomjuice.worm

W32/Lovsan.worm

W32/Blaster.worm

W32/Dfcsvc.worm

W32/Anig.worm

W32/Mymail.s@MM

W32/Dfcsvc.worm

W32/MyDoom.b@MM

W32/Mydoom@MM

W32/MyDoom@MM 

W32/Dumaru.y@MM

W32/Bagle@MM

W32/Sober.c@MM

W32/Mimail.j – .o

W32/Sober.b@MM

W32/Mimail.d

W32/Sober@MM

W32/mimail.c@MM

W32/Sober@MM

W32/Dumaru.o – .r

 W32/Pate

W32/Dumaru.e – .m

W32/Swen@MM

W32/Yaha.x@MM

 W32/Yaha.y@MM

 W32/Dumaru.b – .d

PWS-Narod

 W32/Dumaru@MM

W32/Sobig.f@MM

W32/Nachi.worm

W32/Lovsan.worm.d

 W32/Lovsan.worm.a

Exploit-DcomRpc

W32/Lovsan.worm.a & .b

W32/Lovsan.worm

W32/Lovsan.worm

 W32/Mimail@MM

 IRC/Flood.ap,

IRC/Flood.bi

 IRC/Flood.cd

W32/Sdbot.worm.gen,

W32/MoFei.worm

W32/Deborm.worm.gen

W32/Mumu.worm.b

 PWS-Sincom

W32/Sobig@MM variants

Bat/Mumu.worm,

IPCScan trojan,

NTServiceLoader trojan,

PCGhost application,

 W32/Bugbear.b@MM

W32/Fizzer@MM 

W32/Lovgate.a@M

W32/Lovgate.d@M,

BackDoor-AQJ,

W32/Sircam@MM,

W32/Funlove@MM,

W32/Nimda.a@MM

 W32 SQLSlammer.worm

W32/Lirva.c@MM

W32/Lirva.a@MM

W32/Yaha.l@MM

W32/Bugbear.dam

AdClicker-EV
AFXRootkit
Apropos
BackDoor-ALI
BackDoor-AQJ
BackDoor-AQJ.b
BackDoor-AWQ
BackDoor-AXO
BackDoor-BAC
BackDoor-CEB
BackDoor-CEB!bat
BackDoor-CEB!hosts
BackDoor-CEB.b
BackDoor-CEB.c
BackDoor-CEB.d
BackDoor-CEB.dll
BackDoor-CEB.dr
BackDoor-CEB.e
BackDoor-CEB.f
BackDoor-CEB.sys
BackDoor-CFB
BackDoor-CSX
BackDoor-CSY
BackDoor-CUX
BackDoor-CWD
BackDoor-DIX
BackDoor-DJF
BackDoor-DJZ
BackDoor-JZ
BackDoor-JZ.dam
BackDoor-JZ.dr
BackDoor-JZ.gen
BackDoor-JZ.gen.b
Bat/Autorun.worm.h
Bat/Autorun.worm.zr
Bat/Autorun.worm.zr!vbs
Bat/Autorun.worm.zw
Bat/Mumu.worm
Cleanup
CoreFlood
Coreflood!psexec
Coreflood.dldr
CoreFlood.dll
CoreFlood.dr
Cutwail
Danmec
DNSChanger.f
Downloader-AUE
Downloader-BAI
Downloader-DN.a
Downloader-DN.b
Downloader-UA
Downloader-ZQ
Exploit-DcomRpc
Exploit-DcomRpc.b
Exploit-DcomRpc.dll
Exploit-Lsass
Exploit-Lsass.dll
Exploit-MS04-011
Exploit-MS04-011.gen
Exploit-MSExcel.k
Exploit-MSExcel.l
Exploit-MSExcel.m
Exploit-MSExcel.n
Exploit-MSExcel.o
Exploit-MSExcel.p
Exploit-MSExcel.q
Exploit-MSExcel.r
Exploit-PDF.b
Exploit-PDF.b.gen
Exploit-PDF.c
Exploit-PDF.d
Exploit-PDF.e
Exploit-PDF.f
Exploit-PDF.g
Exploit-PDF.h
Exploit-PDF.i
Exploit-PDF.i.gen
Exploit-PDF.j
Exploit-PDF.k
Exploit-XMLhttp.d
Exploit-XMLhttp.d.gen
Exploit-XMLhttp.d.gen.b
Exploit-XMLhttpd.d
FakeAlert
FakeAlert-AA
FakeAlert-AB
FakeAlert-AB!htm
FakeAlert-AB.dldr
FakeAlert-AB.dr
FakeAlert-AC
FakeAlert-AD
FakeAlert-AE
FakeAlert-AF
FakeAlert-AG
FakeAlert-AG.gen.b
FakeAlert-AG.gen.c
FakeAlert-AH
FakeAlert-AI
FakeAlert-AJ
FakeAlert-AK
FakeAlert-AL
FakeAlert-AM
FakeAlert-AN
FakeAlert-AntiSpywarePro
FakeAlert-AntiSpywarePro.dll
FakeAlert-AntiVirusPlus
FakeAlert-AntiVirusPro
FakeAlert-AntiVirusXP
FakeAlert-AO
FakeAlert-AP
FakeAlert-AQ
FakeAlert-AR
FakeAlert-AS
FakeAlert-AT
FakeAlert-AU
FakeAlert-av2009
FakeAlert-av360
FakeAlert-AW
FakeAlert-AZ
FakeAlert-AZ!htm
FakeAlert-B
FakeAlert-B.dldr
FakeAlert-B.dr
FakeAlert-BA
FakeAlert-BB
FakeAlert-BC
FakeAlert-BD
FakeAlert-BE
FakeAlert-BE.gen
FakeAlert-BF
FakeAlert-BG.dldr
FakeAlert-BH.dldr
FakeAlert-BI
FakeAlert-BJ
FakeAlert-BK
FakeAlert-BL
FakeAlert-BM
FakeAlert-BN
FakeAlert-BO
FakeAlert-BO.dldr
FakeAlert-BP
FakeAlert-BQ
FakeAlert-BR
FakeAlert-BS
FakeAlert-BS.dll
FakeAlert-BT
FakeAlert-BU
FakeAlert-BV
FakeAlert-BV.dldr
FakeAlert-BW
FakeAlert-BX
FakeAlert-BY
FakeAlert-BZ
FakeAlert-C
FakeAlert-C.dr
FakeAlert-C.gen
FakeAlert-CA
FakeAlert-CB
FakeAlert-CC
FakeAlert-CD
FakeAlert-D
FakeAlert-E
FakeAlert-F
FakeAlert-G
FakeAlert-H
FakeAlert-I
FakeAlert-J
FakeAlert-K
FakeAlert-L
FakeAlert-LastDefender
FakeAlert-M
FakeAlert-MalDef
FakeAlert-MalDef.dldr
FakeAlert-MalDef.dll
FakeAlert-MCodec
FakeAlert-MCodec!htm
FakeAlert-N
FakeAlert-N.dldr
FakeAlert-O
FakeAlert-P
FakeAlert-Q
FakeAlert-R
FakeAlert-RealAV
FakeAlert-S
FakeAlert-S.dll
FakeAlert-SpyKiller
FakeAlert-SpywareGuard
FakeAlert-SpywareProtect
FakeAlert-SystemSecurity
FakeAlert-T
FakeAlert-U
FakeAlert-V
FakeAlert-W
FakeAlert-WinwebSecurity
FakeAlert-X
FakeAlert-XPAntivirus
FakeAlert-XPPoliceAntivirus
FakeAlert-XPSecCenter
FakeAlert-Y
FakeAlert-Y.dr
FakeAlert-Z
Fribet
Generic FakeAlert
Generic FakeAlert!lnk
Generic FakeAlert.d
Generic FakeAlert.e
Generic FakeAlert.f
Generic FakeAlert.g
Generic FakeAlert.h
Generic FakeAlert.i
Generic FakeAlert.j
Generic FakeAlert.k
Generic PWS.y!mem
Generic RootKit.a
Generic Rootkit.d
Generic RootKit.e
Generic RootKit.f
Generic!atr
Generic.dx
HackerDefender
HE4Hook
Hidden-Process.a
HideVault!sys
HideWindow
HideWindow.dll
HTool-T2W
IPCScan
IRC/Flood.ap
IRC/Flood.ap.bat
IRC/Flood.ap.dr
IRC/Flood.bi
IRC/Flood.bi.dr
IRC/Flood.cd
JS/Autorun.worm.ci
JS/Downloader-AUE
JS/FakeAlert
JS/FakeAlert-AB.dldr
MadCodeHook
NTRootkit-E
NTRootKit-H
NTRootKit-J
NTRootkit-S
NTRootkit-U
NTRootkit-Z
NTServiceLoader
Patched-Import
ProcKill
Proxy-Agent.af
Proxy-Agent.af.dr
Puper
PWS-Banker.dldr
PWS-FireMing
PWS-FireMing.dll
PWS-FireMing.dr
PWS-Gamania.gen.a
PWS-Gogo
PWS-Goldun
PWS-LDPinch
PWS-Narod
PWS-Narod.dll
PWS-Narod.gen
PWS-Progent
PWS-Sincom
PWS-Sincom.dll
PWS-Sincom.dr
Qoolaid.a
rootkit
RootKit-NTIllusion
Rustock
Spam-Mailbot.c
Spy-Agent.bv
Spy-Agent.bw
Spy-Agent.de
Spy-Agent.dn
Srizbi
StartPage-KM
StealthMBR
Vanquish
Vanti
VBS/Autorun.bj
VBS/Autorun.worm.au
VBS/Autorun.worm.ay
VBS/Autorun.worm.bi
VBS/Autorun.worm.bj
VBS/Autorun.worm.bs
VBS/Autorun.worm.by
VBS/Autorun.worm.ca
VBS/Autorun.worm.cy
VBS/Autorun.worm.dm
VBS/Autorun.worm.dn
VBS/Autorun.worm.dn!atr
VBS/Autorun.worm.dn!txt
VBS/Autorun.worm.dv
VBS/Autorun.worm.dz
VBS/Autorun.worm.en
VBS/Autorun.worm.ew
VBS/Autorun.worm.k
VBS/Autorun.worm.k!bat
VBS/Autorun.worm.k!reg
VBS/Autorun.worm.zd
VBS/Autorun.worm.ze
VBS/Autorun.worm.zl
VBS/Autorun.worm.zn
VBS/Autorun.worm.zo
VBS/Autorun.worm.zo!lnk
VBS/Autorun.worm.zs
VBS/FakeAlert-AB
VBS/FakeAV
VBS/IE-Title
Vundo
Vundo!grb
Vundo.dldr
Vundo.dr
Vundo.gen.aa
Vundo.gen.ab
Vundo.gen.ac
Vundo.gen.ad
Vundo.gen.ae
Vundo.gen.af
Vundo.gen.ag
Vundo.gen.ah
Vundo.gen.ai
Vundo.gen.aj
Vundo.gen.ak
Vundo.gen.al
Vundo.gen.am
Vundo.gen.an
Vundo.gen.h
Vundo.gen.i
Vundo.gen.j
Vundo.gen.k
Vundo.gen.l
Vundo.gen.m
Vundo.gen.n
Vundo.gen.o
Vundo.gen.p
Vundo.gen.r
Vundo.gen.s
Vundo.gen.s.dr
Vundo.gen.t
Vundo.gen.u
Vundo.gen.v
Vundo.gen.w
Vundo.gen.x
Vundo.gen.y
Vundo.gen.z
W32/Almanahe
W32/Almanahe.a
W32/Anig.worm
W32/Anig.worm.dll
W32/Autorun
W32/Autorun.worm
W32/Autorun.worm!inf
W32/Autorun.worm!ini
W32/Autorun.worm.a
W32/Autorun.worm.aa
W32/Autorun.worm.ab
w32/autorun.worm.ac
W32/Autorun.worm.ad
W32/Autorun.worm.ae
W32/Autorun.worm.af
W32/Autorun.worm.ag
W32/Autorun.worm.ai
W32/Autorun.worm.aj
W32/Autorun.worm.ak
W32/Autorun.worm.al
W32/Autorun.worm.am
W32/Autorun.worm.an
W32/Autorun.worm.ao
W32/Autorun.worm.ap
W32/Autorun.worm.aq
W32/Autorun.worm.ar
W32/Autorun.worm.as
W32/Autorun.worm.at
W32/Autorun.worm.av
W32/Autorun.worm.aw
W32/Autorun.worm.ax
W32/Autorun.worm.az
W32/Autorun.worm.b
W32/Autorun.worm.b.cfg
W32/Autorun.worm.ba
W32/Autorun.worm.bb
W32/Autorun.worm.bc
W32/Autorun.worm.bd
W32/Autorun.worm.be
W32/Autorun.worm.bf
W32/Autorun.worm.bg
W32/Autorun.worm.bh
W32/Autorun.worm.bk
W32/Autorun.worm.bl
W32/Autorun.worm.bm
W32/Autorun.worm.bn
W32/Autorun.worm.bo
W32/Autorun.worm.bp
W32/Autorun.worm.bp!reg
W32/Autorun.worm.bq
W32/Autorun.worm.br
W32/Autorun.worm.bt
W32/Autorun.worm.bw
W32/Autorun.worm.bx
W32/Autorun.worm.bx!inf
W32/Autorun.worm.bx.gen
W32/Autorun.worm.by
W32/Autorun.worm.bz
W32/Autorun.worm.c
W32/Autorun.worm.cb
W32/Autorun.worm.cb.dr
W32/Autorun.worm.cc
W32/Autorun.worm.cd
W32/Autorun.worm.ce
W32/Autorun.worm.cf
W32/Autorun.worm.cg
W32/Autorun.worm.ch
W32/Autorun.worm.cj
W32/Autorun.worm.ck
W32/Autorun.worm.cm
W32/Autorun.worm.cn
W32/Autorun.worm.co
W32/Autorun.worm.cp
W32/Autorun.worm.cp!bat
W32/Autorun.worm.cq
W32/Autorun.worm.cr
W32/Autorun.worm.cs
W32/Autorun.worm.ct
W32/Autorun.worm.cu
W32/Autorun.worm.cv
W32/Autorun.worm.cw
W32/Autorun.worm.cx
W32/Autorun.worm.cz
W32/Autorun.worm.d
W32/Autorun.worm.da
W32/Autorun.worm.db
W32/Autorun.worm.dc
W32/Autorun.worm.dd
W32/Autorun.worm.dd!inf
W32/Autorun.worm.de
W32/Autorun.worm.df
W32/Autorun.worm.dg
W32/Autorun.worm.dh
W32/Autorun.worm.di
W32/Autorun.worm.dj
W32/Autorun.worm.dk
W32/Autorun.worm.dl
W32/Autorun.worm.dn
W32/Autorun.worm.do
W32/Autorun.worm.dp
W32/Autorun.worm.dq
W32/Autorun.worm.ds
W32/Autorun.worm.dt
W32/Autorun.worm.du
W32/Autorun.worm.dw
W32/Autorun.worm.dx
W32/Autorun.worm.dy
W32/Autorun.worm.e
W32/Autorun.worm.ea
W32/Autorun.worm.eb
W32/Autorun.worm.ec
W32/Autorun.worm.ed
W32/Autorun.worm.ef
W32/Autorun.worm.eg
W32/Autorun.worm.ei
W32/Autorun.worm.ej
W32/Autorun.worm.ek
W32/Autorun.worm.el
W32/Autorun.worm.em
W32/Autorun.worm.eo
W32/Autorun.worm.ep
W32/Autorun.worm.eq
W32/Autorun.worm.er
W32/Autorun.worm.es
W32/Autorun.worm.et
W32/Autorun.worm.eu
W32/Autorun.worm.ev
W32/Autorun.worm.ex
W32/Autorun.worm.ey
W32/Autorun.worm.f
W32/Autorun.worm.g
W32/Autorun.worm.gen!job
W32/Autorun.worm.gen.cl
W32/Autorun.worm.gen.za
W32/Autorun.worm.gen.zb
W32/Autorun.worm.h
W32/Autorun.worm.h!lnk
W32/Autorun.worm.i
W32/Autorun.worm.j
W32/Autorun.worm.k
W32/Autorun.worm.l
W32/Autorun.worm.m
W32/Autorun.worm.n
W32/Autorun.worm.o
W32/Autorun.worm.p
W32/Autorun.worm.q
W32/Autorun.worm.r
W32/Autorun.worm.remmants
W32/Autorun.worm.s
W32/Autorun.worm.t
W32/Autorun.worm.u
W32/Autorun.worm.v
W32/Autorun.worm.v!bat
W32/Autorun.worm.w
W32/Autorun.worm.x
W32/Autorun.worm.y
W32/Autorun.worm.z
W32/Autorun.worm.zc
W32/Autorun.worm.zf
W32/Autorun.worm.zg
W32/Autorun.worm.zh
W32/Autorun.worm.zi
W32/Autorun.worm.zj
W32/Autorun.worm.zk
W32/Autorun.worm.zm
W32/Autorun.worm.zp
W32/Autorun.worm.zq
W32/Autorun.worm.zs
W32/Autorun.worm.zt
W32/Autorun.worm.zu
W32/Autorun.worm.zu.dr
W32/Autorun.worm.zv
W32/Autorun.worm.zw
W32/Autorun.worm.zw!inf
W32/Autorun.worm.zx
W32/Bagle
W32/Bagle!eml.gen
W32/Bagle!pwdzip
W32/Bagle.ad!src
W32/Bagle.dldr
W32/Bagle.dll.dr
W32/Bagle.eml
W32/Bagle.fb!pwdzip
W32/Bagle.fc!pwdzip
W32/Bagle.fd!pwdzip
W32/Bagle.fe!pwdzip
W32/Bagle.fm.dldr
W32/Bagle.gen
W32/Bagle@MM!cpl
W32/Blaster.worm
W32/Blaster.worm.k
W32/Bropia.worm
W32/Bugbear
W32/Bugbear.a.dam
W32/Bugbear.b!data
W32/Bugbear.b.dam
W32/Bugbear.gen@MM
W32/Bugbear.h@MM
W32/Bugbear@MM
W32/Conficker
W32/Conficker.c
W32/Conficker.sys
W32/Conficker.worm
W32/Conficker.worm!inf
W32/Conficker.worm!job
W32/Conficker.worm.dr
W32/Conficker.worm.gen.a
W32/Conficker.worm.gen.b
W32/Conficker.worm.gen.c
W32/Conficker.worm.gen.d
W32/Cutwail.a
W32/Deborm.worm.ah
W32/Deborm.worm.gen
W32/Doomjuice.worm
W32/Dumaru
W32/Dumaru.ad@MM
W32/Dumaru.al.dll
W32/Dumaru.dll
W32/Dumaru.eml
W32/Dumaru.gen
W32/Dumaru.gen@MM
W32/Dumaru.w.gen
W32/Elkern.cav
W32/Elkern.cav.c
W32/Elkern.cav.c.dam
W32/Feebs
W32/Fizzer
W32/Fizzer.dll
W32/Fujacks!htm
W32/FunLove
W32/FunLove.apd
W32/Gaobot.worm
W32/Harwig.worm
W32/IRCbot
W32/IRCbot.worm
W32/IRCbot.worm.dll
W32/Klez
W32/Klez.dam
W32/Klez.eml
W32/Klez.gen.b@MM
W32/Klez.rar
W32/Koobface.worm
W32/Koobface.worm.gen
W32/Korgo.worm
W32/Lirva
W32/Lirva.c.htm
W32/Lirva.eml
W32/Lirva.gen@MM
W32/Lirva.htm
W32/Lirva.txt
W32/Lovgate
W32/Lurker
W32/Maslan
W32/Mimail
W32/Mimail.c@MM
W32/Mimail.i!data
W32/Mimail.q@MM
W32/MoFei.worm
W32/MoFei.worm.dr
W32/Mumu.b.worm
W32/Mydoom
W32/Mydoom!bat
W32/Mydoom!ftp
W32/Mydoom.b!hosts
W32/Mydoom.dam
W32/Mydoom.t.dll
W32/Mytob
W32/Mytob.gen@MM
W32/Mytob.worm
W32/MyWife
W32/MyWife.dll
W32/MyWife@MM
W32/Nachi!tftpd
W32/Nachi.worm
W32/Netsky
W32/Netsky.af@MM
W32/Nimda
W32/Nimda.dam
W32/Nimda.eml
W32/Nimda.gen@MM
W32/Nimda.htm
W32/Nuwar
W32/Nuwar.dam
W32/Nuwar.sys
W32/Nuwar@MM
W32/Nuwar@MM!rar
W32/Pate
W32/Pate!dam
W32/Pate.dam
W32/Pate.dr
W32/Polip
W32/Polip!mem
W32/Polybot
W32/Polybot.bat
W32/Sasser.worm
W32/Sasser.worm!ftp
W32/Sdbot
W32/Sdbot!irc
W32/Sdbot.bat
W32/Sdbot.cli
W32/Sdbot.dll
W32/Sdbot.dr
W32/Sdbot.worm
W32/Sdbot.worm!ftp
W32/Sdbot.worm.bat.b
W32/Sdbot.worm.dr
W32/Sdbot.worm.gen
W32/Sdbot.worm.gen.a
W32/Sdbot.worm.gen.b
W32/Sdbot.worm.gen.c
W32/Sdbot.worm.gen.d
W32/Sdbot.worm.gen.e
W32/Sdbot.worm.gen.q
W32/Sober
W32/Sober!data
W32/Sober.dam
W32/Sober.eml
W32/Sober.f.dam
W32/Sober.g.dam
W32/Sober.q!spam
W32/Sober.r.dr
W32/Sober.r@MM
W32/Sobig
W32/Sobig.dam
W32/Sobig.eml
W32/Sobig.f.dam
W32/Sobig.gen@MM
W32/Spybot.worm
W32/SQLSlammer.worm
W32/Swen
W32/Swen@MM
W32/Virut
W32/Virut!mem
W32/Winemmem
W32/Yaha.eml
W32/Yaha.gen@MM
W32/Yaha.y@MM
W32/Yaha@MM
W32/Zafi
W32/Zafi.b.dam
W32/Zindos.worm
W32/Zotob.worm
W32/Zotob.worm!hosts

Google konuyla ilgili uyarı koymasıyla biraz daha yavaşlayan yayılma arama sonuçlarında çıkan sitelerde giderek artıyor.

Önleminizi Alın  “Gumblar Troj/JSRedir-R”

Bilgisayarınızda yada internet sayfanız böyle bir uyarı görürseniz

‘This site may harm your computer’

 hemen bilgisayarı kapatın başka bir bilgisayardan FTP şifrelerini değiştirin . Gecici olarak sayfalarınızı kapatın.

İnternet sayfalarınızı kontrol edin !!

*Sisteme Sızmak için kullanılan bir açığa yol açar.

*Zararlı Trojan bilgisayarınızda ve ağınızda bir güvenlik zaafiyeti oluşturur.

*Bu zararlı sürekli olarak çalışarak uzaktan kontrol erişim imkanı sağlar

PcClients veya Formador Virüsünün Eklediği Dosyalar

*C:\windows\pchealth\ERRORREP\UserDumps\svchost.exe.20090630-215453-00.hdmp

*C:\windows\pchealth\ERRORREP\UserDumps\svchost.exe.20090630-215453-00.mdmp

*C:\windows\System\053ac6.imk

*C:\windows\System\1199.exe

*C:\windows\System\1188.mpg

*C:\windows\System\lcenzo.fdf

PcClients veya Formador Virüsünün kayıt defterine Eklediği kayıtlar;

PcClients veya Formador isimli virüsün Görev Yöneticisinde Çalıştırdıkları ;

c:\windows\System\SVCHOST.EXE -k hgghyi      (Çalışmasını Durdurun)

Yukarıdaki tüm dosyaları sildikten sonra Symantec Norton ile temzileyebilirsiniz. 

Norton Symantec internet Security Trial 15 Günlük Deneme Sürümünü indirmek için tıklayınız.

Wow Virüsünün eklediği dosyalar ;

%Temp%\290390307mxx.dll

%Temp%\ka.ini

%Temp%\d.bat

290390307mxx.dll

Kayıt Defterine Eklenen Kayıtlar;

• AppInit_DLLs = “,%Temp%\290390307mxx.dll”

Tüm bu kayıtları ve dosyaları sildikten sonra yapmanız gereken Kaspersky AV ile temizleyebilirsiniz.

Kaspersky İnternet Securtiy Trial 30 Günlük Demo indirmek için tıklayın.

Antivirus 2009 veya Antivirus 09 isimleriyle bilinmektedir.Amacı ise sanki gerçek bir antivirüs yazılımı gibi davranıp sahte taramalarla ve olmayan virüslerle bilgisayarınızda virüs varmış gibi gösterip sizden kendisini satın almanızı istemektedir.Birçok hata mesajı ve görsel öğelerle kullanıcıları kandırarak sanki virüs varmış gibi gösterir ve size kendisini satın almanızı önerir.

Bulduğu Virüslü Dosyalar Aşağıdaki gibidir ;

Antivirus 2009 Kullandığı Dosyalar;
c:\Program Files\Antivirus 2009
c:\Program Files\Antivirus 2009\AV2009.exe
c:\Program Files\Antivirus 2009\AV2009_Update.exe
c:\Program Files\Antivirus 2009\scanopt.sys
c:\Program Files\Antivirus 2009\Support.url
c:\Program Files\Antivirus 2009\sysdata.sys
c:\Program Files\Antivirus 2009\SysShield.exe
c:\Program Files\Antivirus 2009\Uninstall.exe
c:\WINDOWS\system32\SysShield.exe
c:\Documents and Settings\All Users\Start Menu\Antivirus 2009
c:\Documents and Settings\All Users\Start Menu\Antivirus 2009\Antivirus 2009.lnk
c:\Documents and Settings\All Users\Start Menu\Antivirus 2009\Support.lnk
c:\Documents and Settings\All Users\Start Menu\Antivirus 2009\Uninstall Antivirus 2009.lnk
%UserProfile%\Desktop\Antivirus 2009.lnk

Antivirüs 2009 Kayıt Defterine Eklediği Dosyalar;

HKEY_CURRENT_USER\SOFTWARE\AVP09
HKEY_CURRENT_USER\SOFTWARE\AV2009
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Antivirus 2009
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform “AVP09″
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run “Antivirus 2009″
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run “Windows applications server”

Yukarıdaki Dosyaları ve Kayıtları Silin. Antivirüs 2009 tamamen kurtulmak için Spybots veya Malware Byte tavsiye ederiz.

Hüseyin Cenkut Özkan

Contraviro Sahte Anti-Spyware yazılımıdır.Tamamiyle sahtekarlık üzerine yapılmış olan bu sözde anti-spyware sahte taramalar yaparak bulduğu sonuçları temizlemek için sizden kendisini satın almanızı talep eder.Yapısal olarak Unvirex grubuna benzerdir.

Contraviro kurulduktan sonra bilgisayarınız açıldığı gibi çalışmaya başlar.Sürekli uyarılar vererek gerçek bir anti-spyware yazılımını andırır.

Contraviro Virüsünün Bilgisayarınıza Kurduğu Dosyalar ;

c:\Program Files\Contraviro
c:\Program Files\Contraviro\Contraviro.exe
c:\Program Files\Contraviro\daily.cvd
c:\Program Files\Contraviro\Drvfltip.sys
c:\Program Files\Contraviro\hjengine.dll
c:\Program Files\Contraviro\IEAddon.dll
c:\Program Files\Contraviro\main.cvd
c:\Program Files\Contraviro\MFC71.dll
c:\Program Files\Contraviro\MFC71ENU.DLL
c:\Program Files\Contraviro\msvcp71.dll
c:\Program Files\Contraviro\msvcr71.dll
c:\Program Files\Contraviro\pthreadVC2.dll
c:\Program Files\Contraviro\shellext.dll
c:\Program Files\Contraviro\siglsp.dll
c:\Program Files\Contraviro\uninstall.exe
c:\Documents and Settings\All Users\Start Menu\Programs\Contraviro
c:\Documents and Settings\All Users\Desktop\Contraviro.lnk
c:\Documents and Settings\All Users\Start Menu\Programs\Contraviro.lnk

c:\Documents and Settings\All Users\Start Menu\Programs\Contraviro\Contraviro.lnk
c:\Documents and Settings\All Users\Start Menu\Programs\Contraviro\How to Register Contraviro.lnk
c:\Documents and Settings\All Users\Start Menu\Programs\Contraviro\Register Contraviro.lnk
%UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Contraviro.lnk

Contraviro Virüsünün Kayıt Defterine Eklediği Kayıtlar ;

HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers\antivirus_contextscan
HKEY_CLASSES_ROOT\AppID\{C0E56AC2-9F72-436E-B6E7-AEC28AF9E4EB}
HKEY_CLASSES_ROOT\AppID\IEAddon.DLL
HKEY_CLASSES_ROOT\CLSID\{08EEC6AD-7486-487F-89B7-5A3716DDAE14}
HKEY_CLASSES_ROOT\CLSID\{CCB5551D-8594-4999-85F9-1E3EABCB95AC}
HKEY_CLASSES_ROOT\Drive\shellex\ContextMenuHandlers\antivirus_contextscan
HKEY_CLASSES_ROOT\Drives\shellex\ContextMenuHandlers\antivirus_contextscan
HKEY_CLASSES_ROOT\Folder\shellex\ContextMenuHandlers\antivirus_contextscan
HKEY_CLASSES_ROOT\Interface\{5B184B9D-B7BD-4FEA-8D1F-5E27182206A5}
HKEY_CLASSES_ROOT\TypeLib\{3ED0E410-5C8E-47B6-A75D-D10B886E903C}
HKEY_LOCAL_MACHINE\SOFTWARE\Contraviro
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CCB5551D-8594-4999-85F9-1E3EABCB95AC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Contraviro
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon “Shell”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform “Contraviro”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run “Contraviro”

Contraviro Virüsünü Temizlemek için Kayıt Defterinden ki kayıtları ve Contraviro’nun eklediği yukarıdaki tüm dosyaları siliniz.

Bu aşamadan Sonra SpyBots veya Malware Bytes ile tarama yaparak kurtulabilirsiniz.

Genel olarak Internet Explorer açılış sayfanıza plexfind.com yönlendirir.Yüklendikten sonra aşağıdaki dosyaları oluşturur;

%UserProfile%\Recent\ANTIGEN.exe
%UserProfile%\Recent\ANTIGEN.sys
%UserProfile%\Recent\cb.drv
%UserProfile%\Recent\energy.exe
%UserProfile%\Recent\energy.tmp
%UserProfile%\Recent\FS.sys
%UserProfile%\Recent\FS.tmp
%UserProfile%\Recent\FW.dll
%UserProfile%\Recent\hymt.exe
%UserProfile%\Recent\kernel32.drv
%UserProfile%\Recent\PE.dll
%UserProfile%\Recent\PE.tmp
%UserProfile%\Recent\tempdoc.exe
%UserProfile%\Recent\tjd.tmp

Yukarıdaki dosyaları oluşturduktan sonra Malware Destructor 2009 Sahtecisi bunları size bir virüs gibi göstererek silmek için satın almanızı talep eder.Bilgisayarınızda birçok sahte uyarılar oluşturarak kendini çözüm olarak gösterir.Ve sürekli aşağıdaki uyarıları verir;

•A program is trying to connect to the Internet
•A Trojan was found.
•A keylogger was found.
•A computer was remotely connected to.
•Your computer is infected with SpamBot and is sending out spam.
When you click on any of these alerts you will then be prompted to purchase Malware Destructor 2009. These alerts are all fake and are only being shown to convince you that you are infected.

Malware Destructor 2009 Dosyaları

%UserProfile%\Application Data\Malware Destructor 2009
%UserProfile%\Application Data\Malware Destructor 2009\cookies.sqlite
%UserProfile%\Application Data\Malware Destructor 2009\Instructions.ini
%UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Malware Destructor 2009.lnk
%UserProfile%\Desktop\Malware Destructor 2009.lnk
%UserProfile%\Local Settings\Temp\del.bat
%UserProfile%\Recent\ANTIGEN.exe
%UserProfile%\Recent\ANTIGEN.sys
%UserProfile%\Recent\cb.drv
%UserProfile%\Recent\energy.exe
%UserProfile%\Recent\energy.tmp
%UserProfile%\Recent\FS.sys
%UserProfile%\Recent\FS.tmp
%UserProfile%\Recent\FW.dll
%UserProfile%\Recent\hymt.exe
%UserProfile%\Recent\kernel32.drv
%UserProfile%\Recent\PE.dll
%UserProfile%\Recent\PE.tmp
%UserProfile%\Recent\tempdoc.exe
%UserProfile%\Recent\tjd.tmp
%UserProfile%\Start Menu\Malware Destructor 2009.lnk
%UserProfile%\Start Menu\Programs\Malware Destructor 2009.lnk
c:\Documents and Settings\All Users\Application Data\345d567
c:\Documents and Settings\All Users\Application Data\345d567\384.mof
c:\Documents and Settings\All Users\Application Data\345d567\MD345d.exe
c:\Documents and Settings\All Users\Application Data\345d567\mozcrt19.dll
c:\Documents and Settings\All Users\Application Data\345d567\sqlite3.dll
c:\Documents and Settings\All Users\Application Data\345d567\MDestrSys
c:\Documents and Settings\All Users\Application Data\345d567\MDestrSys\vd952342.bd
c:\Documents and Settings\All Users\Application Data\MDestrSys
c:\Documents and Settings\All Users\Application Data\MDestrSys\mdestr.cfg
c:\WINDOWS\Temp\IMT7.xml
c:\WINDOWS\Temp\IMT8.xml
c:\WINDOWS\Temp\IMT9.xml

Malware Destructor 2009 Kayıt Defterindeki Kayıtları ;

HKEY_CLASSES_ROOT\CLSID\{3F2BBC05-40DF-11D2-9455-00104BC936FF}
HKEY_CLASSES_ROOT\MD345d.DocHostUIHandler
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Numerous entries underHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\

Malware Destructor 2009 Virüsünü Temizlemek için Spybots veya Malware Bytes indirip taratarak temizleyebilirsiniz.

Spybots indirmek için http://www.spybots.com

Malware Bytes indirmek için http://www.malwarebytes.com

Hüseyin Cenkut ÖZKAN

Sober Virüsünün Yayılımı ;

Sober virüsü bulaşması için size gelen e-posta virüslü mesajı açmanız yeterlidir.

Zip li olan ekteki paket aşağıdaki gibi bir sahte hata mesajı verir.

WinZip Self-Extractor
WinZip_Data_Module is missing ~Error:

Sober virüsü iki kopyasını Windows klasörünün içine kopyalar, genellikle
aşağıdaki isimleri rastgele bir kombinasyonla oluşturur.

• 32
• crypt
• data
• diag
• dir
• disc
• expolrer
• host
• log
• run
• service
• smss32
• spool
• sys
• win

Sistem bulaştıktan sonra Kayıt Defterine Aşağıdaki Kayıtları Ekler ;

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 "[random key name]" = "%System%\[file name]"

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 "[random key name]" = "%System%\[file name]"

Sober Virüsünü Temizlemek için AVG 8.5 Anti Virüs Programını Tavsiye ederiz.

AVG 8.5 İndirmek için http://free.avg.com adresini ziyaret ediniz.

Hüseyin Cenkut Özkan

Merond’a Virüsü Yayılımı ;

Merond’a virüsü kendini Windows’un içindeki Sistem klasörünün içine kopyalar.

%System%\javaupd.exe
%System%\javaqs.exe

Yukarıdaki aşamadan sonra bilgisayarınız yeniden başlattıktan sonra aşağıdakileri Kayıt Defterine kaydeder.

Merond’a virüsünün kullandığı exe dosyasını Windows Güvenlik Duvarına Güvenilir olarak kaydeder.

Merond’a Virüsünün E-Posta ile yayılması ;

Meronda virüsü bilgisayarından sizde kayıtlı kişilere aşağıdaki dosya
yapılarında otomatik olarak virüslü dosya gönderebilir.

txt
htm
shtl
php
asp
dbx
dbh
wab

E-posta ile yayılımında ençok aşağıdaki isimleri kullanmaktadır.

admin
icrosoft
support
ntivi
unix
bsd
linux
listserv
certific
Security
accoun
root
info
samples
postmaster
webmaster
noone
nobody
nothing
anyone
someone
your
you
me
bugs
rating
site
contact
soft
no
somebody
privacy
service
help
not
submit
feste
ca
gold-certs
the.bat
page
berkeley
math
mit.e
gnu
fsf.
ibm.com
debian
kernel
fido
usenet
iana
ietf
rfc-ed
sendmail
arin.
sun.com
isi.e
isc.o
secur
acketst
pgp
apache
gimp
tanford.e
utgers.ed
mozilla
firefox
suse
redhat
sourceforge
slashdot
avp
syman
panda
avira
f-secure
sopho
www.ca.com
prevx
drweb
bitdefender
clamav
eset.com
ikarus
mcafee
kaspersky
virusbuster
icrosof
msn.
borlan
inpris
lavasoft
jgsoft
ghisler.com
wireshark
acdnet.com
acdsystems.com
acd-group
bpsoft.com
buyrar.com
bluewin.ch
quebecor.com
alcatel-lucent.com
example
mydomai
nodomai
ruslis
.gov
gov.
.mil
messagelabs
honeynet
honeypot
idefense
qualys
spm
spam
www
abuse
.co

Örnek Gönderdiği mesajdan ekran görüntüsü ;

Merond’a Virüsünün P2P üzerinden Yayılım ;

Genellik dosya paylaşım ağlarında aşağıdaki isimler sahte dosyaların ile kendini yaymaya devam eder.

Merond’a virüsü USB Flash Disklerde Yayılımı ;

Merond’a virüsü usb flash disklere, bellek kartlara, kısaca hafıza özelliği olan tüm disklere bulaşabilmektedir.

Genellikle redmond.exe ismi ile kendini kopyalar.

Disk’in ana klasöründeki autorun.inf bozarak müdahale eder ve usb disk takıldığı zaman redmond.exe çalıştırarak kendini sisteme bulaştırır.

Merond’a Virüsünü Temizle ;

Eğer bilgisayarınızda Merond’a virüsünün olduğundan süpheleniyorsanız veya antivirüs programınız buluyor hata veriyor silemiyorsa ;

1. Görev Yöneticisinden Virüsün Çalışan Dosyasını Kapatın.(Görev Yöneticisi : CTRL+ALT+DEL) 
2. Merond virüsünün bulaştığı e-posta, p2p veya dosyayı silin.
3. Aşağıdaki Kayıt Defteri Kayıtlarını Silin: (Çalıştır’a regedit yazın) 
   [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   “Kaspersky Email Security” = “%System%\javaupd.exe”
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
   “Java update” = “%System%\javaqs.exe”
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   “Java update” = “%System%\javaqs.exe”
   [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{1A2K5H58-65CP-B7PP-F600-
   3023OJX71M20}]
   “StubPath” = “%System%\javaqs.exe”
4. Windows Sistem Altındaki Merond’a ait virüslü dosyaları silin :

   %System%\javaupd.exe
   %System%\javaqs.exe

5. Bilgisayarınıda kullandığınız USB Flash Diskleriniz, Bellek Kartlarınızdaki aşağıdaki isimli virüslü dosyaları silin:

   <disk>:\autorun.inf
   <disk>:\redmond.exe

6. Bu işlemleri yaptıktan sonra güncel bir antivirüs programı ile tarama yapın.Virüs temizleyebilirsiniz.

Hüseyin Cenkut ÖZKAN

ARP nedir ? Address Resolution Protocol ( Adres Çözümleme Protokolü)

Bilgisayarların ağ üzerinde haberleşebilmeleri için birbirlerinin macid adreslerini bilmeleri gerekir.Adres çözme işlemi modemin ip adresinden macid adresinin bulunup eşleştirilmesine denir. Yani sizin bilgisayarınız ağda diğer bilgisayar veya modemi bulmak için ip ve macid adreslerini Yerel Ağda Yayınlar bu işleme ARP “Local Broadcast” denir.

Arp Zehirlenmesi Nedir ?

Virüsler burada devreye girip sizin modem macid ve ip adresini kendi sunucusunun üzerinden veya virüslü bilgisayar üzerinden çıkartır. Böylece virüs sizin bilgilerini bir süzgeçten geçirerek şifre ve değerli kişisel bilgilerinizi eler bunları kötü niyetli kişilere ulaştırır.

Arp Temizle İşlemi Nasıl Yapılır ?

Aslında kesin çözüm değildir.Çünkü sürekli ARP zehirleyebilmek mümkündür.CommandLine satırın aşağıdaki komutlar ile ARP sıfırlayabilir yada ARP siz tanımlayabilirsiniz.

arp -a (enter)     | Ağınızdaki İP adreslerinin MACID adreslerini tablo halinde görürsünüz |

arp -s [MODEM MACID ADRESİ] (enter)      | Böylece MODEMinizin Macidsini tanıtınız bilgisayarı açıp kapatana kadar bu kayıt durur.|

arp -d   (enter)  |Tüm kayıtlı ARP listesini temizler ve yeniden ARPları talep eder.Yani Yerel Ağınızda Yayın yapar. Local Broadcast |

komutlar ile ARP kontrol edebilirsiniz. Fakat kesin çözüm bilgisayar ve bilgisayarlarınızdaki virüsleri temizleyerek çözülür.ARP kontrol eden yazılımlar vardır fakat ağınızdaki bir arp zehirleyen virüs varsa program sadece uyarı veririp durur.

ARP Virüslerini temizlemek için Ağ Bağlantınızı kesip, bilgisayarlarını güvenli modda güncel antivirüs programınıza veya o virüsün Removal Tool ile taratıp silebilirsiniz. Bazı virüsler Sistem Geri Yükleme Noktalarına bulaşmaktadırlar.O yüzden Bilgisayarım’a sağ tuş ile tıklayıp açılan pencerede Sistem Geri Yükleme Özelliğini devre dışı bırakıp taratırsanız daha etkili olmaktadır.

Kurtulmak için;

1- Sistem Geri Yüklemeyi Kapatınız. ( Bilgisayarım – sağ tuş özellikler

2-Ağ ve İnternet Bağlantınızı Kapatınız.

3-Bilgisayarını Güvenli Modda Açık Aşağıdaki FixNetsky çalıştırıp tarama yapınız

Worm NetSky Virüsü Temizleyici Araçı İndirmek için tıklayınız.

Bilgisayarınızı Güvenlik Modda açın ve Ağ, İnternet Bağlantılarını kapatın.Komple tüm disklerinizi taratın ve Bagle virüsünden kurtulun.
Worm Bagle Virüsü Temizleme için Removal Tool tıklayıp indirin.

Flash diskinize tıkladığınız zaman Birlikte AÇ çıkıyor USB diskimi kullanamıyorum ?

Memory kartım ceptelefonumda çalışmıyor ?

MP3 deki müzikleri dinleyemiyorum ? Hata veriyor ?

Flash diskinize yada Bellek Kartınıza içine giremiyorsunuz Birlikte Aç Çıkıyorsa ?

Bilgisayarım içinde Flash disk iniz tıkladığınız zaman bilinmeyen dosya türlerini çalıştırma uygulaması “birlikte aç” çalışır. Bu durumda geçici olarak dosyalarınıza ulaşmak için Adres çubuğuna flash diskinizin alfabetik verilen adresini yazınız.Birkaç örnek C: , D: , E: , F: , G: ,H: bunlardan birisi sizin flash diskinizin yada bellek kartınızın alfabetik adresidir. Bu adresi (C:) adres çubuğuna yazıp git tıkladığınızda flash disk içine girebilirsiniz.

Kurtulmanın Yolu : “USB Disk Security V5″ Portable çalıştırın. “USB Tools” sekmesindeki “Acquire Immunity” tıklayın bilgisayarınızdaki takılı Flash disklerdeki Autorun sorunu otomatik olarak gidersin.Sonra Flash disk biçimlendirip kullanabilirsiniz.

USB Disk Security V5 Portable indirmek için tıklayınız.

USB Disk Security hakkında Detay;
Bu program sürekli çalışarak sağ alt tarafa bir ikon ekler.Çalışma mantığı taktığınız USB diskleri otomatik olarak kontrol eder eğer Autorun virüsü varsa tespit edip silmenize olanak sağlar.Fakat usb aygıtlar sürekli taradığı için bazı notebooklardaki ve masaüstü bilgisayarlardaki USB Wireless’ler çakışmak ve internet bağlantısını sağlayamamaktadır. Eğer bilgisayarınızda böyle bir USB Wifi yok ise rahatlıkla kullanabilirsiniz.USB aygıt bulduğu virüsleri Delete All diyerek temizler.Virüs tespit ettiği zaman bilgisayarınıza kurulu olan antivirüs te aynı virüs tespit fakat antivirüs ignore yada yoksay işaretleyiniz USB disk securtiy ile virüsü temizleyiniz.USB Disk Security sürekli çalışması için Başlat Programlar Başlangıç içine kopyalayın. Bilgisayarınız her açıldığında otomatik olarak çalışacaktır.Böylece taktığnız flashlardaki autorun virüsler bilgisayarınıza bulaşmaz.Fakat standart bir yapısı olduğu için worm tabanlı virüsleri engellemez ve tanımaz.

Flash diskinizde attığınız dosyaları kayboluyorsa ve bu dosyaların yedeği yoksa silmemeniz gerekiyorsa ;

Herhangi bir klasör açın ve Araçlar menüsünden Klasör Seçeneklerine girin
Açılan Klasör Seçeneklerinden Görünüm Sekmesine geçin

“Gizli Dosyaları Gösterme” ve “Korunan İşletim Sistemi Dosyalarınız Gizle” yazan satırlardaki işaretleri kaldırın

Uygulama Tamam Diyerek pencereyi kapatın.Flashdiskinizdeki verilere ulaşabileceksiniz.Fakat hemen yedek alıp bilgisayarınıza flashdiskinizi biçimlendirin.

MP3 Çalarınızdaki yada Dijital Fotoğraf Kameranızdaki Memory kartları bilgisayarınıza taktığınız zaman autorun virüsleri bulaşabilir.Bu virüsler Mp3 Çalarınıza, Cep Telefonunuza veya Dijital Fotoğraf Makinenizin bellek kartlarına (memory card) bilgisayar virüsleri bulaşabilir.

Peki bellek kartlara bulaşan virüsler MP3 Çalar, Cep Telefonu, Dijital Fotoğraf Makinesi gibi ürünlerde bellek kartı görmemeye yada varolan verileri okumamaya başlar.

Bu sorunu çözmenin tek yolu bellek kartınız yada Flash Diskiniz biçimlendirmektir. Antivirüs flash diskleri temizlese bile bozulan dosya yapısını biçimlendirmeden başka bir alternatif kurtaramaz.
Hüseyin Cenkut Özkan

Ücretli antivirüs firmalarına savaş açmadım tabiiki fakat ücretsiz bedava anti virüs firmaları yeni virüsleri daha doğrusu virüs veri tabanlarınıçok güncel tutuyorlar.Tabii ki virüs tespit etmek yetmiyor iyi bir yazılım mühendisliğiyle virüsten kurtulmanız gerekiyor ki bu da epey zor. Çünkü ücretsiz antivirüs programlarının yegane problemide virüs tespit ettikten sonra başlıyor.

Peki kullanıcılar ne yapmalı ki hem yeni virüslerden korunmalı hemde tespit edilen virüslerden kurtulabilmeli ?

1- Kesinlik ücretli fakat çok pahalı olan iyidir anlamında değil size uygun bir antivirüs satın almanız.Ençok karşılaşılan soruda budur aslında. internet security güçlü eposta koruması.Eğer kişisel kullanıma yönelik bir bilgisayarınız varsa internet security almanıza gereksiz. Yada çok detaylı anti özellikleri bol ve pahalı bir yazılım fazla olur. Standart bir antivirüs satın alın.
2-Windows XP yada Windows Vista kullanıyorsunuz. Peki bilgisayarınızdaki işletim sistemi lisanslı olmalıdır. Çünkü güncelleştirmeleri yapabilmeniz için lisans gerekiyor. Şimdi bazılarınız crack’i var diyecek ama o crackleri kesinlikle tercih etmeyin. Çünkü o crackler hem windows sorun çıkartıyor hemde içeriğinde bilinmeyen virüsler barındırıyor.Yani bu durumda kesinlik lisanslı windows kullanıp her hafta güncellemelerini yapmalısınız.

3-Antivirüs var fakat yeterli değil şimdi size Microsoft çok başarlı bulduğum Malicious Software Removal Tool izah edeyim. Şimdi diyeceksiniz ya zaten bir sürü bu tip malware yazılımlar var. Fakat bu ürünün özelliği windows sistem yapısını çok fazla adapte olması ki microsoft tarafında yapıldığı için çünkü diğer malware tarzı yazılımlarda geniş bir veri tabanı gereksinim mevcut ve tespit sonrası silebilme oranları hemen hemen aynı fakat microsoft bu ürünü daha etkili çünkü windows kapalı kaynak kod bir yazılım.Bu yüzden bazı yazılımsal konuları antivirüs ve malware firmaları bilgisi dışındadır.

Gelelim Malicious Software Removal Tool

Şüpheli Yazılımlar Temizleme Aracı olarak Türkçeye çevrilen bu program bir worm virus trojan tarayan ağırlıklı olarak yeni virüsleri tespit eden bir yazılım çok basit bir kullanımı mevcut direk tarama yapıyor sürekli çalışmıyor.Satın aldığınız anti virüs yazılımına alternatif bir program…

1. Eğer ağ bağlantınız veya internet bağlantınız varsa bağlantılarınızı kapatın.Dosya paylaşımlarınızı ister kapatın ister şifre korumalı hale getirin yada sadece Okuma özelliğinde bırakın.Çünkü bu tarz virüsler temizleyebilmek için paylaşılan klasörleri ve ağdaki bağlantılarını kapatınız.

2. Bilgisayar Fix Schoeberl Haxdoor indirin.

3.Bu  virüsü temizlemek için Fix Schoeberl Haxdoor.exe tıklayıp çalıştırın.

4.Kesin temizlik için Güvenlik Modda bilgisayarınızı açınız.

5.Tüm sabit diskinizi taratın ve virüs temizlendiğinden emin olun.

6.Genelde bu virüsler sistem geri yüklemesini kapatıyor ve engelliyor. Eğer virüs silindiyse sistem geri yükleme tekrar aktif hale gelir.

7.Windows’unuzu Güncelleyin ve Güncel bir antivirüs programı yükleyin.

Peki Fix Schoeberl Haxdoor.exe Neler Yapıyor ?

• Tüm Dosyaları tarar.
• Bulaştığı dosyaları arındırır.
• Virüsleri Siler.
• Görev yöneticisinde çalışan zararlıları exeler devre dışı yapar.
• Kayıt defterine eklenen virüs kaynaklı kayıtları siler.

2.Bilgisayarınıza Xrupter Removal Tool indirin (fixXrupter.exe)

3.Xrupter virüsünü temizlemek için FixXrupter.exe tıklayıp çalıştırın.

4.Kesin temizlik için Güvenlik Modda bilgisayarınızı açınız.

5.Tüm sabit diskinizi taratın ve virüs temizlendiğinden emin olun.

6.Xrupter virüsü sistem geri yüklemesini kapatıyor ve engelliyor. Eğer virüs silindiyse sistem geri yükleme tekrar aktif hale gelir.

7.Windows’unuzu Güncelleyin ve Güncel bir antivirüs programı yükleyin.

Peki FixXrupter.exe Neler Yapıyor ?

• Tüm Dosyaları tarar.
• Virüsleri Siler.
• Bulaşığı dosyaları temizler.
• Görev yöneticisinde çalışan zararlıları kapatır.
• Kayıt defterine eklenen virüslü kayıtları siler.

Windows 7 – Windows Firewall

Güvenlik açısından bakarsak Windows 7 kesinlikle değiştirilmiş, yani Güvenlik Duvarı basit indirgenmemiş. Sanki ayrı bir güvenlik duvarı gibi çalışmakta ve yeni birçok özelliği mevcut.Bunlar işlevsel olanı Windows Firewall Advanced Security bu bölüm sayesinde Güvenlik Duvarınıza yeni kurallar oluşturup bunları takip edebiliyorsunuz.Örneğin oluşturduğunuz bir kural kontrol edebiliyor bu kuralın içeriye giren verilere etkisini dışarıya çıkan veri paketlerine etkilerini görebiliyorsunuz.Değişen ana özelliklerden biriside Güvenlik Duvarını kapatma seçenekleri ister İnternet Bağlantınızdaki güvenlik duvarını kapatıyorsunuz istersenizde yerel ağ bağlantınızdaki güvenlik duvarını devre dışı bırakabiliyorsunuz.Bu özellikle ile yerel ağdan kullandığınız yazılımlarda engellemeye dönük bir hata ile karşılamayacağınız düşünüyorum.Güvenlik Duvarı hatırlayacağınız gibi windows server 2003 teki yapıya benzer bir sistem kullanılmış.

Windows 7 – Action Center

Birçok kişinin kullanırken dönük bakmayacağı gereksiz gibi görünen Windows 7 Action Center (Yönetim Hareket Merkezi) aslında birçok yazılımın çalışma durumunu denetlemektedir.Bir bakıma bakıcı olan bu yazılım sadece microsoft yazılımlarını değil Anti Virüsleri, Internet Güvenlik Ayarlarını, Ağ Güvenlik Duvarını, Spywarelerden korumayı, Windows Yedeklemeyi, Windows Güncellemeleri ve Kullanıcı Ayarlarını takip eden bir yazılımdır.İşin diğer garip yönü ise bunlarda oluşabilecek sorunları microsoft bildirmektedir.Yani aslında Bilgisayarınızın güvenlik üst kurulu gibi hizmet vermektedir.

Windows 7 – Parental Control & User Control

Ebebeyn kontrolu ve Kullanıcı Hesapları yönetim sistemi olarak birleşmesi ile beraber kullanımı daha basitleşmiş sadece bir internet filtresi değil, aynı zaman kullanım sürelerini hesaplayan bir planlama ajanda yazılımı gibi hareket etmektedir.
Hüseyin Cenkut Özkan

W32 Virut Virüs Temizleme Removal Tool indirin.

W32 Vampiro Virüsünü Temizlemek için indirin. (Removal Tool)

Dos Komutu

rmvalla.exe C:\ (enter)

W32 Valla 2048 Virüsünü Temizleme (Removal Tool) için indirin 

W32 Sality Virüsü Temizleme (Removal Tool) indirmek için tıklayın

W32 Prepender Virüsü Temizleme (Removal Tool)

W32 Parite Virüsü Temizleme (Removal Tool)

W32 Magistr Virüsü Temizleme (Removal Tool) 

rmkriz.exe C:\

W32 Kriz Virüsü Temizleme (Removal Tool)

DOS Komutları

rmgael.exe C:\ (enter)

bu komutun sonunda ki C yerinde diğer hardisk parçalarını yazarak taratabilirsiniz.

W32 Gaelicum Virüsü Temizleme (Removal Tool)

DOS Komutları

rmelkern.exe C:\ (enter)

bu komutun sonunda ki C yerinde diğer hardisk parçalarını yazarak taratabilirsiniz.

W32 Elkern Virüsü Temizleme (Removal Tool)

DOS Komutları

rmdptor.exe C:\ (enter)

bu komutun sonunda ki C yerinde diğer hardisk parçalarını yazarak taratabilirsiniz.

 W32 Dupator Virüs Temizleme (Removal Tool)

Win32 Delf Virüsü Temizleme (Removal Tool)

MSDOS için Örnek Komutlar ;

rmspaces.exe C:\ (enter) 

diğer hardisk parçalarını taratmak için C,D,E yazarak yapabilirsiniz.

W95 Space 1445 Virüs Temizleme (Removal Tool)

Removal Tool indirmek için tıklayın 

BackDoor Generic3 SVX Virüsü Temizleme (Removal Tool)

Internet Worm Verona Virüsü Temizleme (Removal Tool)

Internet Worm Swen Virüsü Temizleme (Removal Tool)

Internet Worm Sircam Virüsü Temizleme (Removal Tool)

Internet Worm Pretty Park Virüsü Temizleme (Removal Tool)

Internet Worm Nimda Virüsü Temizleme (Removal Tool)

Internet Worm Navidad Virüsü Temizleme Removal Tool

Internet Worm Mydoom Virus Temizleme (Removal Tool)

Internet Worm Luder Virüsü Temizlemek için indirin…

 Internet Worm Love Gate Virüsü Temizleme

Internet Worm Happy99 Virüs Temizleme (Removal Tool)

Hüseyin Cenkut ÖZKAN

İndirmek için :

Internet Worm Ganda Virüsü Temizleme

Hüseyin Cenkut ÖZKAN

İndirmek için Internet Worm Bugbear Virus Removal Tool

Hüseyin Cenkut Özkan

Downloader Stubby Removal Tool

hemen AVG Conficker Remover indirip tarama yapın.Virüsü temizleyin.Bilgisayarınız birkaç defa açıp kapatıp tarama işlemini uygulayın eğer tarama yapamazsanız güvenlik kipte çalıştırıp tarama yapmayı deneyiniz. Conficker removal tool ile conficker virüsünden kurtulabilirisiniz.Ama kesin çözüm Windows Update yapmaktır.Mutlaka Windows güncell tutunuz..

Conficker Removal Tool

Hüseyin Cenkut ÖZKAN

BOTNET
Evet bütün bunlar BOT denilen zombie olarak tabir edilen binlerce bilgisayarı aynı anda kontrol eden hackerların kurduğu bir sanal ağdır. Peki bu konuda Türkiye’nin birinci sırada olduğunu biliyormuydunuz ? Web üzerinden yada IRC üzerinden kontrol edilen bu botlar genellikle C dilinde yazılıyor ve internette yüzlerce örneği var.Bunların imzalarını değişitirip cryto ile antivirüsü alt edebiliyorlar…

Anti virüs programları yakalayamıyor ! Sadece bilgisayarınızı yada internet bağlantını kullanmıyorlar sizin sayenizde arkadaşlarınıza da bulaşarak büyüyorlar…

Dikkat edilmesi gereken önemli konular :

*MSN gelen bu senin resminmi www,,xxx,com adreslere tıklamayın
*Eposta adresinize gelen içi boş ekli dosyaları açmayın içinde mypictures yada pictures yada resimler yazabilir.
*Şüphelendiğiniz dosyalara tıklamayın virscan.org sitesinde taratın eğer bir şey bulmazsa güvenilirdir.

Hüseyin Cenkut ÖZKAN

Windows\System32\Driver\Etc içinde Hosts dosyasında boş ise # ile başlayan satırlar kapalı anlamına geliyor eğer # ile başlamayan ve 127.0.0.1 www.google.com veya www.paypal.com gibi adres yazıyorsa sizi şifrelerini ve aramalarını kontol ediyorlar demektir.

Hosts dosyasını kontrol edin. Bilhassa yeni bir program kurduğunuz zaman…

Genellikle rapidshare paypal tarzı şifreleri çalmak için çok kullanılan bir yöntemdir.Bir program kurduğunuz yada şüphelendiğiniz zaman Windows\System32\Driver\Etc içinde hosts açıp kontrol ediniz.

Hüseyin Cenkut ÖZKAN

Firefox kullanıcılarını etkilen bu olay epey ciddiye alınması gerekiyor.Çünkü Firefox güncelleştirmeye çıkarttığınız
zaman bilgisayarınızı başka bir siteye yönlendiriliyor.

Güvenli şekilde Firefox güncellebilirsiniz mesajını alıyorsunuz fakat size yönlendirdiği sayfa URL si farklı o yüzden Firefox web üzerinde güncelleme yapmayınız.

Kısa bir süre içinde bu sorun düzelir, tavsiyemiz en güncel versiyonu kendi orjinal sitesinden indirerek yüklemeniz.

Hüseyin Cenkut ÖZKAN

%WinDir%\system\svhost.exe

klasörüne svhost.exe olarak kopyalar. (%WinDir% çalıştıra yazarsanız Windows klasörünüz açacaktır.)

Sistem açıldığı zamanda kendini Kayıt Defterinde

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
“WSVCHO” = “%WinDir%\system\svhost.exe”

yukarıdaki satıra ekler.

Windows Güvenlik Duvarını kandırmak için aşağıdaki isimlerde kendini çalışır halde gösterir.

avesvc.exe
ashdisp.exe
avgrsx.exe
bdss.exe
spider.exe
avp.exe
nod32krn.exe
cclaw.exe
dvpapi.exe
ewidoctrl.exe
mcshield.exe
pavfires.exe
almon.exe
ccapp.exe
pccntmon.exe
fssm32.exe
issvc.exe
vsmon.exe
cpf.exe
ca.exe
tnbutil.exe
avp.exe
mpfservice.exe
npfmsg.exe
outpost.exe
tpsrv.exe
pavfires.exe
kpf4ss.exe
persfw.exe
vsserv.exe
smc.exe

Yukarıdaki listede kendini kopyaladığı exe'ler aslında aşağıdaki antivirüslerin çalışan exeleridir.

Böylece antivirüsleri windows güvenlik duvarı sayesinde kapatmış olur.

AntiVir
Avast Antivirus
AVG Antivirus
BitDefender
Dr.Web
Kaspersky Antivirus
Nod32
Norman
Authentium Antivirus
Ewido Security Suite
McAfee VirusScan
Panda Antivirus/Firewall
Sophos
Symantec/Norton
PC-cillin Antivirus
F-Secure
Norton Personal Firewall
ZoneAlarm
Comodo Firewall
eTrust EZ Firewall
F-Secure Internet Security
Kaspersky Antihacker
McAfee Personal Firewall
Norman Personal Firewall
Outpost Personal Firewall
Panda Internet Seciruty Suite
Panda Anti-Virus/Firewall
Kerio Personal Firewall
Tiny Personal Firewall
BitDefender / Bull Guard Antivirus
Sygate Personal Firewall

Genellikle internet explorer ve mozilla firefox şifrelerini hedef almaktadır.Bunlarında haricinde

Trillian
Miranda
Yahoo Messenger
MySpace IM
Gaim

şifrelerini çalarak sahibine iletir.

Trojan Dropper Agent albv virüsünün diğer özellikleride

Belirli sürelerde resim çekerek sizi yaptıklarınız arşivler ve keylogger özelliğiyle
yazışmalarını kaydeder.
Autorun özelliği ile USB disklere kendini kopyalar genellikle wlan.exe ismini kullanır.

Trojan Dropper Agent albv virüsünü temizlemek için

1. Görev yöneticisini açın ve çalışan virüslü programı sonlandırın.
2. Trojanın orjinal attığı dosyaları temizleyin ve kopyalarında kurtulun.
3. Kayıt Defterine attığı kaydı silin.
4. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   “WSVCHO” = “%WinDir%\system\svhost.exe”
5. Windows klasörün içinde ki system klasöründe svchost.exe silin
   %WinDir%\system\svhost.exe
6. Temp Klasörünü boşaltın. (%Temp% çalıştıra yazarsanız direk açılır)
7. USB Disklerinizde aşağıdaki isimli dosyaları silin.
   <autorun.inf
   wlan.exe,
8. Güncel bir antivirüs indirip kurun ve windows güncelleyin.Hüseyin Cenkut ÖZKAN

Oluşturduğu Klasörler

%System%\<rnd>dir.dll
%Program Files%\Internet Explorer\<rnd>.dll
%Program Files%\Movie Maker\<rnd>.dll
%All Users Application Data%\<rnd>.dll
%Temp%\<rnd>.dll
%System%\<rnd>tmp
%Temp%\<rnd>.tmp

 Registery Eklediği Anahtarlar

[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
“netsvcs” = “<original value> %System%\<rnd>.dll”

TEMİZLEMEK İÇİN

Registery eklediği anahtarı silin (bkz : Registery Açmak için Calıştır’a regedit yazın)

[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs] Sistem Registery’sinin içinde bulunan  “%System%\<rnd>.dll” anahtarı silin.
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost] “netsvcs”Bilgisayarı Yeniden Başlatın.
Ağınızdaki tüm bilgisayarlarda aynı anda yapın.
Aşağıdaki dosyalardaki virüsleri silin:
%System%\<örnek>dir.dll %Program Files%\Internet Explorer\<örnek>.dll  %Program Files%\Movie Maker\<örnek>.dll  %All Users Application Data%\<örnek>.dll  %Temp%\<örnek>.dll  %System%\<örnek>tmp  %Temp%\<örnek>.tmp<örnek> her bilgisayar göre farklılık gösterir.

USB Disklerde ki virüsleri silin veya biçimlendirin :
<USB DİSK>:\autorun.inf <USB DİSK>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<örnek>.vmx, Ve Son olarak Microsoft MS08-67 Güncellemesini mutlaka yükleyin:
 http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx

H. Cenkut ÖZKAN

Kopyaladığı dosyalardan bazıları
%UserProfile%\My Documents\database.mdb (%UserProfile% = C:\Documents and Settings\[KULLANICIADINIZ] klasörünü ifade eder)
%Windir%\:Microsoft Office Update for Windows XP.sys (%WinDir% = C:\Windows klasörünü ifade eder)
%UserProfile%\Local Settings\Temp\v.doc (%UserProfile% = C:\Documents and Settings\[KULLANICIADINIZ] klasörünü ifade eder)

KAYIT DEFTERİ’ne aşağıdaki kayıtları ekler;

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run “Explorer” = “Wscript.exe //e:VBScript
“%UserProfile%\My Documents\database.mdb”"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run “WinUpdate” = “Wscript.exe //e:VBScript
“%Windir%\:Microsoft Office Update for Windows XP.sys”" HKEY_CURRENT_USER\Software

Aynı zaman da birçok klasöre ve diske thumb.db isimli dosyayı kopyalar.Aşağıda listesi bulunan kısayolları dosyaların içine ekler.
Microsoft.lnk
New Harry Potter and….lnk
New Folder.lnk
SuratQ.lnk
Rahasia.lnk
Game.lnk
Zvnita.lnk
Download.lnk
DataQ.lnk
[altdizin ismi].lnk

Dökümanları dosyalarının bulunduğu klasöre ve klasörlere aşağıdakileri kopyalar;

Baca AQ.rtf
My name is Yuyun.rtf

Kurtulmak için Regedit’teki kayıtlarını silin ve gpedit.msc üzerinden Autorun Kapatınız, msconfig üzerinden bilgisayar başlangıçında bilmediğiniz yazılımları kaldırınız …

Örnek Ekran Görüntüsü

KAYIT DEFTERİNE’ girdiği kayıtlar (Registery- Regedit) (bkz: Çalıştır’a Regedit yazın)

HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\VerStr: “1.0.2.8″ HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\VerInt: 0×00000001 HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\Cnt: “PE” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\Lng: “ch” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\UnInsAct: 0×00000023 HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\MAbbr: “ANT” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\Type: “exe” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\FoundCount: 0×0000002B HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\FoundInfo HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\PID: “1AB6B0E7B6E0B7B1E2B1BDE8BCBABFE8BAF6A0F0F0F0F7A7F3A8FDA9AAAAAAA6″ HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\FirstRun: 0×00000000 HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\Root: “C:\Program Files\Antivirus 2008″ HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\ExeFileName: “Antvrs.exe” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\TIns HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\: “AutoStart-done” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\aid: “keyin” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\affid: “keyin” HKEY_LOCAL_MACHINE\SOFTWARE\Antivirus\lid: “keyin” HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Antivirus: “C:\Program Files\Antivirus 2008\Antvrs.exe” HKEY_CURRENT_USER\Software\Antivirus\VerStr: “1.0.2.8″ HKEY_CURRENT_USER\Software\Antivirus\VerInt: 0×00000001 HKEY_CURRENT_USER\Software\Antivirus\Cnt: “PE” HKEY_CURRENT_USER\Software\Antivirus\Lng: “ch” HKEY_CURRENT_USER\Software\Antivirus\UnInsAct: 0×00000023 HKEY_CURRENT_USER\Software\Antivirus\MAbbr: “ANT” HKEY_CURRENT_USER\Software\Antivirus\Type: “exe” HKEY_CURRENT_USER\Software\Antivirus\FoundCount: 0×0000002B HKEY_CURRENT_USER\Software\Antivirus\FoundInfo HKEY_CURRENT_USER\Software\Antivirus\PID: “1AB6B0E7B6E0B7B1E2B1BDE8BCBABFE8BAF6A0F0F0F0F7A7F3A8FDA9AAAAAAA6″ HKEY_CURRENT_USER\Software\Antivirus\FirstRun: 0×00000000 HKEY_CURRENT_USER\Software\Antivirus\Root: “C:\Program Files\Antivirus 2008″ HKEY_CURRENT_USER\Software\Antivirus\ExeFileName: “Antvrs.exe” HKEY_CURRENT_USER\Software\Antivirus\TIns HKEY_CURRENT_USER\Software\Antivirus\: “AutoStart-done” HKEY_CURRENT_USER\Software\Antivirus\aid: “keyin” HKEY_CURRENT_USER\Software\Antivirus\affid: “keyin” HKEY_CURRENT_USER\Software\Antivirus\lid: “keyin”

Bilgisayarınıza eklediği Dosyalar (%DOCSETTINGS% : Documents And Setting , %PROGRAMFILES%: Program Files klasörünü ifade etmektedir.)
%DOCSETTINGS%\Start Menu\Antivirus\Antivirus 2008.lnk
%DOCSETTINGS%\Start Menu\Antivirus\Uninstall Antivirus.lnk
%PROGRAMFILES%\Antivirus 2008\Antvrs.exe

Birçok antivirüs yazılımı tarafında tespit edilmesine rağmen bulaştığı sisteme Güvenlik Mod’da antivirüs kurulumu ile çözüm bulunabilir.Tüm tarama ve temizleme işlemlerinizi Güvenlik Mod’da yapabilirsiniz

Genel olarak IRC Chat, P2P Limewire ve BearShare gibi Yazılımlar, Posta Grupları ve E-Postalar aracılığıyla bulaşır.BackDoor-DNM Trojanı ama bilgisayarını kontrol altına almaktır.
Sistem32 Klasörünün altına “CbEvtSvc.exe” olarak yerleşir.

KAYIT DEFTERİ’ne yaptığı kayıtlar (Registery-Regedit) (bkz: Çalıştır’a regedit yazın )

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Enum HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Security HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC “NextInstance” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “Class”
 Data: LegacyDriver HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “ClassGUID”
 Data: {8ECC055D-047F-11D1-A537-0000F8753ED1} HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “ConfigFlags” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “DeviceDesc”
 Data: CbEvtSvc HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “Legacy” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000 “Service” Data: CbEvtSvc HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000\Control “*NewlyCreated*” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000\Control “ActiveService”
 Data: CbEvtSvc HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “DisplayName”
 Data: CbEvtSvc HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “ErrorControl” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “ImagePath”
 Data: %SystemRoot%\System32\CbEvtSvc.exe -k netsvcs HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “ObjectName” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “Opt” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “Start” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc “Type” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum “0″
 Data: Root\LEGACY_CBEVTSVC\0000 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum “Count” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum “NextInstance” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet

BackDoor-DNM Bulaştıktan yaklaşık 10-30 dakika arasında aşağıdaki sitelerden Dailer ve Malware tarzı zararlıları bilgisayarınıza bulaştırır.
htxp://digitaltreath.info/a.exe
htxp://207.10.234.217/ldrctl/user/2.exe
htxp://digitaltreath.info/d.exe

BackDoor-DNM Diğer isimleri :

Trojan-Downloader.Win32.Agent.ljx – Trojan-Downloader.Win32.Agent.ljx – Win32/Agent.ETH – WORM_NUCRP.GEN

Hüseyin Cenkut ÖZKAN

AMACI NEDİR ?
Şifre çalmayı amaçlayan bu virüs aynı zamanda Autorun.inf ile USB Disk’lerde kendini kopyalamaktadır.Böylece usb disk taktığınız anda Windows Otomatik açma özelliğiyle virüs direk bilgisayarınıza bulaşmaktadır.Autorun Özelliğini kapatma yöntemini görmek için sitemizdeki diğer konulara bakabilirsiniz.(AUTORUN KAPAT!)
tavo0.dll dosyası ile bilgisayarınızda oynadığınız online oyunların Kullanıcı adı ve Şifrelerini Gamania bulaştıran SALDIRGAN’a gönderdiği gelen bilgiler arasındadır.
Gamania Virüsünün kendini kopyaladığı bazı yerler ;

%windir%\system32\tavo.exe
%windir%\system32\tavo0.dll
%temp%\lawb.dll

Gamania Virüsünün farklı varyasyonlarında ise aşağıdaki klasörlerde bulunabilirler
Windows Klasörü : %windir% , Sistem Diski : %systemdrive% isimlendirilmiştir.Direk Çalıştır’a yazdığınızda bu dosyaları görebilirsiniz.
%windir%\system32\tavo.exe
%windir%\system32\tavo1.dll
%windir%\system32\kavo0.exe
%windir%\system32\kavo0.dll
%systemdrive%\l1.com
%systemdrive%\autorun.inf
%windir%\xmg.exe
%windir%\tt.exe
%windir%\rb.exe
%windir%\system32\mmvo.exe
%windir%\system32\mmvo0.dll
%windir%\system32\ckvo.exe
%windir%\system32\ckvo0.dll
Aynı zamanda Registery altına da kendini kopyalayan virüs aşağıdaki Regedit kayıtlarında bulunmaktadır.
HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Run “kava”
Data: %windir%\system32\kavo.exe HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Run “tava”
Data: %windir%\system32\tavo.exe

Görev yöneticisinde işlem yaptırdığı EXE’ler birkaçı ;

Kav.exe
Rav.exe
Avp.exe
Kavsvc.exe

GAMANİA Virüse AntiVirüs Programlarının Verdiği İsimler ;

PANDA AntiVirüs : Trj/Lineage.BZE
KasperSky AntiVirüs : Trojan.Win32.Vaklik.bkh
Microsoft Security : Trojan:Win32/Meredrop
Symantec Security : W32.Gammima.AG
Sophos AntiVirüs : W32/Autorun-CL

 
Hüseyin Cenkut ÖZKAN

Microsoft.BAT Kimlere Bulaşır ?
*Tüm kişisel bilgisayarlar
*İnternet Kafelere (Deep Freez olsa bile)
*Okulların Bilgisayar Labrotuarlarına
*Orta ölçekli birden fazla bilgisayara sahip şirketlere (Donanımsal Firewall olmayanlara)
*Windows XP SP1-SP2-SP3 kullanıcıları (Aynı Ağ içinde Windows Vista olan Bilgisayaralara müdehale etmez)

Microsoft.BAT Amacı Nedir?
*İnternette kişisel bilgileri çalmak
*Banka, E-Posta gibi şifreleri çalmak bunula beraber kullanıcıya zarar vermek

Microsoft.BAT Nasıl Yayılır ?
*Windows altında kendini çalışan bir servis olarak gösterir
*Autorun ile tüm sabit disk bölümlerine ve flashdisklere bulaşır
*ARP zehirleyerek İnternet Explorer Java Açığından tüm ağ bilgisayarlarına yayılır.

Microsoft.BAT Belirtileri
*İnternet Explorer penceresinde Bitti yerine sayfada hata var mesajı vermesi
*PC’lerde statik ip olsa bile IP çakışması vermesi
*Antivirüs varsa 225.25.65.25 gibi IP adreslerinden veya web sitelerinde trojan saldırısı uyarısı
*30 ila 60 dakika arasında tekrar eder ve böylece bilgisayarların internete ulaşmaları yavaşlar…(Çünkü virüs bilgileri sahibine göndermekle meşguldur)

Microsoft.BAT Kurtulmanın GEÇİCİ yöntemleri
*Anti-Virüs yüklemek (Güncelde olsa)
*Anti-ARP yüklemek
*ADSL WAN IP Dinamik yapmak (Statik IP kullanıyor iseniz değiştirmek)
*Modemi Sıfırlamak*Tüm bilgisayarlardaki ARP dos komutu ile statik yapmak ( arp –s ipno macid )
*Birçok reg,bat ve inf dosyasıyla virüsü durdurmak…

YUKARIDAKİ YÖNTEMLERDE SİZİ YA BİR SAAT YADA 1 GÜN KORUYABİLİR.

Microsoft.BAT Nasıl Kurtuluruz ?
En güzel çözüm hiçbir yedek almadan direk **FDİSK yaparak tüm bilgileri silmek ve internette bağlanmadan Flashdisk takmadan güvenilir CDler ile sistem kurmak gerekiyor… Tabii bir hafta sonra bulaşmaz diye garanti vermiyoruz.Ama en yakın zamanda AntiVirüsler bu derde bir çözüm bulacaklardır.

**FSDİK ATTIĞI HALDE VİRÜSTEN KURTULAMAYANLARA SÖYLEYELİM VİRÜS AUTORUNDA YAYILIYOR.FDİSK YADA LOWLEVEL FORMATLASANIZDA KULLANDIĞINI USBDİSKLERDE YADA KURDUĞUNUZ PROGRAMLARIN VARSA CRACKLARINDA VİRÜS VARSA BU SORUNLAR TEKRARLIYOR..

İNTERNET KAFE İŞLETEN ARKADAŞLARA ÖNEMLİ UYARI

1-BİLGİSAYARLARINIZI AĞ BAĞLANTISINI KESİN
2-KOMPLE TEMİZ OTOMOTİK OLMAYAN BİR XP CD DEN KURULUM YAPIN.TEMİZ OLDUĞUNDAN EMİN OLUNCA HARDİSK  KOPYALAMA İLE DİĞER BİLGİSAYARLARINIZA SİSTEMLERİ KLONLAYABİLİRSİNİZ.
3-ESET SYSRESCUE BOOTABLE SCANNER CD TAKIN
TARAMAYI BAŞLATIN TEK TEK TARATIN.
4- YİNE AĞ BAĞLANTISI KAPALI KALSIN.
5-TURK TELEKOMA BAŞVURUP SABİT İPNİZİ DEĞİŞTİRİN.
6-İNTERNETE BAĞLANIN.
BU VİRÜSTEN BU YÖNTEMLERLE 15 PC BİR İNTERNET KAFE KURTULDU.KESİN ÇÖZÜMDÜR. YİNEDE KURTULAMADIYSANIZ BENİM İRTİBATA GEÇİNİZ.

E-POSTA: cenkut@gmail.com

MSN: cenkut@cnk.gen.tr

Hüseyin Cenkut ÖZKAN

Şimdi bu virüsleri yok edebileceğiniz programlara ait linkeri veriyorum. İlk ikisi registry den bu virüslere ait dosyaları çıkarıyor.

Download ComboFix Download SDFix

Registry temizlendikten sonra alttaki ikisi ise virüsleri sisteminizden temizliyor.
AVG Alman Nab Remover Download KillFlash1.0

Hüseyin Cenkut ÖZKAN

Messenger listesindeki kişilerden gelen transfer aslında
dosya değil, bir İnternet linki. Çoğunlukla gelen link ve dosyalar “pif”
ve “scr” uzantılı oluyor.Yeni virüs tanım dosyalarında bu virüs,
Serflog.A, Kelvir.B, Fatso.A vb. isimlerle tespit ediliyor.

Virüsün bilgisayara bulaşmaması için bu
linke tıklanmaması, eğer tıklanmışsa dosyanın çalıştırılmaması
gerekiyor.
Temizleme Yöntemi
Antivirüs yazılımları
güncellenmeden virüs bulaşan PC’lerde artık otomatik güncelleme özelliği
çalışmayacağından, virüsün elle silinmesi gerekiyor. Eğer İnternet’ten bir
temizleme programı indirilip kullanılacaksa, MSN Messenger programının
çalışmadığına emin olunmalı.

Elle temizlemede izlenecek
yöntemler ise şunlar:

1. Bilgisayarınızı restart edip güvenli kipte açın (Açılış anında
tuşuna basarak güvenli kipi seçebilirsiniz.)
2. Başlat menüsünden “çalıştır” (run) sekmesini tıklayıp açılan pencereye
“regedit” yazarak enter’a basın.
3. Regedit programı içinde aşağıdaki alt anahtarları inceleyin ve bunlar
içinde virüsle ilgili eklenmiş yeni kayıtları silin:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
HKEY_CURRENT_USER\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
Yukarıdaki kayıtlar içinde “serpe”, “avnort”, “ltwob” gibi tanımlar var ise
sisteminiz virüsten etkilenmiş ve her açılışta kendisini tekrar çalıştırıyor
demektir. Bu tanımları silin.

4. “Bilgisayarım”ı açtıktan sonra
“araçlar”dan dizin seçenekleri menüsünü açın ve görüntü bölümündeki “gizli
dosyaları göster” seçeneğini seçin ve bilinen dosya tipleri için dosya
uzantısını gösterme seçeneğindeki işareti kaldırın. Böylelikle virüs’ün sistem
içinde gizli dosya olarak kopyalanmış türevlerini görebileceksiniz.

5. Aşağıdaki dizinlerde isimleri verilen dosyaları
bilgisayarınızdan silin.
C:\windows\system32\formatsys.exe
C:\windows\system32\serbw.exe
C:\windows\msmbw.exe
C:\Crazy frog
gets killed by train!.pif
C:\Annoying crazy frog getting killed.pif
C:\See my lesbian friends.pif
C:\LOL that ur pic!.pif
C:\My new
photo!.pif
C:\Me on holiday!.pif
C:\The Cat And The Fan piccy.pif
C:\How a Blonde Eats a Banana…pif
C:\Mona Lisa Wants Her Smile
Back.pif
C:\Topless in Mini Skirt! lol.pif
C:\Fat Elvis! lol.pif
C:\Jennifer Lopez.scr
C:\lspt.exe
C:\Documents and
Settings\\Local Settings\Application Data\Microsoft\CD
Burning\autorun.exe
C:\British National Party.jpg
C:\Crazy-Frog.Html
C:\Message to n00b LARISSA.txt

6.
C:\Windows\System32\Drivers\etc altındaki hosts dosyasını edit edin ve
64.233.167.104 veya benzeri IP adresleri için yeni tanımlanmış adres bilgilerini
silin.
Örnek içerik:
64.233.167.104 www.symantec.com
64.233.167.104
www.sophos.com
64.233.167.104 www.mcafee.com
64.233.167.104
www.viruslist.com
64.233.167.104 www.f-secure.com
64.233.167.104
www.avp.com
64.233.167.104 www.kaspersky.com

Bu vb. antivirüs
üreticilerinin adreslerini içeren satırların tümünü silin. Böylelikle antivirüs
yazılımınız yeni güncellemeleri indirebilir hale gelecektir.
Yukarıdaki
işlemlerden sonra bilgisayarınızı yeniden başlatıp antivirüs yazılımını
İnternet’e bağlanarak güncelleyin ve gözden kaçmış kalıntılar olabileceğini
düşünerek bilgisayarınızı virüs taramasından geçirin.

Etkilenen
SistemlerWindows 95, 98, ME, NT, 2000, XP
*Yukarıdaki Yazı alıntıdır.
*ÖNEMLİ NOT: MSN adresinize değil bilgisayarınıza bulaşır.MSN adresinize gönderilen bir mail yoluyla Hotmail hesabınız kitlenebilir.Ama bu virüs bilgisayar üzerindeki kayıtlı veya bulaştığı anda açık olan MSN adresleri üzerinden mesaj göndermektedir.MSN üzerinden mesaj göndererek web sayfası reklamı yapan veya yönlendirdiği web sayfasından virüs bulaştıran REKLAM BOT’lar veya mesaj içeriğinde dosya göndererek kullanıcıdan kullanıcıya yayılan virüs-trojanler mevcut.Şuan bunlardan kurtulmanın en kolay yolu güncel bir antivirüs kurmak.Ama Sisteme komple yayıldıysa yukarıdaki regedit ayarları ile kurtulmakta mümkün.
Unutmayın MSN’de tanıdığınız yada tanımadığınız kişilerden gelen web sayfası adresleri veya dosya gönderme talepleri için gönderen ile görüşmeden bir işlem yapmayınız.

H. Cenkut ÖZKAN