mstwain32.exe Adı altında bulaşan; Yeni nesil Türk Yapımı Güzel bir Trojan client'i dir. Ticari amaçlı yapılmıştır ve kötü amaçlarda kullanılmaktadır. Buradaki mstwain32.exe ismini yapımcı veya kullanıcı istediği zaman değişebilmektedir. örnek: aa.exe bb.exe gibi, mstwain32.exe ismi Trojan clientini oluşturan program ile standart olarak gelmektedir.
Bu makalemde sizlere mstwain32.exe adı altında bulaşan yeni nesil Keylogger / Trojan'ın tespit ve temizleme yönteminden bahsedeceğim Windows Görev yöneticisi işlemler kısmında gözükmez...
Konu ile alakalı hazırlamış olduğum diğer konulara aşağıdaki linkten ulaşabilirsiniz bu konuları da incelemenizi tavsiye ederim.
http://www.bilgineferi.com/forum/forum_posts.asp?TID=8373
Bu Keyloger / Trojan Bilgisayarınıza bulaşmış ise: Şifrelerinizin ve kişisel bilgilerinizin çalınması ile kullanılır. Aynı zamanda sizin haberiniz olmadan Trojan'ı yayan kişi bilgisayarınızı yönetebilir, kameradan görüntü alabilir, Mikrofondan ortam ses kaydını alabilir... vb işleri sizin haberiniz olmadan yapabilme yetkisine sahiptir
Dosyanın simgesi farklı olabilir
basit bir örnek verecek olursak gönderen kişi dosyanın simgesini "mp3" müzik dosyası gibi ayarlarlıyabilir içine de bir müzik dosyası gömüp bulaştırmak istediği kişiye gönderir ve dosyayı alan kişi müzik dinlemek için o dosyayı çalıştırdığında keyloger bulaşmış olur.
Not:
Bu tür durumlarda şüphe duyuyorsanız dosya uzantısını kontrol ediniz. Yukarıda bahsettiğim örnekteki mp3 dosyasının uzantısı .mp3 değil .exe dir. Ama .exe uzantılı bir dosyanın içerisine gömülmüştür.
Anti virüs yazılımlarına yakalanmamaktadır son zamanlarda kaspersky internetsecurity yazılımına “Backdoor.Win32.Turkojan.dgg” olarak yakalanmaktadır. Fakat yapımcı tarafından güncellemesi yapıldığı için anti virüs yazılımlarına yakalanmama ihtimali yüksektir. Şuan itibari ile anti virüs yazılımlarına yakalanmamaktadır.
Bazı Keylogger ve Trojan ler Windows Görev Yöneticisi - Çalışan İşlemler kısmında gözükmez.
Bunun için windows görev yöneticisi yerine Process explorer programını "Gelişmiş görev yöneticisini" kullanmanızı tavsiye ederim . Affı yoktur gizli olarak çalışan Keylogger veya Trojan varsa Process explorer ile konumunu tespit edip inceleyebilirsiniz.
Process explorer'i
aşağıdaki linkten indirebilirsiniz
http://www.bilgineferi.com/forum/forum_posts.asp?TID=7860
Process explorer Hakkında:
Process explorer programını çalıştırarak sistemde çalışan uygulamaların konumunu rahatlıkla tesbit edebilirsiniz.
Process explorer'i çalıştırdıktan sonra çalışan uygulmaların üzerine mause ile gelerek dosyanın konumumu tespit edebilir isterseniz sonlandırabilirsiniz.
Not :
mstwain32.exe adı altında bulaşan bu Trojan eğer pc nize bulaşmış ise aşağıda bahsettiğim yöntemi kullanarak tespit edip temizleye bilirsiniz. Bizzat tarafımdan test edilmiştir.
Görev yöneticisinden kendini gizlediği için dikkat çekmez bundan dolayı Processexplorer programı ile çalışan tüm işlemleri kontrol etmenizi tavsiye ederim.
Processexplorer dan çalışan işlemleri kontrol ederken system değil explorer.exe altında çalışan işlemleri inceleyiniz;
Bazı Trojan ve Keylogger lar sonlanmaz mstwain32.exe de bunlardan biridir ama sıkmayın canınızı yazının devamında bu engeli nasıl aşacağınız mevcuttur
Görüldüğü üzere C:\windows klasörüne mstwain32.exe adında trojan bu exe dosyasını buradan sonlandıramazsınız siz sonlandırdıkça tekrar geri gelirBunun için aşağıda anlatılan admıları dikkatlice uygulayınız.
Bulaştığı zaman
Xp, Windows 7 ve Vista da Standart olarak c:\windows klasörü içerisine mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında 4 dosya olarak bulaşır.
Dikkat: mstwain32.exe yi procces explorer görebilirsiniz fakat sonlandıramazsınız siz sonlandırdıkça o çalışır. C:\WINDOWS içerisinde mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt adı altında bulaşan dosyalarıda göremezsiniz sebebi ise mstwain32.exe çalıştığı anda bahsetmiş olduğum bu dosyaları ve registryde olan kaydını bu Trojan gizler bundan dolayı geri kalan işlemleri işletim sistemini güvenli modda açıp devam edeceğiz.
Xp, Windows 7 ve Vista işletim sistemlerinden Temizleme
Öncelikle işletim sisteminizi güvenli modda açınız Sonra C:\windows Klasörünü açınız Görüldüğü üzere gözükmeyen dosyalar güvenli modda açılan işletim sisteminde gözükmektedir kırmızı ile işaretledim
mstwain32.exe, cmsetac.dll, ntdtcstp.dll ve KB8888239.txt Dosyalarını silin
Sonra başlat çalıştıra regedit yazıp registry kayıt defterini açın.
Yazıları düzenlemek zaman aldıgından dolayı konunun devamına aşağıdaki linkten ulaşabilirsiniz
Saygılarımla
invertor