Kötü Amaçlı Yazılımları Temizleme - Kaldırma İşlemine Hazırlık
Kötü amaçlı yazılımlar, bazı olaylardan yararlanarak kendilerini programlara bağlar ve diğer programlara iletirler. Bu olayların gerçekleşmesine ihtiyaçları vardır çünkü kendi başlarına başlayamazlar, yürütülemez dosyalar kullanarak kendilerini iletemezler ve diğer ağlara veya bir bilgisayara bulaşabilirler.
Kaldırma aşamasına hazırlanmak için, öncelikle kötü amaçlı yazılımları öldürmek için hangi bilgisayar işlemlerinin kullanıldığını anlamalıyız. Bunları engellemek için hangi trafik portları kullanılıyor? Bu kötü amaçlı yazılımlarla ilgili dosyalar nelerdir, böylece onları onarabilir veya silebiliriz. Bütün bunlar, bu bilgileri toplamamıza yardımcı olacak bir dizi araç içerir.
Araştırma Süreci
Yukarıda belirtilen sonuçlardan, bazı olağandışı süreçler veya hizmetler kendi başlarına çalıştırıldığında, olası bir virüsle ilişkilerini daha fazla araştırmamız gerektiğini bilmeliyiz. Soruşturma süreci şu şekildedir -
Süreçleri araştırmak için aşağıdaki araçları kullanarak başlamalıyız -
- fport.exe
- pslist.exe
- handle.exe
- netstat.exe
Listdll.exe hepsini gösterir dll fileskullanılıyor. netstat.exedeğişkenleriyle birlikte, ilgili bağlantı noktaları ile çalıştırılan tüm işlemleri gösterir. Aşağıdaki örnek, bir işleminKaspersky Antivirusişlem numaralarını görmek için netstat-ano komutuyla eşleştirilir. Hangi işlem numarasına ait olduğunu kontrol etmek için görev yöneticisini kullanacağız.
Listdll.exe için aşağıdaki bağlantıdan indirdik - https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx ve hangi işlemlerin kullanılan DLL ile bağlantılı olduğunu kontrol etmek için çalıştırabiliriz.
CMD'yi açıyoruz ve aşağıdaki ekran görüntüsünde gösterildiği gibi Listdll.exe yoluna gidip çalıştırıyoruz.
Sonucu aşağıdaki ekran görüntüsünde gösterildiği gibi alacağız.
Örneğin, PID 16320, dllhost.exebir açıklaması olan COM Surrogateve solda. Bu işlem tarafından gösterilen tüm DLL'yi gösterdi, google ve kontrol edebiliriz.
Şimdi aşağıdaki bağlantıdan indirilebilen Fport'u kullanacağız - https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# Servisleri ve PID'yi portlarla eşleştirmek için.
Hizmetleri izlemek ve kaç kaynak tükettiklerini görmek için başka bir araç, aşağıdaki bağlantıdan indirilebilen "İşlem Gezgini" olarak adlandırılır - https://download.sysinternals.com/files/ProcessExplorer.zip ve indirdikten sonra, exe dosyasını çalıştırmanız gerekir ve aşağıdaki sonucu göreceksiniz -
