Trojanlar ve temizleme yontemleri

Trojanlar ve temizleme yöntemleri

Trojan nedir?
Trogenlar girdiği bilgisayarın belirli bir portunu açıp bağlanacak client programından gelecek komutları dinler. Genelde server client mantığı ile çalışırlar. Server programları çalıştıkları sistemlerde sürekli açık bulunmak zorundadırlar. Sistemin kullanamadığı portlardan (1-65535) birisi sürekli açık durur. Gelen paketler bu porttan alınarak server programınca işleme geçirilir. Genelde trojanlar istisna olmadıkça Windowsun açıklarını kullanırlar. Backorifice çıktığında Bill Gatesin sarfettiği kelimeler gerçekten çok komikti " Back Orifice programını download etmeyin. Bu program zararlı." Çok doğru ve hiçbir işe yaramayacak bir öğüt. Trojanlar uzun bir zamandır vardı. Değişik amaçlarla kullanılırlardı. Mesela sistemin bilgilerini çalıp trojanı yazana ulaştırmak gibi... Ama son zamanlarda sayıları müthiş bir artış gösterdi. Netbus ve Back Orifice ile başlayan trojan salgını gittikçe yaygınlaştı. Artık trojan yardımı ile birisinin bilgisayarına girip dosyalarını karıştıran herkes kendini hacker zannediyor. Bu trojanlardan en yaygını netbus oldu. Öyleki trojan deyince Netbus akla gelmeye başladı. O kadarki artık bilgisiz kullanıcılar, birkerelik deneme amacıyla en yakın arkadaşına bile bu trojanı program, oyun vs. diye vermeye başladı. Bir anlık aldıkları zevkten sonra çıkarken unutulan serverlar başkalarının o bilgisayara hükmetmesini sağladı. Bu şekilde kişiden kişiye müthiş bir hızla yayıldı. Pek çok kişi sadece bir kez aktif olacağını düşünmüştü. Ama böyle bir şey trojan mantığına ters düşerdi.

Neyseki trojanlarında açıkları var. İlk trojanlar kendilerini hiç iyi gizleyememişti.


Çeşitleri;

Netbus:
Mesela çok popüler olan 1.53 trojanı CTRL+ALT+DEL tuşuna basınca çıkan TERMINATE PROGRAM menüsünde gözüküyordu. Buradan deaktif hale gelebiliyordu. Sonra çıkan 1.60 sürümünde dahada iyi gizlenmeye başladı. CTRL+ALT+DEL menüsünde başka isimlerle görünmeye başladı. Siz oradan kapattığınızı sandığınız bir anda başka bir isimle aktif hale geliyordu. 1.70 sürümünde bu menüden tamamen uzaklaştı. Artık CTRL+ALT+DEL tuşuna bastığınızda görmiyeceğiniz bir trogen ortaya çıktı. 2.0 Pro ise ücretli bir sürüm olarak dağıtılmaya başladı. Bu sürümde serevr programının tüm ayarlarını menü aracılıyla yapabiliyorsunuz. Böylece serverin görünmez, her açılışta aktif olan, açacağı port gibi ayarları size bırakmışlar. Bu trojan sürekli aktif hale gelmek için registry başlangıcını kullanıyor. Registryinin
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run
Anahtarına kendisini yazıyor böylece windows her açılışta bu programı aktif hale getiriyor. Trojan aktif haldeyken 12345 veya 12346 portlarından birisini açıyor. (Default olarak) Bu portlar client sahibi tarafından değiştirlebiliyor. 1.70 sürümüyle gelen özellikler sayesinde server yüklü bilgisayar internete bağlandığında e-mail yoluyla client sahibine haber veriyor. Trojanı pek çok cleaner temzileyebiliyor. Temsilemek için önce yukardaki anahtarda serverin ismini bulun. Sonra windowsu kapatın MSDOS modunda açın bilgisayarı. Şimdi c:\Windows kalsöründe bu dosyayı bulup silin. Genelde patch.exe isminde dir bu dosya. Bir çark, Mavi bir meşale, uydu ikonu şekline değişik ikonlara sahiptir. MSDOS ta bu dosyayı sildikten sonra tekrar windowsa dönüp registryden bu anahtarda serverin bulunduğu satır silin.
Netbus 2.0 Pro ise netbus programcılarının oldukça ilerlediğini gösteren bir trogen olmuş. Trogen serverinin şifresinin değişmesi portunun değişmesi görünür yada görünmez olması tamamen insayitife bırakılmış. Arayüü çok değişik. 20034 portunu kullanıyor. Dediğim gibi kullanıcı isterse server programı full visible olabiliyor. Yani ekranınızda bir pencerede çıkıyor. Gireni çıkanı gösteriyor. Ama istemezse normal netbus bulma yöntemi var Gülücük)


Back Ofrice:
Çok güçlü bir trojan. Netbus kadar populer olamamasının tek sebebi kullanımının netbusa oranla zor olması. Ama çok fonksiyonel bir trogen. Rakiplerine pek çok konuda fark atabilecek bir yapıda. Bu trojan gizlenme konusunda çok yetenekli. Diğer trojalar gibi CTRL+ALT+DEL menüsünde görünmez. Dosya ismini boşluk karakterine çevirebilir. Böylece Explorer penceresinden baktığınızda özelliklede bilinen dosya türleri için uzantıları gizle seçili ise ikonuda olmayan !! bu programı göremezsiniz. 31337 nolu portu açık bırakır bu trojan. İnanılmaz fonsiyonel bir trojandır. Birisine sesli komut vererek kendi bilgisayarınızı yönetmek gibi bir şeydir. Özellikle client programını kullanan kişi komutları nasıl kullanacağını biliyorsa kullanıcı için kabus olabilir. Bu trojanın tek bir sürümüçıktı (bildiği kadarıyla) 1.30 versiyonu. Ama bu trojan için Plug-inler kullanıma sunuldu. DLL dosyaları sayesinde çok rahatça gelişti. Bu trojanın arayüzünü beğenmeyenler kendilerine bir GUI (Kullanıcı Grafik Arayüzü) yaparak piyasaya sürdüler. Bu trojan bulaşmayı çok iyi beceriyor. Yine netbus gibi çalıştığında hiçbir şey hissetmiyorsunuz. Bir kere çalıştırmak yeterli. Kendisini registrye yazarak sürekli aktif halde kalmayı beceriyor. Yazdığı anahtar ise;
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices
Anahtarı. Burada etarfında bir yazı olmayan " .exe" gibi yada " " gibi bir satır varsa bu satır silin. Bu trojanı windows altında silmeyin kendisini bir çok yere kopyalıyor. MSDOS komut istemine çıkıp bellekten silinmesini sağlayın. Sonra dosta bu dosyayı c:\Windows\System klasöründen temizleyin. En son windowsa girip registryi son bir defa kontrol edin.
Bu trojan sadece bir server olarak geldiği gibi, bir e-mail, bir kurulum programı yada bir oyun olarak gelebilir. Bu yüzden oldukça kolay bulaşır zor temizlenir başa beladır. PWL dosyalarını kırmaya gerek kalmadan deşifre edebilir. Full Access verir.



Backdoor Trogen:
Contact:
ICQ: 5760044
Email: zemac@bigfoot.com
HP: http://www.ufl.edu/~cycy92n/
MsgBoard http://disc.server.com/discussion.cgi?id=33748
Zemac tarafından kodlanmış bir trogen. Kendisini gizleyebiliyor. Ne yazıkki tam deneme fırsatım olmadı çünkü serveri bile çalıştıramadım L (Hata verdi ) Hangi portu kullandığını söyleyemiyorum ama bulaşma şekli konusunda bilgi verebilirim. Kendisini ismini değişitirip Windows klasörüne kopyalıyor. Notepa.exe ismini alıyor. Dikkatsiz bir kullanıcı bunu notepad zannedebilir rahatça. Registry kullanıyor aktif hale gelmek için.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
Anahtarına; Notepad(c:\windows\notpa.exe /o=yes) komutunu yazarak sürekli aktif halde bulunmayı garantiliyor. Temizlemek için önce registryi bu trojandan kurtarın. Sonra MSDOS komut istemine inerek notepa.exe dosyasını silin. Tekrar windowsa registrye dönüp trogen kalmışmı kontrol edin.
Devil 13:
Devil 13 kısıtlı özellikleri olan bir trogen. Aşırı tehlikeli bir trogen değil. Ama sonuçta bir trogen ve burada yer alıyor. 65000 portu kullanıyor. Çeşitli isimlerde gelebiliyor default olarak ICQFlood, OPScript, Socket, winamp, wingenocide gibi adlarla karşınıza çıkabilir. Daha çok saldırgan özellikleri ile dikkat çekiyor. Spy olmaktan çok bir asker gibi hareket ediyor. J Sistemi yeniden başlattığınızda aktif hale gelmiyor. Sadece server programını el ile çalıştırdıysanız aktif durumda bulunuyor.

Net Monitör:
Bu trogen Netbusun az fonksiyonlu hali gibi bir şey. Üç değişik server tipi var genelde çok ufak server dosyaları var (zipli hali 13 kb). Göze batan özellikleri screenshotları bir web sitesine bağlanrak buradan almanız. VE 3 portu birden açması.
TCP 0.0.0.0:7306 0.0.0.0:0 LISTENING
TCP 0.0.0.0:7307 0.0.0.0:0 LISTENING
TCP 0.0.0.0:7308 0.0.0.0:0 LISTENING
Portlarını açarak clientten komut bekliyor. Sistem açılışında aktif hale geliyor. Bunun için Registry kullanıyor. Ama ilginç yanı registryden sildiğinizde hala hafızada aktif ise hemen registrye tekrar yazılıyor.
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run-]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run]
anahtarlarına "netspy"="netspy.exe" şeklinde yazılıyor. Temzilemek için windowsu kapatıp MSDOS komut isteminde açın sistemi. Yukardaki anahtarda yazılı değerdeki server dosyasının ismini windows klasöründe bulup silin. Sonra windowsa dönüp registryden bu değeri silin.


Girl Friend:
İşte tehlikeli bir trojan daha. En büyük özelliklerinden birisi windowsta casus gibi çalışıp yazdığınız tüm passwordleri log tutarak client istediğinde listeleyebiliyor. 21554 nolu portu kullanıyor. Bulaşması kolay ama temizlenmesi oldukça uğraştırıcı. Back Orificenin silkrope adlı plug-in kullanarak başka bir program içine gizlenebiliyor. Böylece aslında sistem dosyası çalışıyor gözüküyor ama gerçek sistem dosyası yanında trojan server 'inide çalıştırıyor. Her açılışta aktif hale geliyor. Port numarası değişitirilen trojanlardan. Kendisini registrye yazarak aktif halde kalıyor.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
Anahtarına yazılıyor. Temizlik için diğer trojanlar ile aynı yolu izleyin önce MSDOS başlatıp trojanın server dosyasını silin. Sonra registry temizliği yapın.
Master Paradise:
Çok ilginç bir trojan. 40421 nolu portu işgal ediyor.Normal trojanların tersine gizlenmek için bri şey yapmıyor. Pek kullanılmayan bir trojan. Sistemde sürekli aktif halde bulunması veya bulunmaması client sahibine bağlı. Ama çok kolay tespit edilebiliyor. Kendisini sistem çubuğuna yerleştirip hemen fark edilmesini sağlıyor. Böylece temzilemek oldukça kolay oluyor. Geliş şekillleri ise ilginç. Bir oyun olarak gelebiliyor. Siz oyunu çalıştırınca oda aktif hale geçiyor. Mesela Bill Gatesin yüzüne şapka fırlattığınız bir oyun yerine geçebiliyor. Keyhook.dll dosyasına ihtiyaç duyuyor. Otomatik başlama yeri klasik anahtar,
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
Temizlemek için bu registryden silmeniz yeterli.


Millenium:
Bu trojanın server dosyası oldukça küçük. Sistemi update ettiği öne sürüyor çalıştığında şüphe uyandırmıyor. 20000 ve 20001 portlarını açık bırakıyor. Sistem reboot sırasında aktif hale geçiyor. CTRL+ALT+DEL menüsünde sistem dosyası halinde gözükerek bir bakıma gizleniyor. Fazla bir tehlike teşkil etmiyor özellikleri itibari ile. Ama sonuçta trogen olması önemli. Sistem açılış dosyalarına yazıyor kendini. Diğerlerinin aksine sadece registry kullanmıyor. Win.ini dosyasının run parametresini de kullanıyor.
Registryde,
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run]
"Millenium"="C:\\windows\\system\\reg66.exe"
şeklinde yer alırken win.ini dosyasına
[windows]
load=
run=C:\windows\system\reg66.exe
NullPort=None
Şeklinde yazılıyor. Temizlik için diğer trojanlardan farklı olarak win.ini dosyasında
run=C:\windows\system\reg66.exe satırını
run=
olarak değiştirmek yeterli oluyor. Trogeni açığa çıkaran bir diğer açık ise sistemi yawaşlatması.
TROJAN PORTLARI
Netbus 1.53 : 12345
Netbus 1.60 : 12345
Netbus 1.70 : 12345, 12346
Netbus 2.0 Pro : 20034
Back Orifice : 31337
Deep Bo : 31338
Girl Friend : 21554
Millenium : 20000, 20001
Master Paradise : 40421
Hacker Paradise : 456
Socket De Troge: 30303
Netmonitör : 7306, 7307, 7308
Devil 13 : 65000
Gjammer : 12076

Trojanları nasıl buluruz
Trojanları bulmak için kullanacağımız programlar aslında siz,n bilgisayarınızda olan programlar. Ama bunları çoğu zaman verimli bir şekilde kullanamayız. Sadece yer kaplar şimdi onlardan yararlanma zamanı geldi.
Netstat.exe (c:\Windows--- Windows 95-98)
MSCONFIG (c:\Windows--- Windows 98 - Windwos 95 çalışır)
MSINFO c:\Windows--- Windows 98 sürümü --Windows 95 çalışır.)

Eğer sisteminizde trojan olduğundan şüpheleniyorsanız MSDOS Promtunu açın başlat menüsünden. " netstat -a -n " yazın. Bu komut sizin aktif haldeki tüm portlarını gösterir. Yalnız bu komutu hiçbir internet bağlantısını yapmadan ve tüm programlarınız kapalı iken yapın. Aşağıdaki gibi bir ekran gelmeli;
C:\WINDOWS>netstat -a -n
Etkin Bağlantılar
Proto Yerel Adresi Yabancı Adres Durum
TCP 192.168.0.1:137 0.0.0.0:0 LISTENING
TCP 192.168.0.1:138 0.0.0.0:0 LISTENING
TCP 192.168.0.1:139 0.0.0.0:0 LISTENING
UDP 192.168.0.1:137 *:*
UDP 192.168.0.1:138 *:*
C:\WINDOWS>

Burada ip numaraları her zamna değişiktir. Ama genelde 127.0.0.1 dir. Bu internete bağlı değilken LOCAL Hostunuzun aldığı ip numarasıdır. Yukardaki örnekte ethernet kartının ip numarası gözüküyordu. Bu komutu kullanmamızın sebebi trojanların en büyük açıkalrından birinden faydalanmak. Trojanlar siz internete bağlı değilken bile belirli portlarınızı açık tutarlar. Netstat komutu ile sistemimizdeki açık portları görmüş oluyoruz. Böylece sıradışı portları tespit ederiz. Aşağıda genel portlar verilmiştir.
Proto Yerel Adresi Yabancı Adres Durum
TCP 193.192.111.35:1340 193.192.100.100:21 ESTABLISHED -> FTP portu
TCP 193.192.111.35:1343 193.192.100.100:110 TIME_WAIT -> POP 3
TCP 193.192.111.35:1344 195.174.173.72:5103 ESTABLISHED ->ICQ Mesajı
TCP 193.192.111.35:1346 195.174.93.150:6667 ESTABLISHED -> IRC Server
TCP 193.192.111.35:137 0.0.0.0:0 LISTENING
TCP 193.192.111.35:138 0.0.0.0:0 LISTENING
TCP 193.192.111.35:139 0.0.0.0:0 LISTENING
TCP 193.192.111.35:12345 194.174.56.100:12345 ESTABLISHED -> Netbus
C:\WINDOWS>
Burada son satıra bakınca 12345 portuna bir bilgisayarın bağlandığını bu bilgisayarın ip numarasının 194.174.56.100 olduğu gözüküyor. Eğer burada yukarıda verdiğimiz trogen portlarından birisini bulamazsanız trojan yüklü değildir.

Başka bir yol daha var. O an çalışmakta olan tüm programları kapatın. Hoparlör simgesinin olduğu menü bardaki programlarıda kapatın. Sonra MSINFO.exe programını çalıştırın. Soldaki pencereden "Yazılım Ortamı ->Çalışan Görevler'e" gelin. Burada sağ pencerede o an çalışan tüm programları verecektir. Yukarıda bir örneği var.
Burada çalışan tüm programları görebilir ve normal dışı bir program var ise bunuburada görebilirsiniz.
Trojan tespiti için bir diğer yol ise windows açılımında çalışan programları incelemek. Bunun içinde MSConfig.exe programını kullanacağız. Programı çalıştırıp en sağdaki Başlangıç (Startup) Sekmesine gidin. Aşağıdaki gibi bir ekran çıkar..

Burada her sistem açılışında aktif olaack tüm dosyaları görebiliriz. Buraya bakarak açılışta trogen çalışıp çalışmadığını anlayabiliriz.
NOT: Sistem açılışta belirli dosyaları yükler. Autoexec.bat, Config.sys, System.ini, win.ini vb.. Autoexec.bat, win.ini, Registry ve Başlangıç(Startup) klasörü bir programın çalışması için kullanılabilir. Autoexec.bat dosyasına bir win32 uygulaması yazmanız işe yaramaz. Çünkü windows açılamdan önce bu dosya işleme konulur. Windows tabanlı program çalışmaz. Başlangıç veya startup menüsü ise bir trogen için hiç uygun değildir. Çünkü gizlilik en az seviyededir.En amatör kullanıcı bile start menüsünde bu dosyaları görebilir. Silebilir. Bu yüzden iki seçenek kalıyor. Birisi Win.ini dosyasının Run= satırı diğeri ise Registrynin,
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices]
anahtarları kalıyor. Buraları dikkatli kontrol etmek yeterli olacaktır.
alıntı...