Svhost.exe ve Trojan-Dropper.Win32.Agent Trojan

08 Nisan 2010, 12:03 Hüsamettin

Svhost.exe ve Trojan-Dropper.Win32.Agent Trojan nasıl temizlenir

virus-alert1

Bilinen flash disk virüslerinin yeni nesil versiyonları biraz daha güçlü bir şekilde yazılıyor ve yayılıyor.Bu truva atı da yine çoğunlukla flash disklerden bulaşıyor ancak bunu temizlemek biraz daha kolay.Öncelikle bilmeniz gerekenler bu truva atının neler yaptığı.

Virüs sisteme bulaştığında kendisini Windows/System Klasörünün altına “svhost.exe” adıyla kopyalıyor ki bu kullanıcının kafasının “svchost.exe” ile karıştırma amacı güdüyor.Devamında ise Windows Registry üzerine şu anahtarı ekliyor :

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]“WSVCHO” = “%WinDir%system/svhost.exe”

Buraya kadar klasik olan davranışlar bu aşamadan sonra biraz daha komplike olarak devam ediyor.Çünkü virüs daha sonra bilinen tüm antivirüs uygulamalarını servis olarak çalışsın ya da çalışmasın birer birer kapatıyor ve hatta başlangıçta çalışmasını da engelliyor.Tabi bununla da bitmiyor, çünkü dış erişime kendisini açabilmesi için Windows Güvenlik Duvarına da müdahale ediyor ve kendisini bir İnternet Explorer servisi olarak tanıtıyor.Antivirüs programınız kapalı, güvenlik duvarı açık ve siz tamamen savunmasız bir haldesiniz.

Neden bunu yapıyor derseniz bütün amaç parola korumalı olarak girdiğiniz sitelerdeki bilgilerinizi ele geçirmek.Yani IE yada FF kullanarak bir yere giriş yaptığınızda bilgileriniz otomatik olarak web üzerinde bir alana gönderiliyor.Bu uygulamalara MSN, Yahoo ve diğer anlık mesajlaşma uygulamaları da dahil.

Kendi yedeğini ise bulaşabildiği tüm taşınabilir / taşınamaz sürücüler içerisine attığı “wlan.exe” ve “autorun.inf” dosyaları ile yapıyor.Siz bu diskleri her açtığınızda kendini yeniden yukarda ki işlemleri yapmak amaçlı olarak gerekli yerlere kopyalıyor ve kurtulamamış oluyorsunuz.

Nasıl Kurtulacaksınız ?

Görev yöneticisini CTRL+ALT+DELETE kombinasyonu ile açın.
Listede “svhost.exe” ya da şüpheli olarak gördüğünüz dosyanın çalışmasını durdurun.
Başlat->Çalıştır->Regedit kullanarak HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun] “WSVCHO”=”%WinDir%system/svhost.exe” anahtarını silin.
Windows\system\svhost.exe yada Windows\system32\svhost.exe dosyasını silin.Temp klasörünü boşaltın.
Sürücülerinizi çift tıklamadan sağ tıklayıp “araştır” ya da “aç” komutu kullanarak açın ve “autorun.inf” ile “wlan.exe“ dosyalarını silin.
Sistemi yeniden başlatın, antivirüs yazılımınız aktif olacaktır.Hemen güncelleyin ve sistemi taratın.