Fud işe yapılırsa içinde kaynak kodları Cryptlendiğinden dolayı antivürsler virüs mü değil mi anlayamıyorlar, ayrıyeten uğraşırlar bir kişi için.

Bir yürütülebilir dosya çalıştırmadığınız sürece virüs kapmazsınız.

Bitsin, ondan sonra tekrar biçimlendirip atarsınız. Bölümleme yaptığı için diske zarar verebilir işlem sırasında durdurmak. Risk almaya gerek yok.

Format diskini enfekte olmamış bir sistemde oluşturmanız en iyisi olur. Format diskini Windows'a göstermezseniz sorun olmaz. Takıp hemen BIOS'a girip format atın.

Hocalarım kendi kafama göre bir şey yapmayayım diye sizlerden yanıt bekliyorum. USB SHA256 değerinin ISO dosyasınınkiyle farklı olması RAT'ın USB'ye yazılan dosyalara da mı geçtiğini ifade ediyor? Onun haricinde Rufus ile yazdırmama rağmen ISO dosyasının SHA256 değeri hala doğru. Bu arada farklı USB bellek ile ISO dosyasını yazdırdığımda, onun da SHA256 değeri önceki yazdırdığım USB'nin değeri ile aynı oluyor.

Live System, USB üzerinden boot edilebilen hazır bir OS. Bu şekilde farklı zararlılardan etkilenmeden doğrudan işlemleri yapabilirsiniz fakat biraz uğraştırır. Sistemde tarama yaptınız mı daha önce? İlk mesajımda bahsettiğim araçlar hiçbir şey bulamıyorsa ve sistemin normal çalışmasında bir kararsızlık yoksa format atmak son derece gereksiz olur. Son karar sizin tabii ki.

Şu an WireShark yükledim ama programdan hiçbir şekilde anlamadım. Tespitinden ziyade direkt olarak kesin çözümüne geçmek istiyorum ama @Nizel G hocam farklı bir sistemde format diski oluşturun diyor. Şu an için böyle bir imkanım yok. Bayağı sıkıntılı durummuş ya bu RAT işi. Aslında bana bir kullanıcıdan gelebilecek hiçbir şekilde bir dosyayı da indirmedim fakat yine de şüpheleniyorum. Az önce ESET SysInceptor yükleyip risk seviyesini artırdım. Bu şekilde sonuçlar veriyor. O dediğiniz full system dump olayını nasıl gerçekleştireceğim hocam?

Kusura bakmayın hafta başı iş vs. yoğunluğundan anca görüyorum. Diske yazdıktan sonra SHA256 değişmesi normal, ham arşiv olarak kalmıyor zira. Müdahale edilip edilmediğini asıl arşivin değerine bakarak anlıyoruz, diske yazma sırasında müdahale ederse zaten işlem tamamlanmaz. Diskte önyükleme bölümleri oluşturduğu ve dosyalar bölerek yerleştirdiği için checksum doğrulaması arşivden farklı olur, SHA256 değişir. Kurulumu yapabilirsiniz.

Ben sizde virüs olduğunu düşünmüyorum. Geçmişte yazıp uyarı aldığım mesaj tam da sizin duruma uygun.

RAT: Remote Access Trojan RAT'ın mantığı, sistemi bir başkasıyla paylaşmak olduğundan ağ trafiğini inceleyerek öğrenebilirsiniz. WireShark kullanabilirsiniz.

Farklı AV programları ile çok kez yaptım hocam. Kaspersky, MBAM, Hitman Pro, Defender dahil. Cheat Engine'den başka bir şey bulamadılar. Kararsızlık yok fakat şüphelendiğim kişinin kişisel bilgilerimi bilmesi, tesadüf olabilecek fakat bana göre biraz uç şekilde bazen yaptığım şeyleri tahmin edebilmesi, sosyal medya hesaplarımı hiçbir yerde paylaşmadığım halde bulması gibi durumlar var. Son kararım format atmak, zaten çok da önemli dosyalarım veya yüksek boyutlu oyunlarım vesaire de yok. Sadece garanti bir şekilde format atmak istiyorum eğer ki RAT varsa temizlensin diye. USB ile normal şekilde atayım mı direkt yoksa önereceğiniz farklı yöntem var mıdır?

Öncesinde değiştirmek mantıklı değil.

Tam olarak nasıl öğrenebilirim sistemimde RAT olduğunu WireShark ile bir bilginiz var mı?

Evet, yazdırdıktan sonra da Diski seçerek sağlama yapın. Dosyanın orjinal SHA256 değeri indirdiğiniz yerde olmalı.

7 zip programıyla yapabilirsiniz. Birkaç mb boyutunda bir arşiv programı. Alternatif ve daha kolay kullanılan bir uygulama varsa da ben bilmiyorum. Dosyaya sağ tıklayınca "sağlama" menüsü çıkması gerekiyor. Diske de o şekilde sağlama alabilirsiniz.

Sosyal medya bulmak zor birşey değil, Kali'de social-analyzer, sherlock, profil3r ve hatta Maltego ile dahi kısa süre içerisinde isim soyisim bilinen birinin sosyal medya hesabı bulunabiliyor. Tabii yine format atmak istiyorsanız tercih sizin saygı duyarım. @Nizel G 'in dediği şekilde checksum yapmanız yeterli. En azından yazdırdığınız ISO'nun orijinal olduğunu ve müdahale edilmediğini görürsünüz. Gerisi ise normal kurulum şeklinde.

Yazdırdığınız dosyada kendi elinizle değişiklik yapacağınızdan SHA doğrulaması değişecektir.

iso dosyası yeni yüklendi. Bu alttakini mi seçmem gerekiyor hocam? Rufus işleminden sonra da uygulayayım mı bu sağlama işlemini.

AV çözümlerinin genelde sezgisel tespitleri, dosyayı açmadan önce FUD'lanmış olsa dahi neler yapabileceğini kestirip engelleyebiliyor fakat günümüzde bunu bypass etmek için çok basit teknikleri kullanabiliyorlar. Örneğin delay edilmiş serverlar, sezgisel taramadan kaçıp sistemde gecikmeli olarak çalışabiliyor. RAT tespitinin en garanti yolu manuel olarak analiz gerçekleştirmek. Sistem dökümünü almak ve bunu incelemek , paket analizi gerçekleştirmek ve anormal ağ trafiğini gözlemlemek yapılabilecek en doğru aktiviteler. Bunun haricinde biz genelde RAT şüphesi yaşadığımız ortaklarımızda bellek dökümünü almayı tercih ediyoruz. Memory Dump olarak geçen bu yolla bellekteki aktif tüm işlemleri inceleyebildiğimiz gibi sistemin pasif imajını da alabiliyoruz, bu sayede adli bilişim için gerektiği yerde bunu teslim edebiliyoruz. Ev kullanıcısı için memory dump almak en son çare olsa da, temel seviyede tespit için sistem dökümü ve paket takibi yapılabilir. Deneyiminiz varsa TShark kullanmanızı öneririm, komut istemi üzerinden Wireshark ile aynı görevi gören ve paket takibi yapan bir araç. Eğer daha çok arayüz ile uğraşırım derseniz Wireshark öneririm. Wireshark'a alternatif olarak Fiddler da deneyebilirsiniz. Wireshark gibi sistemdeki tüm ağ trafiğini yaklayabildiğiniz bir uygulama. Manuel tespit yerine otomatik tarama sonuçları istiyorsanız da; ESET Scanner tam tarama. MBAM Tam tarama. Emsisoft Emergency Kit tam tarama + rootkit taraması. Norton Power Eraser tam tarama. Farbar Recovery Scan Tool. ESET SysInspector full system dump. Bunları kullanabilirsiniz. Tekrar belirteyim ben her zaman manuel tespitten yanayım. Bu tarz otomatik tarama araçlarının her zaman false-positive ihtimali vardır ve özellikle FUD'lanmış bir zararlı için yanıltıcı sonuçlar verebilir.

Hocam ben bu programdan hiçbir şey anlamadım, direkt olarak USB ile temiz kurulum yapsam RAT'ın tekrar sistemde belirme veya silinmeme gibi bir ihtimali var mıdır? Tam olarak nasıl kurtulabilirim böyle bir durum varsa?

Nedir son durum? Kurabildiniz mi?

Bu eşleşme olduğu sürece RAT'ın ISO dosyasına sızıp sızmadığı veya formattan sonra tekrar devam etmeyeceği kesin mi oluyor hocam öyleyse şimdi atacağım format.

Anlaman zor, fud ile yapılmışsa asla anlayamazsın, tek çare format.

Şüphelendiğim birkaç kişi var fakat onlar tarafından ne bana bir dosya gönderildi, ne de ben bana başkasından gelen bir dosyayı açtım. Fakat bu kişi bazen yaptığım şeylere dair ipucu veriyor. Mesela bir gün Iron Man izliyordum. Sohbete Marvel filmi izleyecek var mı yazdı. Bunun gibi şeyler. O yüzden şüphem biraz artıyor. USB ile temiz kurulumda da geçme ihtimali var diyorsunuz, ne yapsam bilemedim.

Öncelikle çok teşekkür ederim bu tarz konularda aydınlattığınız için @Nizel G ve @Dutchman hocam. Şimdi kesin çözüm olarak kararım format atmak, en azından içimin rahat etmesini istiyorum. Live System dediğiniz durum nedir? En garanti şekilde formatlamak istiyorum.

Bu tiki seçmek daha önceden konuştuğumuz bütün doğrulama sohbetini de geçersiz kılar.

Sisteme Wireshark kurun ve reset atın. Başlangıçta açılan Discord gibi programları kapatın ki ağ analizini yapmak kolay olsun. Wireshark ile ağ trafiğini izleyin. Gözünüze şüpheli bir şey görünürse virüs vardır. Çıkan IP adreslerini internette aratarak nereye ait olduğunu anlayabilirsiniz. Yaygın IP adresleri için sonuçlar çıkar, ama 14 yaşındaki Ahmet'in ev adresi düzgün bir sonuç göstermez. Örneğin Microsoft güncelleme sunucusu IP adresini arattığınızda Microsoft'a ait olduğunu görebilirsiniz.

FUD ile yapılması nasıl oluyor, tek bir kişiyi hedef almak için sizce bu kadar uğraşırlar mı?

Nasıl yani hocam anlamadım.

Windows 11 için olan gereksinimler onlar, uyumsuz sisteme Windows 11 kurulumunu gerçekleştirmeyi sağlıyor. Windows 10 kuracaksanız gerek yok, uyumsuz sisteme 11 kuracaksanız kalsın. Güvenlik için şu aşamada Windows 11'e geçmemenizi öneririm bu arada eğer sıfırdan kuruyorsanız.

Fud ile yapılmışsa anlarsın neden asla anlayamazsın dedinki? Runpe'yi winapi ile atıyor direk eset memory scann yaptığı an patlar.

Bulaşmadığını garantilemek için kullandığımız bir doğrulayıcıyı devre dışı bırakmış olursunuz. Bu arada, şahsen Windows 10 kullanmanızı öneririm.

Hitman pro, Norton Power Eraser.

IP adreslerini tarayıcıda mı aratacağım

Google üzerinde aratabilirsiniz. Detaylı bilgi için IP sorgulayıcılar kullanabilirsiniz. Şüphelendiğiniz, ama emin olamadığınız adresleri not alıp konu açarsanız detaylıca incelenir. Direkt tarayıcıya yazarsanız adresin 80 portuna bağlanırsınız.

Ek olarak RAT varsa şifrelerimi USB ile temiz formattan sonra mı değiştirmem yoksa öncesinde mi değiştirmem daha doğru olur?

Kusura bakmayın hocam hiçbir bilgim yok bu konularda. Shasum sağlaması dediğiniz işlemi nasıl yapacağım sizi de uğraştırıyorum ama...

Sistemde kesin olarak RAT olduğu bilgisini nasıl alabilirim? Malwarebytes, Kaspersky veya Defender taramalarında bir virüs çıkmıyor. Fakat biliyorsunuz ki bu sistemin temiz olmayacağı anlamına gelmiyor. Kesin olarak sistemimde RAT var bilgisine nereden ulaşabilirim? @Dutchman Hocam özellikle sizin yorumunuzu bekliyorum. Hybrid analysis raporu vesaire RAT olduğunu kesinleştirir mi?

Güvenli modda imaj yazılabilir mi emin değilim. ISO'ya bulaşması için de internete bağlanmasına gerek yok. Programlanmışsa, bulaşabilir. Diske yazdırdıktan sonra ve önce shasum sağlamasıyla dosya bütünlüğünü doğrulayın ve internetten karşılaştırın.

Burada aerosimit hocamın yazdığı gibi diske sağlama yaptığımda SHA256 değeri diskin farklı oluyor. Fakat hala ISO dosyasının SHA256 değeri aynı. Format işlemine mi geçmem gerekiyor yoksa bir şeyler ters mi biraz karışık geldi bu konu.

Çok çok teşekkür ederim hocalarım, sayenizde hem bilgilendim hem de işlemden sonra içim rahat edecek. Son olarak daha önce Windows 10 formatında böyle bir seçenek görmemiştim, bunu ne yapmam gerekiyor hocam? Tikli mi kalmalı?

Yani açık mı tutmalıyım kapalı mı tutmalıyım, RAT'ın silinmesi açısından bir değişiklik yaratır mı?

Çok çok teşekkür ediyorum hocam, ISO dosyasının SHA256 değeri hala aynı olduğuna göre o zaman kuruluma başlayabilirim. Hem bilgilendirdiğiniz hem de yardımcı olduğunuz için teşekkür ederim.

SHA256 hesaplaması yaptığınızda bir pencere açılmalı diye hatırlıyorum. Program değişmiş olabilir tabii. İndirdiğiniz ISO dosyasının ve diske yazdırdığınızda diskin SHA256'sı indirdiğiniz yerde belirtilen SHA256 verisiyle eşleşmeli.

Sanırım çok geç hocam ya ben o seçenek tikli bir şekilde Rufus işlemi başlattım. Vazgeç dediğimde USB bellek kullanılamaz hale gelebilir diyor... Vazgeç deyip o tiki kaldırıp kurarsam bir sorun olur mu acaba? @Nizel G vazgeç dersem USB bozulur mu hocam? Bir sorun olmayacaksa Windows 10 kuracağım 11 yerine.

Tamamdır hocam %80 zaten şu an, bunun bitmesini bekleyeyim ondan sonra dediğiniz gibi Windows 10 kuracağım. Bir an bir şeyleri ters yaptım diye kızdım kendime de düzeltilebiliyorsa sorun yok. Az sonra Windows 10'un ISO dosyası inmiş olacak. Buna da checksum yapacağım fakat 11'deki gibi internet üzerinde SHA256 kodunu bulamadım. Nereden bulabilirim? Biraz araştırdım, sanırım Windows 10'da checksum mümkün değil. Media Creation Tool'dan indirilen her ISO dosyası farklı SHA256 değeri sunuyormuş, Windows 10 indirme web sayfasında direkt olarak ISO indirme seçeneği de koymamışlar. Ne yapmam gerekiyor hocam kurayım mı direkt? Hallettim hocam, tarayıcıda mobil moda geçince sitede ISO indirme seçeneği açıldı... Tekrar indiriyorum.

Windows 10 bayağı hızlı bir şekilde kuruldu hocam. 10 dakika falan sürdü. Şimdi temizim değil mi?

Windows 10 mu kurayım dersiniz hocam? 11'di zaten sistemim şu an.

Temiz format yani USB ile format sırasında oyunlarımı yedekleyemem, yedeklesem bile RAT'ın tekrar geçme ihtimali olabilir değil mi?

Peki ya hocam sizce bu RAT ağ yoluyla modeme veya ağ üzerindeki iPhone cihazıma vesaire geçebilir mi bir bilginiz var mı? @Nizel G Hocam şimdi iso dosyası yüklendi. Rufus işlemine geçmeden önce interneti kapatıp yeniden başlatayım mı veya güvenli modda mı başlatayım?

Hocam şimdi ben 7zip aracılığıyla SHA256 sağlaması yaptım inen iso dosyasına. Şöyle bir dosya ekledi: Şimdi Rufus ile USB format diski yapıp diske de mi SHA256 sağlaması yapmam lazım. Bu SHA256 dosyasını not defteriyle açtığımda içindeki sayıların USB SHA256'sındaki sayılarla aynı olması mı gerek? Şu an indirdiğim ISO dosyasının SHA256 değeri sitedekiyle aynı çıkıyor. Bunu Rufus işleminden sonra diskime de mi uygulamam gerek?

Bu eşleşme, dosya içeriğinde iğne ucu kadar değişiklik olmadığının kanıtıdır. Format atmaya devam edebilirsiniz. Son bir önlem olarak bilgisayarı kapatmadan önce USB belleği çıkartın, bilgisayarı açmadan önce takın ve USB bellekten başlatın.

@Dutchman Boot sektörüne ekleme yapıldığından olabilir mi?

Hayır, ağı enfekte etmesi gerekli ki bu durumda sistemdeki Defender dahi bloklayacaktır.

Windows + r bas mrt yaz tam tarama yaptır bence bulur.