Zararlı yazılım programlayan kişiler artık exe dosyalardan sıkılmışlardı. Bulaşması kolay anlaşıldığı için farklı yöntemler denemeye başladılar. Burlardan biriside DLL Injection dediğimiz, exe dosyasını windows tarafından çalıştırılmış gibi göstermek amacıyla yapılmış metoddur. Bu dll dosyaları genelde Kayıt Defteri kullanılarak Explorer.exe, Rundll32.exe gibi Windows’un can damarı exe dosyalarına inject edilebilir. Güvenlik açısından tehlikeli ve normal bilgisayar kullanıcılarının anlaması hayli zordur. Ama artık öyle olmayacak. Kayıt defteri hakkında bilgilendirici konumuzu okuduğunuzu ele alarak bulaşma olup olmadığını ve temizleme yöntemlerine geçiyoruz.
Kayıt defterimizi Başlat->Çalıştır-> regedit yazarak çalıştıralım. Daha sonra aşağıdaki anahtara gidelim.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WindowsBurada “AppInit_DLLs” değişkenine dikkat edelim. Çünkü exe ‘ye dll injection için burası kullanılabilir. Genelde burasının boş olması gerekir. Ayni AppInit_DLLs değerinde hiçbirşey yazmamalı. Eğer “rundll32 xsafe.dll,Merhaba” gibi değer atanmışsa büyük ihtimal bilgisayarınızda zararlı olabilir. Açıklama olarak rundll32.exe ‘ye xsafe.dll ‘i inject et, Merhaba fonksiyonunu çağır anlamına gelmektedir.
Remote DLL
Kayıt defteri bölümünü bitirmeden sizlere Remote DLL yazılımını tanıtacağız. Bu yazılım ile exe dosyalara inject edilmiş dll leri görmeniz yeni dll dosya inject etmenize ve exe den dll dosyayı ayırmanıza yardımcı oluyor.
Sol tarafta ekran görüntüsünü görmektesiniz. Load DLL’i seçerseniz exe inject edebilir, Free DLL ‘i seçerseniz bir DLL ‘i özgür bırakabilirsiniz. Biz Free DLL’i seçelim ve Explorer.exe ‘ye bir defa tıklayıp Select butonuna tıklayalım.Daha sonra DLL Name yazan yerin oradaki Select butonuna tıklayalım. Ve karşınızda DLL ‘e inject edilmiş (geneli sistem dosyaları) dll dosyalarını görmektesiniz. Şüphelendiğiniz dosyaları Google ‘da arayıp zararlı olduğunu anladığınız dll dosyalarını ayırabilirsiniz. Bunun için DLL dosyasını seçin, OK butonuna tıklayın. Daha sonra Free DLL butonuna tıklayıp özgür bırakın.Remote Dll İndir
Devamı gelecektir. Bir sonraki konuya Kayıt Defterinde dll inject için kullanılan yeni yerlere ve hangi sistem dosyalarına sızıldığını, değiştirildiğini, orjinal olmadığını anlamak için aslında yazılım dünyasında sıkça kullanılan ama kullanıcılar tarafından pek bilinmeyen file md5 checksum ‘a değineceğiz.
Döküman kaynağı: Antivirus, X-safe
