Win32/Conficker solucaný ile ilgili virüs uyarýsý

• Hesap kilitleme ilkeleri takýlýyor.
• Otomatik Güncelleþtirmeler, Arka Plan Akýllý Aktarým Hizmeti (BITS), Windows Defender ve Hata Bildirimi Hizmetleri devre dýþý býrakýlýyor.
• Etki alaný denetleyicileri, istemci isteklerine yavaþ yanýt veriyor.
• Aðda sýkýþýklýk yaþanýyor.
• Güvenlikle ilgili çeþitli Web sitelerine eriþilemiyor.
• Güvenlikle ilgili çeþitli araçlar çalýþmýyor. Bilinen araçlarýn listesi için, aþaðýdaki Microsoft Web sayfasýný ziyaret edin ve Win32/Conficker.D hakkýnda bilgi için Çözümleme sekmesini týklatýn. Daha fazla bilgi için, aþaðýdaki Microsoft Web sayfasýný ziyaret edin:
  http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D (http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D)

Üste

• Güvenlik güncelleþtirmesi 958644 (MS08-067) ile giderilen güvenlik açýðýndan yararlanma
• Að paylaþýmlarýný kullanma
• Otomatik Kullan iþlevselliði kullanma

Üste

• Tüm bilgisayarlar için benzersiz olan güçlü yönetici parolalarý kullanýn.
• Domain Admin (Etki Alaný Yöneticisi) kimlik bilgilerini veya tüm bilgisayarlara eriþimi olan kimlik bilgilerini kullanarak oturum açmayýn.
• Tüm sistemlerde en son güvenlik güncelleþtirmelerinin uygulanmýþ olduðundan emin olun.
• Otomatik çalýþtýr özelliklerini devre dýþý býrakýn. Daha fazla bilgi için, "Grup Ýlkesi nesnesi oluþturma" bölümünün 3. adýmýna bakýn.
• Paylaþýmlardaki fazla olan haklarý kaldýrýn. Buna, tüm paylaþýmlarýn köküne yazma izinlerini kaldýrmak dahildir.

Üste

Grup Ýlkesi ayarlarýný kullanarak Win32/Conficker solucanýnýn yayýlmasýný engelleme

• Önemli Bu makalede önerilen deðiþikliklerden herhangi birini yapmadan önce, tüm geçerli ayarlarý belgelediðinizden emin olun.
• Bu yordam Conficker adlý zararlý yazýlýmý sistemden kaldýrmaz. Yordam yalnýzca zararlý yazýlýmýn yayýlmasýný engeller. Conficker zararlý yazýlýmýný sistemden kaldýrmak için bir virüsten koruma ürünü kullanmalýsýnýz. Ya da bu Bilgi Bankasý makalesinin "Win32/Conficker virüsünü el ile kaldýrma adýmlarý" bölümündeki adýmlarý izleyerek zararlý yazýlýmý sistemden el ile kaldýrýn.
• Aþaðýdaki adýmlarda önerilen izin deðiþiklikleri yapýlýrken uygulamalarý, hizmet paketlerini veya diðer güncelleþtirmeleri düzgün yükleyemeyebilirsiniz. Bu, Windows Update, Microsoft Windows Server Update Services (WSUS) sunucusu ve System Center Configuration Manager (SCCM) kullanýlarak uygulanan güncelleþtirmeleri içerir (bu ürünler Otomatik Güncelleþtirmeler'in bileþenlerini kullanýr), ancak bunlarla sýnýrlý deðildir. Sistemi temizledikten sonra, izinleri varsayýlan ayarlarýna geri döndürdüðünüzden emin olun.
• "Grup Ýlkesi nesnesi oluþturma" bölümünde açýklanan SVCHOST kayýt defteri anahtarýnýn ve Görevler Klasörünün varsayýlan izinleri hakkýnda bilgi için, bu makalenin sonundaki Varsayýlan izinler tablosuna bakýn.

Üste

Grup Ýlkesi nesnesi oluþturma

1. Aþaðýdaki kayýt defteri alt anahtarýna yazma izinlerini kaldýracak þekilde ilkeyi ayarlayýn:
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
   Bu, rasgele adlandýrýlan zararlý yazýlým hizmetinin netsvcs kayýt defteri deðerinde oluþturulmasýný engeller.
   
   Bunu yapmak için þu adýmlarý izleyin:
   1. Grup Ýlkesi Yönetim Konsolu'nu (GPMC) açýn.
   2. Yeni bir GPO oluþturun. Bu öðeye istediðiniz adý verebilirsiniz.
   3. Yeni GPO'yu açýn ve sonra da aþaðýdaki klasöre gidin:
      Bilgisayar Yapýlandýrmasý\Windows Ayarlarý\Güvenlik Ayarlarý\Kayýt Defteri
   4. Kayýt Defteri'ni sað týklatýn ve ardýndan Anahtar Ekle'yi týklatýn.
   5. Kayýt Defteri Anahtarýný Seç iletiþim kutusunda Machine öðesini geniþletip aþaðýdaki klasöre gidin:
      Software\Microsoft\Windows NT\CurrentVersion\Svchost
   6. Tamam'ý týklatýn.
   7. Açýlan iletiþim kutusunda, hem Yöneticiler hem de Sistem için Tam Denetim onay kutusunu týklatýp temizleyin.
   8. Tamam'ý týklatýn.
   9. Nesne Ekle iletiþim kutusunda, Tüm alt anahtarlar üzerinde varolan izinleri devralýnabilen izinlerle deðiþtir seçeneðini týklatýn.
   10. Tamam'ý týklatýn.
2. %windir%\Tasks klasörüne yazma izinlerini kaldýracak þekilde ilkeyi ayarlayýn. Bu, Conficker zararlý yazýlýmýnýn Zamanlanmýþ Görevler oluþturarak sisteme yeniden bulaþmasýný engeller.
   
   Bunu yapmak için þu adýmlarý izleyin:
   1. Daha önce oluþturduðunuz GPO'da aþaðýdaki klasöre gidin:
      Bilgisayar Yapýlandýrmasý\Windows Ayarlarý\Güvenlik Ayarlarý\Dosya Sistemi
   2. Dosya Sistemi'ni sað týklatýn ve sonra da Dosya Ekle'yi týklatýn.
   3. Dosya veya klasör ekle iletiþim kutusunda, %windir%\Tasks klasörüne gidin. Klasör iletiþim kutusunda Görevler'in vurgulanmýþ olduðundan emin olun.
   4. Tamam'ý týklatýn.
   5. Açýlan iletiþim kutusunda, hem Yöneticiler hem de Sistem için Tam Denetim, Deðiþtirme ve Yazma onay kutularýný týklatýp temizleyin.
   6. Tamam'ý týklatýn.
   7. Nesne Ekle iletiþim kutusunda, Tüm alt anahtarlar üzerinde varolan izinleri devralýnabilen izinlerle deðiþtir seçeneðini týklatýn.
   8. Tamam'ý týklatýn.
3. Otomatik Kullan (Otomatik Yürüt) özelliklerini devre dýþý býrakýlmýþ olarak ayarlayýn. Bu, Conficker zararlý yazýlýmýnýn Windows'da yerleþik olarak bulunan Otomatik Kullan özelliklerini kullanarak yayýlmasýný engeller.
   
   Not Kullandýðýnýz Windows sürümüne baðlý olarak, Otomatik Çalýþtýr iþlevini düzgün þekilde devre dýþý býrakabilmeniz için yüklemiþ olmanýz gereken farklý güncelleþtirmeler bulunmaktadýr:
   • Windows Vista'da veya Windows Server 2008'de Otomatik Çalýþtýr iþlevini devre dýþý býrakmak için, güvenlik güncelleþtirmesi 950582 (http://support.microsoft.com/kb/950582) yüklü olmalýdýr (güvenlik bülteni MS08-038'de açýklanmýþtýr).
   • Windows XP, Windows Server 2003 veya Windows 2000'de Otomatik Çalýþtýr iþlevini devre dýþý býrakmak için, güvenlik güncelleþtirmesi 950582 (http://support.microsoft.com/kb/950582) , güncelleþtirme 967715 (http://support.microsoft.com/kb/967715) veya güncelleþtirme 953252 (http://support.microsoft.com/kb/953252) yüklü olmalýdýr.
   Otomatik Kullan (Otomatik Yürüt) özelliklerini devre dýþý býrakýlmýþ olarak ayarlamak için, þu adýmlarý izleyin:
   1. Daha önce oluþturduðunuz GPO'da aþaðýdaki klasörlerden birine gidin:
      • Windows Server 2003 etki alaný için aþaðýdaki klasöre gidin:
        Bilgisayar Yapýlandýrmasý\Yönetim Þablonlarý\Sistem
      • Windows 2008 etki alaný için aþaðýdaki klasöre gidin:
        Bilgisayar Yapýlandýrmasý\Yönetim Þablonlarý\Windows Bileþenleri\Otomatik Kullan Ýlkeleri
   2. Otomatik çalýþtýr özelliðini kapat ilkesini açýn.
   3. Otomatik çalýþtýr özelliðini kapat iletiþim kutusunda, Etkinleþtirilmiþ'i týklatýn.
   4. Açýlan menüden Tüm sürücüler'i týklatýn.
   5. Tamam'ý týklatýn.
4. Grup Ýlkesi Yönetim Konsolu'nu kapatýn.
5. Yeni oluþturulan GPO'yu, uygulamak istediðiniz konuma baðlayýn.
6. Grup Ýlkesi ayarlarýnýn tüm bilgisayarlarý güncelleþtirmesini bekleyin. Genellikle, Grup Ýlkesi'nin tüm etki alaný denetleyicilerine çoðaltmasý beþ dakika, sistemin geri kalanýna çoðaltmasý 90 dakika sürer. Birkaç saat yeterli olacaktýr. Ancak çalýþma ortamýna baðlý olarak daha fazla zaman gerekebilir.
7. Grup Ýlkesi ayarlarý daðýtýldýktan sonra, zararlý yazýlýmýn bulaþtýðý sistemleri temizleyin.
   
   Bunu yapmak için þu adýmlarý izleyin:
   1. Tüm bilgisayarlarda tam virüsten koruma taramasý çalýþtýrýn.
   2. Virüsten koruma yazýlýmýnýz Conficker solucanýný algýlamýyorsa, Kötü Amaçlý Yazýlýmlarý Temizleme aracýný (MSRT) kullanarak da zararlý yazýlýmý temizleyebilirsiniz. Daha fazla bilgi için aþaðýdaki Microsoft Web sayfasýný ziyaret edin:
      http://www.microsoft.com/security/malwareremove/default.mspx (http://www.microsoft.com/security/malwareremove/default.mspx)
      Not Zararlý yazýlýmýn tüm etkilerini gidermek için bazý adýmlarý el ile uygulamanýz gerekebilir. Zararlý yazýlýmýn tüm etkilerini gidermek için, bu makalenin "Win32/Conficker virüsünü el ile kaldýrma adýmlarý" bölümünde listelenen adýmlarý incelemeniz önerilir.

Üste

Kötü Amaçlý Yazýlýmlarý Temizleme aracýný çalýþtýrma

Üste

Win32/Conficker virüsünü el ile kaldýrma adýmlarý

• El ile uygulanan bu adýmlar artýk gerekli deðildir ve yalnýzca Conficker virüsünü kaldýrmak için bir virüsten koruma yazýlýmýnýz yoksa kullanýlmalýdýr.
• Bilgisayara bulaþmýþ olan Win32/Conficker türevine baðlý olarak, bu bölümde geçen deðerlerden bazýlarý virüs tarafýndan deðiþtirilmemiþ olabilir.

1. Bir yerel hesap kullanarak sistemde oturum açýn.
   
   Önemli Mümkünse, sistemde oturum açarken bir Etki Alaný hesabý kullanmayýn. Özellikle de, oturum açarken bir Etki Alaný Yöneticisi hesabý kullanmayýn. Kötü amaçlý yazýlým, oturum açmýþ kullanýcýnýn kimliðine bürünür ve oturum açmýþ kullanýcýnýn kimlik bilgilerini kullanarak að kaynaklarýna eriþir. Bu davranýþ, kötü amaçlý yazýlýmýn yayýlmasýna olanak verir.
2. Sunucu hizmetini durdurun. Bu iþlem, Yönetici paylaþýmlarýný sistemden kaldýrarak kötü amaçlý yazýlýmýn bu yöntemle yayýlmamasýný saðlar.
   
   Not Sunucu hizmetinin yalnýzca kötü amaçlý yazýlým çalýþma ortamýnýzdan temizlenirken geçici olarak devre dýþý býrakýlmasý gerekir. Bu adým að kaynaklarýnýn kullanýlabilirliðini etkileyeceðinden, özellikle üretim sunucularýnda dikkatli olunmasý gerekir. Çalýþma ortamý temizlendikten hemen sonra Sunucu hizmeti yeniden etkinleþtirilebilir.
   
   Sunucu hizmetini durdurmak için, Hizmetler Microsoft Yönetim Konsolu'nu (MMC) kullanýn. Bunu yapmak için þu adýmlarý izleyin:
   1. Sisteminize baðlý olarak þunlarý yapýn:
      • Windows Vista ve Windows Server 2008'de, Baþlat'ý týklatýn, Aramaya Baþla kutusuna services.msc yazýn ve sonra da Programlar listesinde services.msc dosyasýný týklatýn.
      • Windows 2000, Windows XP ve Windows Server 2003'te, Baþlat'ý ve sonra Çalýþtýr'ý týklatýn, services.msc yazýn ve ardýndan Tamam'ý týklatýn.
   2. Sunucu hizmetini çift týklatýn.
   3. Durdur'u týklatýn.
   4. Baþlangýç türü kutusunda Devre Dýþý seçeneðini belirleyin.
   5. Uygula'yý týklatýn.
3. AT ile oluþturulan tüm zamanlanmýþ görevleri kaldýrýn. Bunu yapmak için, komut istemine AT /Delete /Yes yazýn.
4. Görev Zamanlayýcýsý hizmetini durdurun.
   • Windows 2000, Windows XP ve Windows Server 2003'te Görev Zamanlayýcýsý hizmetini durdurmak için, Hizmetler Microsoft Yönetim Konsolu'nu (MMC) veya SC.exe yardýmcý programýný kullanýn.
   • Windows Vista veya Windows Server 2008'de Görev Zamanlayýcýsý hizmetini durdurmak için aþaðýdaki adýmlarý izleyin.
     
     Önemli Bu bölüm, yöntem veya görev kayýt defterini nasýl deðiþtireceðinizin anlatýldýðý adýmlarý içermektedir. Ancak kayýt defterini hatalý olarak deðiþtirirseniz önemli sorunlar oluþabilir. Bu nedenle, bu adýmlarý dikkatlice uyguladýðýnýzdan emin olun. Ek koruma için, kayýt defterini deðiþtirmeden önce yedeklemeyi unutmayýn. Bir sorun oluþursa kayýt defterini daha sonra geri yükleyebilirsiniz. Kayýt defterini yedekleme ve geri yükleme hakkýnda daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
     322756  (http://support.microsoft.com/kb/322756/ ) Windows XP ve Windows Server 2003'te kayýt defteri nasýl yedeklenir, düzenlenir ve geri yüklenir
     1. Baþlat'ý týklatýn, Aramaya Baþla kutusuna regedit yazýn ve sonra da Programlar listesinde regedit.exe dosyasýný týklatýn.
     2. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn:
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
     3. Ayrýntýlar bölmesinde, Start DWORD girdisini sað týklatýn ve ardýndan Deðiþtir'i týklatýn.
     4. Deðer verisi kutusuna 4 yazýn ve Tamam'ý týklatýn.
     5. Kayýt Defteri Düzenleyicisi'nden çýkýn ve bilgisayarý yeniden baþlatýn.
        
        Not Görev Zamanlayýcýsý hizmetinin yalnýzca kötü amaçlý yazýlým çalýþma ortamýnýzdan temizlenirken geçici olarak devre dýþý býrakýlmasý gerekir. Bu özellikle Windows Vista ve Windows Server 2008 için geçerlidir, çünkü bu adým yerleþik olan çeþitli Zamanlanmýþ Görevleri etkiler. Ortamýnýz temizlenir temizlenmez, Sunucu hizmetini yeniden etkinleþtirin.
5. Güvenlik güncelleþtirmesi 958644'ü (MS08-067) karþýdan yükleyin ve el ile kurun. Daha fazla bilgi için aþaðýdaki Microsoft Web sitesini ziyaret edin:
   http://www.microsoft.com/turkiye/technet/security/bulletin/2008/ms08-067.mspx (http://www.microsoft.com/turkiye/technet/security/bulletin/2008/ms08-067.mspx)
   Not Bu site, kötü amaçlý yazýlým tarafýndan engelleniyor olabilir. Bu senaryoda, güncelleþtirmeyi bulaþma olmayan bir bilgisayardan yüklemeniz ve güncelleþtirme dosyasýný bulaþma olan sisteme aktarmanýz gerekmektedir. Güncelleþtirmeyi bir CD'ye yazmanýz önerilir, çünkü yazýlan CD bir kez daha yazýlamaz hale gelir. Bu nedenle de solucan CD'ye bulaþamaz. Kaydedilebilir bir CD sürücüsü yoksa, güncelleþtirmeyi bulaþma olan sisteme kopyalamanýn tek yolu bir taþýnabilir USB bellek sürücüsü kullanmak olacaktýr. Taþýnabilir sürücü kullanýyorsanýz, kötü amaçlý yazýlýmýn bu sürücüye bir Autorun.inf dosyasýyla bulaþabileceðini unutmayýn. Güncelleþtirmeyi taþýnabilir sürücüye kopyaladýktan sonra, aygýtýnýzda salt okunur modunu kullanabiliyorsanýz sürücüyü salt okunur moduna geçirdiðinizden emin olun. Salt okunur modu kullanýlabiliyorsa, genellikle aygýt üzerindeki bir fiziksel anahtar kullanýlarak etkinleþtirilir. Güncelleþtirme dosyasýný bulaþma olan bilgisayara kopyaladýktan sonra, taþýnabilir sürücüyü denetleyerek Autorun.inf dosyasýnýn sürücüye yazýlýp yazýlmadýðýna bakýn. Yazýlmýþsa, Autorun.inf dosyasýný Autorun.bad gibi bir adla yeniden adlandýrarak, taþýnabilir sürücü bir bilgisayara baðlandýðýnda çalýþtýrýlamamasýný saðlayýn.
6. Yerel Yönetici ve Etki Alaný Yöneticisi parolalarýný yeni bir güçlü parola kullanacak þekilde sýfýrlayýn. Daha fazla bilgi için aþaðýdaki Microsoft Web sitesini ziyaret edin:
   http://technet.microsoft.com/tr-tr/library/cc875814.aspx (http://technet.microsoft.com/tr-tr/library/cc875814.aspx)
7. Kayýt Defteri Düzenleyicisi'nde, aþaðýdaki kayýt defteri alt anahtarýný bulun ve týklatýn:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
8. Ayrýntýlar bölmesinde, netsvcs girdisini sað týklatýn ve sonra Deðiþtir'i týklatýn.
9. Bilgisayara Win32/Conficker virüsü bulaþmýþsa, rasgele verilmiþ bir hizmet adý listelenir.
   
   Not Win32/Conficker.B türevinde bu hizmet adý rasgele harflerden oluþuyordu ve listenin en altýndaydý. Sonraki türevlerde, hizmetin adý listenin herhangi bir yerinde olabilir ve daha fazla kurallara uygun görünebilir. Rasgele hizmet adý en altta deðilse, Win32/Conficker tarafýndan hangi hizmet adýnýn eklenmiþ olabileceðini belirlemek için sisteminizi bu yordamdaki "Hizmetler tablosu" ile karþýlaþtýrýn. Doðrulamak için, "Hizmetler tablosundaki" listeyi virüs bulaþtýðý bilinen benzer bir sistemle karþýlaþtýrýn.
   
   Kötü amaçlý yazýlýmýn hizmet adýný not alýn. Bu bilgiye bu yordamda daha sonra gereksinim duyacaksýnýz.
10. Kötü amaçlý yazýlým hizmetine baþvuran satýrý silin. Listelenen son geçerli girdinin altýnda boþ bir yeni satýr býraktýðýnýzdan emin olun ve ardýndan Tamam'ý týklatýn.
    
    Hizmetler tablosuyla ilgili notlar
    • Hizmetler tablosundaki tüm girdiler, kalýn olarak vurgulanan öðeler dýþýnda geçerli girdilerdir.
    • Kalýnla vurgulanan bu öðeler Win32/Conficker virüsünün SVCHOST kayýt defteri anahtarýndaki netsvcs deðerine neler ekleyebileceðinin örnekleridir.
    • Sistemde nelerin yüklü olduðuna baðlý olarak, bu liste tüm hizmetleri içermeyebilir.
    • Hizmetler tablosu Windows'un varsayýlan yüklemesine göredir.
    • Win32/Conficker virüsünün listeye eklediði girdi bir þaþýrtmaca tekniðidir. Ýlk harfinin benzemesi amaçlanan kötü amaçlý yazýlým girdisi küçük "L" harfidir. Ancak, bu gerçekte büyük "I" harfidir. Ýþletim sisteminin kullandýðý yazý tipi nedeniyle, büyük "I" küçük "L" gibi görünür.

    Hizmetler tablosu

    Bu tabloyu kapaBu tabloyu aç

    Windows Server 2008	Windows Vista	Windows Server 2003	Windows XP	Windows 2000
    AeLookupSvc	AeLookupSvc	AppMgmt	6to4	EventSystem
    wercplsupport	wercplsupport	AudioSrv	AppMgmt	Ias
    Themes	Themes	Browser	AudioSrv	Iprip
    CertPropSvc	CertPropSvc	CryptSvc	Browser	Irmon
    SCPolicySvc	SCPolicySvc	DMServer	CryptSvc	Netman
    lanmanserver	lanmanserver	EventSystem	DMServer	Nwsapagent
    gpsvc	gpsvc	HidServ	DHCP	Rasauto
    IKEEXT	IKEEXT	Ias	ERSvc	Iaslogon
    AudioSrv	AudioSrv	Iprip	EventSystem	Rasman
    FastUserSwitchingCompatibility	FastUserSwitchingCompatibility	Irmon	FastUserSwitchingCompatibility	Remoteaccess
    Ias	Ias	LanmanServer	HidServ	SENS
    Irmon	Irmon	LanmanWorkstation	Ias	Sharedaccess
    Nla	Nla	Messenger	Iprip	Ntmssvc
    Ntmssvc	Ntmssvc	Netman	Irmon	wzcsvc
    NWCWorkstation	NWCWorkstation	Nla	LanmanServer
    Nwsapagent	Nwsapagent	Ntmssvc	LanmanWorkstation
    Rasauto	Rasauto	NWCWorkstation	Messenger
    Rasman	Rasman	Nwsapagent	Netman
    Iaslogon	Iaslogon	Iaslogon	Iaslogon
    Remoteaccess	Remoteaccess	Rasauto	Nla
    SENS	SENS	Rasman	Ntmssvc
    Sharedaccess	Sharedaccess	Remoteaccess	NWCWorkstation
    SRService	SRService	Sacsvr	Nwsapagent
    Tapisrv	Tapisrv	Schedule	Rasauto
    Wmi	Wmi	Seclogon	Rasman
    WmdmPmSp	WmdmPmSp	SENS	Remoteaccess
    TermService	TermService	Sharedaccess	Schedule
    wuauserv	wuauserv	Themes	Seclogon
    BITS	BITS	TrkWks	SENS
    ShellHWDetection	ShellHWDetection	TrkSvr	Sharedaccess
    LogonHours	LogonHours	W32Time	SRService
    PCAudit	PCAudit	WZCSVC	Tapisrv
    helpsvc	helpsvc	Wmi	Themes
    uploadmgr	uploadmgr	WmdmPmSp	TrkWks
    iphlpsvc	iphlpsvc	winmgmt	W32Time
    seclogon	seclogon	wuauserv	WZCSVC
    AppInfo	AppInfo	BITS	Wmi
    msiscsi	msiscsi	ShellHWDetection	WmdmPmSp
    MMCSS	MMCSS	uploadmgr	winmgmt
    browser	ProfSvc	WmdmPmSN	TermService
    winmgmt	EapHost	xmlprov	wuauserv
    SessionEnv	winmgmt	AeLookupSvc	BITS
    ProfSvc	schedule	helpsvc	ShellHWDetection
    EapHost	SessionEnv		helpsvc
    hkmsvc	browser		xmlprov
    schedule	hkmsvc		wscsvc
    AppMgmt	AppMgmt		WmdmPmSN
    sacsvr			hkmsvc

11. Önceki yordamda, kötü amaçlý yazýlýmýn hizmet adýný not almýþtýnýz. Buradaki örnekte, kötü amaçlý yazýlým girdisi "Iaslogon" olarak adlandýrýlmýþtý. Bu bilgiyi kullanarak þu adýmlarý izleyin:
    1. Kayýt Defteri Düzenleyicisi'nde, aþaðýdaki kayýt defteri alt anahtarýný bulun ve týklatýn; burada KötüHizmetAdý, kötü amaçlý yazýlýmýn hizmet adýdýr:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\KötüHizmetAdý
       Örneðin, aþaðýdaki kayýt defteri alt anahtarýný bulun ve týklatýn:
       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
    2. Gezinti bölmesinde, kötü amaçlý yazýlým hizmet adýnýn alt anahtarýný sað týklatýn ve sonra da Ýzinler'i týklatýn.
    3. SvcHost için Ýzin Girdisi iletiþim kutusunda Geliþmiþ'i týklatýn.
    4. Geliþmiþ Güvenlik Ayarlarý iletiþim kutusunda, aþaðýdaki onay kutularýnýn her ikisini de týklatýp seçin:
       Baðýmlý nesnelere uygulanan izin girdilerini ana öðeden devral. Bunlarý açýkça burada tanýmlananlara ekle.
       
       Tüm baðýmlý nesnelerdeki izin girdilerini burada gösterilen ve baðýmlý nesnelere uyanlarla deðiþtir.
12. F5 tuþuna basarak Kayýt Defteri Düzenleyicisi'ni güncelleþtirin. Ayrýntýlar bölmesinde, þimdi "ServiceDll" olarak yüklenen kötü amaçlý yazýlým DLL'sini görüp düzenleyebilirsiniz. Bunu yapmak için þu adýmlarý izleyin:
    1. ServiceDll girdisini çift týklatýn.
    2. Baþvurulan DLL dosyasýnýn yolunu not alýn. Bu bilgiye bu yordamda daha sonra gereksinim duyacaksýnýz. Örneðin, baþvurulan DLL dosyasýnýn yolu aþaðýdakine benzeyebilir:

        %SystemRoot%\System32\doieuln.dll

       Baþvuruyu, aþaðýdakine benzeyecek þekilde yeniden adlandýrýn:

        %SystemRoot%\System32\doieuln.old

    3. Tamam'ý týklatýn.
13. Kayýt defterindeki Run alt anahtarýndan kötü amaçlý yazýlýmýn hizmet girdisini kaldýrýn.
    1. Kayýt Defteri Düzenleyicisi'nde, aþaðýdaki kayýt defteri alt anahtarlarýný bulun ve týklatýn:
       HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

       
       

       HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    2. Her iki alt anahtarda da, "rundll32.exe" ile baþlayan ve kötü amaçlý yazýlýmýn adým 12b'de belirlediðiniz "ServiceDll" adýyla yüklenen DLL dosyasýna baþvuran tüm girdileri bulun. Girdiyi silin.
    3. Kayýt Defteri Düzenleyicisi'nden çýkýn ve bilgisayarý yeniden baþlatýn.
14. Sistemdeki tüm sürücülerde bulunan Autorun.inf dosyalarýný denetleyin. Not Defteri'ni kullanarak dosyalarý tek tek açýp, geçerli bir Autorun.inf dosyasý olduðunu doðrulayýn. Aþaðýda, geçerli olan tipik bir Autorun.inf dosyasýna örnek verilmektedir.

    [autorun]
    
    shellexecute=Servers\splash.hta *DVD*
    
    icon=Servers\autorun.ico
    

    Geçerli bir Autorun.inf dosyasý genellikle 1 - 2 kilobayt (KB) boyutundadýr.
15. Geçersiz gibi görünen tüm Autorun.inf dosyalarýný silin.
16. Bilgisayarý yeniden baþlatýn.
17. Gizli dosyalarýn görünür olmasýný saðlayýn. Bunu yapmak için, komut istemine aþaðýdaki komutu yazýn:
    reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
18. Dosyayý görebilmek için Gizli dosya ve klasörleri göster seçeneðini belirleyin. Bunu yapmak için þu adýmlarý izleyin:
    1. Adým 12b'de, kötü amaçlý yazýlýmýn baþvurulan .dll dosyasýnýn yolunu not almýþtýnýz. Örneðin, aþaðýdakine benzeyen bir yolu not etmiþtiniz:
       %systemroot%\System32\doieuln.dll
       Windows Gezgini'nde, %systemroot%\System32 dizinini veya kötü amaçlý yazýlýmý içeren dizini açýn.
    2. Araçlar'ý ve sonra Klasör Seçenekleri'ni týklatýn.
    3. Görünüm sekmesini týklatýn.
    4. Gizli dosya ve klasörleri göster onay kutusunu iþaretleyin.
    5. Tamam'ý týklatýn.
19. .dll dosyasýný seçin.
20. Dosya izinlerini düzenleyerek Everyone (Herkes) grubu için Tam Denetim iznini ekleyin. Bunu yapmak için þu adýmlarý izleyin:
    1. .dll dosyasýný sað týklatýn ve sonra Özellikler'i týklatýn.
    2. Güvenlik sekmesini týklatýn.
    3. Everyone (Herkes) öðesini týklatýn ve sonra da Ýzin Ver sütununda Tam Denetim onay kutusunu týklatýp seçin.
    4. Tamam'ý týklatýn.
21. Kötü amaçlý yazýlýmýn baþvurduðu .dll dosyasýný silin. Örneðin, %systemroot%\System32\doieuln.dll dosyasýný silin.
22. Hizmetler Microsoft Yönetim Konsolu'nu (MMC) kullanarak BITS, Otomatik Güncelleþtirmeler, Hata Bildirimi ve Windows Defender hizmetlerini etkinleþtirin.
23. Yeniden bulaþma olasýlýðýný azaltmak için Otomatik Kullan özelliðini kapatýn. Bunu yapmak için þu adýmlarý izleyin:
    1. Sisteminize baðlý olarak, aþaðýdaki güncelleþtirmelerden birini yükleyin:
       • Windows 2000, Windows XP veya Windows Server 2003 çalýþtýrýyorsanýz, 967715 numaralý güncelleþtirmeyi yükleyin. Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
         967715  (http://support.microsoft.com/kb/967715/ ) Windows'daki Otomatik Çalýþtýr iþlevini devre dýþý býrakma
       • Windows Vista veya Windows Server 2008 çalýþtýrýyorsanýz, güvenlik güncelleþtirmesi 950582'yi yükleyin. Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
         950582  (http://support.microsoft.com/kb/950582/ ) MS08-038: Windows Gezgini'ndeki güvenlik açýðý uzaktan kod yürütülmesine izin verebilir
       Not 967715 numaralý güncelleþtirme ve güvenlik güncelleþtirmesi 950582, bu kötü amaçlý yazýlým sorunuyla iliþkili deðildir. Adým 23b'deki kayýt defteri iþlevinin etkinleþtirilmesi için bu güncelleþtirmelerin yüklü olmalarý gerekmektedir.
    2. Komut istemine aþaðýdaki komutu yazýn:
       reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
24. Sistemde Windows Defender çalýþýyorsa, Windows Defender otomatik baþlatma konumunu yeniden etkinleþtirin. Bunu yapmak için, komut istemine aþaðýdaki komutu yazýn:
    reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
25. Windows Vista ve sonraki iþletim sistemlerinde, kötü amaçlý yazýlým, TCP Alma Penceresi Otomatik Ayarý'nýn genel ayarýný devre dýþý olarak deðiþtirir. Bu ayarý önceki deðerine döndürmek için, komut istemine aþaðýdaki komutu yazýn:
    netsh interface tcp set global autotuning=normal

• Otomatik baþlatma konumlarýndan biri kaldýrýlmamýþtýr. Örneðin, AT iþi veya bir Autorun.inf dosyasý kaldýrýlmamýþtýr.
• MS08-067 güvenlik güncelleþtirmesi doðru yüklenmemiþtir.

Üste

Sistemde bulaþma olmadýðýný doðrulayýn

• Otomatik Güncelleþtirmeler (wuauserv)
• Arka Plan Akýllý Aktarým Hizmeti (BITS)
• Windows Defender (windefend) (yüklüyse)
• Windows Hata Bildirimi Hizmeti

1. Kayýt Defteri Düzenleyicisi'nde, aþaðýdaki kayýt defteri alt anahtarýný bulun ve týklatýn:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
2. Ayrýntýlar bölmesinde, netsvcs öðesini çift týklatýn ve listelenen hizmet adlarýný gözden geçirin. Listenin en altýna gidin. Bilgisayara Conficker yeniden bulaþmýþsa, rasgele bir hizmet adý listelenir. Örneðin bu yordamda, kötü amaçlý yazýlým hizmeti "Iaslogon" olarak adlandýrýlmýþtýr.

Üste

Çalýþma ortamý tümüyle temizlendikten sonra

1. Sunucu hizmetini ve Görev Zamanlayýcýsý hizmetini yeniden etkinleþtirin.
2. SVCHOST kayýt defteri anahtarýndaki ve Görevler klasöründeki varsayýlan izinleri geri yükleyin. Grup Ýlkesi ayarlarý kullanýlarak bunun varsayýlan ayarlara döndürülmesi gerekir. Ýlke yalnýzca kaldýrýlýrsa, varsayýlan izinler geri deðiþtirilmeyebilir. Daha fazla bilgi için "Etkiyi azaltma adýmlarý" bölümündeki varsayýlan izinler tablosuna bakýn.
3. Eksik güvenlik güncelleþtirmelerini yükleyerek bilgisayarý güncelleþtirin. Bunu yapmak için Windows Update hizmetini, Microsoft Windows Server Update Services (WSUS) sunucusunu, Systems Management Server (SMS) hizmetini, System Center Configuration Manager (SCCM) hizmetini veya üçüncü taraflara ait güncelleþtirme yönetim ürününüzü kullanýn. SMS veya SCCM kullanýrsanýz, ilk önce Sunucu hizmetini yeniden etkinleþtirmelisiniz. Aksi durumda, SMS veya SCCM sistemi güncelleþtiremeyebilir.

Üste