"Online Application" Mining Virüsü Tespiti ve Çözümü

Bugün bilgisayarımda böyle bir virüs buldum. Advanced Installer kökenli güncellenen ve Caphyon adındaki yapımcıyla bağlantısı bulunan virüsün bir de sitesi mevcut:

Online.io Blockchain Technologies

Bilgisayara kuruluyor ama denetim masasından görünmüyor. Bilgisayarınızda bu virüsün olup olmadığını anlamak için şu dosyanın var olup olmadığına bakmalısınız: C:\Windows\Installer\163610.msi

Eğer bu dosya mevcutsa KIS ile güzel bir tarama yaptırın. Virüs mining kökenli. Siz görev yöneticisinde olmadığınız zamanlar arka planda mining yaparak işlemciye yük bindiriyor. Fark edilmemek için bunu tıpkı Windows işlemi gibi yapıyor. Dikkatli olmanızda fayda var.

Şunu belirtmemde fayda var. KIS virüsü tamamen temizleyemiyor. Kökten temizlik için de format atmak şart. Yine de daha iyi temizlemek için şu dosyaların, regedit kayıtlarının silinmesi ve görev zamanlayıcıdan Online Application ile başlayan görevler kapatılması gerekiyor.

• C:\Windows\Installer\{5266F634-7B7D-4537-BDDC-98DD6CFCBAA1}\online.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\436F6625D7B77354DBCD89DDC6CFAB1A
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\436F6625D7B77354DBCD89DDC6CFAB1A
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{5266F634-7B7D-4537-BDDC-98DD6CFCBAA1}

Ek olarak virüs dosyalarını antivirüsünüz silemezse şu komutu yönetici olarak çalıştırdığınız CMD'ye yazın: taskkill /F /IM Online-Guardian.exe
KIS kullanıyorsanız buna gerek yok. Ben virüsü elle temizlediğim için ihtiyacım oldu.

Yukarıdaki anlatıma ek olarak şunu da bırakayım.

How to remove Online Application adware (Virus Removal Guide)

VirusTotal
VirusTotal
Bulamıyor derken?

Reg'den sildiklerin bir işe yaramaz çünkü dosyalarını silmemişsin. Sadece yükleme kaynağının birini silmişsin.

Murat5038 dedi:

VirusTotal
VirusTotal
Bulamıyor derken?

Reg'den sildiklerin bir işe yaramaz çünkü dosyalarını silmemişsin. Sadece yükleme kaynağının birini silmişsin.

Genişletmek için tıkla...

Antivirüs virüsün kendisini siliyor ama kaynağı virüs görmediği için silmiyor. Kaynak her 24 saatte bir zamanlanmış görev ile kendini "%temp%" klasörüne kopyalayıp tekrar kurmaya kalkışıyor. Bu her 24 saat gerçekleşip sistemi yoruyor. Kopya kurulmaya çalışınca antivirüs durumu fark edip kopyayı siliyor, orjinal kaynağa zarar gelmiyor. Kaynak zaten VirusTotal'de dahi tespit edilemedi. Bayağı başarılı kodlanmış bir virüs.

Dosyaları ben de VirusTotal'de tarattım ilk başta:
Bu mining yapan ".exe" taraması: VirusTotal
Bu da onun setup taraması: VirusTotal

İşte sorun bu... Setup, antivirüsler tarafından virüs algılanmadığı için silinmiyor. Konuyu açma sebebim de antivirüs kaynaklarına bu virüs eklenene kadar bu virüsün manuel temizleme yolunu göstermek.

Wheeler Man dedi:

Setup, antivirüsler tarafından virüs algılanmadığı için silinmiyor.

Genişletmek için tıkla...

Öyle birşey yok. Setup zaten direkt zararlı olması için kodlanmış ise setup vb. programlar zararlı gözükür. Diğer türlü zaten gözükmez gözükenler de sahte alarmlar verir. Doğrusu içindeki zararlının açığa çıktığında varsa silmesi veya engellemesidir zaten.

Konudaki zararlı da adware gördüğün gibi yani reklam amaçlıyor.