1. Uyarı
Yazılım
Merijn Bellekom
adlı bir yazılım gelişitiricisi tarafından yazılmış, 2006 yılında Trend
Micro firması tarafından satın alınmıştır. Yazılım, zararlı
temizliğinde imza veritabanı kullanmadan sezgisel tespite dayalı bir
yöntemle kullanılabilir. Çok hızlı bir tarama ile, zararlı bulaşmamış
bir sistemden farklı olarak çalışan işlemlerin bir listesini çıkartır.
Bu işlemlerin tamamı zararlı anlamına gelmez ve bilinçsiz kullanımda
sisteme büyük zarar verebilir.
Hijackthis tarama sonucunda salt metin belgesinden oluşan bir liste
çıkartır. Bu listede sistemde çalışan ve Hijackthis tarafından
silinebilen işlemler bulunur. Hijackthis listelerini otomatik yorumlama
siteleri vardır ancak ne yaptığını tam olarak bilmeyen kullanıcıların
çevrimiçi yardım alabilecekleri bir ortamda, bir uzman eşliğinde
temizleme yapmaları gereklidir.
HijackThis, gelişmiş bir araçtır. Bu aracı yorumlayabilmek için, genel
olarak Windows işletim sistemleri hakkında temel düzeyde bilgi
gerektirir HijackThis’e tarama yaptırmadan önce adını değiştirmek (Ör :
Bilişimplatformu.exe) yararlı olabilir; Çünkü, HijackThis.exe adını
görünce doğrudan saldıran ya da gizlenen kötücüller ( zararlılar )
vardır…
HijackThis, bir kötücül yazılımları arama-bulma-silme aracı değildir.
Yani,aktif koruması devre dışı bırakılmış bir antivirüs bir antispyware
değildir. Eğer, bu gözle bakarsak, yarar yerine zarar getirir. Şöyle ki;
HijackThis, sisteminizdeki kötücül olmayan yazılımları olduğu gibi,
kötücülleri de saptayan, onların yerlerini, kayıtlarını nerede ve nasıl
çalıştıklarını gösteren ve boyutu, 1 MB bile olmayan küçücük bir
yazılımdır… Evet, silme özelliği de vardır; “Sil” derseniz kötücül
olmayanı da siler kötücülü de siler.
HijackThis bir “Kötücül Silme Aracı" değil, kötücülü saptama aracıdır;
saptanan kötücülün – yazılımla veya elle silme eylemlerinden sonra-
silinip silinmediğini denetleme aracıdır…
Hijackthis kullanımı sırasında çok çok dikkatli olmanız gerekmektedir.
Yanlış kullanımı dahilinde sisteminizde kalıcı hasarlara yol
açabilirsiniz.Kötü amaçlı yazılımlar tarafından bırakılan izleri tespit
etmek için kullanılır. Bu sonuçları görüntüledikten sonra hangisin
yararlı ya da hangisinin zararlı olduğunu tespit etmeniz bu uygulamayı
daha önceden kullanmış olmanıza ve Windows Kayıt Defteri ile ilgili
temel düzey bilgiye sahip olmanıza dayanır.
Sisteminizde kötücül yazılım sorunu varsa, öncelikle güncel güvenlik
yazılımları ile sisteminizi taratmanız gerekmektedir. Eğer, sorununuz
hala devam ediyorsa ''
HijackThis Tr Kullanım Kılavuzu '' nu uygulayarak
HijackThis TR Yardım (Kötücül Yazılım Temizliği) bölümüne konu açınız.
2. Giriş
Hijackthis kayıt defterini ya da bazı dizinleri Kötü amaçlı yazılımlar
tarafından bırakılan izleri tespit etmek için kullanılır.Bu sonuçları
görüntüledikten sonra hangisin yararlı ya da hangisinin zararlı olduğunu
tespit etmeniz bu uygulamayı daha önceden kullanmış olmanıza ve Windows
Kayıt Defteri ile ilgili temel düzey bilgiye sahip olmanıza dayanır.
HijackThis ile dilerseniz kayıt defteri, bazı zararlı bilgileri, host
dosyası bilgileri, sistem başlangıcı bilgileri vb. gibi bazı bilgilerin
raporlarını almak mümkündür. Bu rapor sonuçlarının yorumlanması zor
olabilir. HijackThis yazılımını bu sorunların çözümünde son derece
dikkatlice kullanmak gerekir.
Burada, HijackThis yazılımının nasıl kullanılacağı, raporların nasıl
alınacağı ve rapor bilgilerinin kısaca ne anlama geldiği konularında
bilgilendirmelerde bulunulacaktır.
3. HijackThis nasıl kullanılır ?
Hijackthis direk çalıştırılabilir bir uygulama ya da bir kurulum dosyası
olarak indirilebilmektedir. Tek başına çalıştırılabilir olan uygulamayı
istediğinz lokasyona indiirp direk oradan çalıştırabilir ya da kurulum
dosyasını indiirp, sisteme kurarsınız ve masaüstünden kısayollarından
uygulamyı açabilirsiniz. Direk çalıştırılabilir dosyayı asla Geçici
Dosya klasörüne indirmemeniz gerekir, hijackthis kullanımı sonrasında
silmiş olduğunuz anahtarlar yedeklenmektedir ve bu anahtarlar %temp%
altında bulunurlarsa silinebilirler. Kurulum dosyasını kullanıp
hijackthis'i kullanmadan önce sisteminize kurmanız en uygun kullanım
şeklidir.
Yazılımı aşağıdaki linklerden indirebilirsiniz. zararlı kaynaklı indirme
sorunu yaşayabilirsiniz. Böyle bir durum oluştuğu anlaşıldığında
özellikle
Bilişimplatformu.exe olan linktekini indirmelisiniz.
Bilişimplatformu.exe ( Hazırlanacak)
HijackThis.zip
HijackThis.exe
HijackThis.msi ( Kurulum gerektirir.)
HijackThis yazılımı ile aşağıdaki kılavuzları uygulayarak çeşitli rapor
sonuçlarına ulaşabilirsiniz. Daha önce de belirttiğimiz gibi, sonuçları
yorumlayıp bazı uygulamalar yapabilmek için iyi bir düzeyde windows ve
sistem bilgisine gereksinim vardır. Bu birikime sahip olmadan yapılacak
işlemler, sistem sorunlarına yolaçabilir.
HijackThis Raporu Göndermek Kullanım Kılavuzu
HijackThis ile Host File Dosyasının Çıktısını Almak
HijackThis ile Başlangıç Yazılımları Raporu Almak
HijackThis ile Program Ekle-Kaldır Menüsünün Çıktısını Almak
HijackThis ile Satır Fixlemek
HijackThis ile Fix'lenen Verilerin Geri Yüklenmesi
HijackThis ile ayrıca aşağıdaki işlemi de yapabiliriz.
Yeniden başlatırken sil aracı nasıl kullanılır? (How to use the Delete on Reboot tool )
Hijackthis ile gelen bu seçenekte silemediğiniz dosyaları daha
yüklenmeden önceki halleriyle silebilirsiniz. Bu seçeneğe erişmek için
Congfig> Misc Tools> Delete a file on reboot butonuna tıklayın ve silmek istediği bir dosyayı seçin.
4. HijackThis Satırlarındaki Kısaltmaların Anlamları
* R0, R1, R2, R3 - Internet Explorer Başlat/Arama sayfaları adresleri.
* F0, F1 - Otomatik Yüklenen Yazılımlar
* N1, N2, N3, N4 - Netscape / Mozilla Başlat / Arama sayfa adresleri.
* 01 - Hosts Dosyası Yönlendirme
* 02 - Browser Helper Objects (Tarayıcı Yardım Objeleri)
* 03 - Internet Explorer Toolbarları
* 04 - Registry 'den Otomatik Yüklenen Yazılımlar
* 05 - Denetim Masasındaki IE Seçenekleri İkonunun Görülmemesi
* 06 - IE Seçenekleri erişimi admin (yönetici) tarafından kısıtlı
* 07 - Regedit Erişimi Admin Tarafından kısıtlı
* 08 - IE Sağ Tuş Menüsü Bileşenleri
* 09 - IE Buton toolbarında ekstra butonlar veya IE Araçlar menüsünde ekstra bileşenler
* 010 - Winsock Hijacker
* 011 - IE Gelişmiş Seçenekler Penceresinde Ekstra Grup
* 012 - IE Pluginleri
* 013 - IE DefaultPrefix Hijack
* 014 - 'Web Seçeneklerini Sıfırla' Hijack
* 015 - Güvenilir Site ( Trusted zone ) Listesinde İstenmeyen Adres
* 016 - ActiveX Objeleri
* 017 - Lop.com Domain Hijackers
* 018 - Ekstra Protokoller ve Protokol Hijackerları
* 019 - Kullanıcı Stil Hijack
* 020 - AppInit_DLLs Registry Değeri (Otomatik Çalışan)
* 021 - ShellServiceObjectDelayLoad
* 022 - SharedTaskScheduler
* 023 - Windows NT Serviceleri
* 024 - ActiveX Desktop Components
Buradaki satırlarda tesbit ettiğimiz dikkat çeken bilgileri aşağıdaki adreslerden araştırabiliriz.
Bleeping Computer Startup Database
Answers that work
Greatis Startup Application Database
Pacman's Startup Programs List
Kephyr File Database
Wintasks Process Library
Ayrıca
buradaki adreslerde araştırmalar yapabiliriz.
R0,R1,R2,R3 Satırları
Bu bölüm Internet Explorer başlangıç, ana sayfa ve adres bilgilerini gösterir.
R0 İnternet Explorers başlangıç sayfası ve arama yöneticisi içindir.
R1 İnternet Explorer'in Arama işlevleri ve diğer özellikleri.
R2 Henüz kullanılmamaktadır.
R3 Bir adres arama kanca
içindir. Bir adres arama kancası, tarayıcının konum alanına bir adres
yazdığınızda kullanılır, ancak adresini http:// veya ftp:// gibi bir
protokol yoktur. Eğer böyle bir adres girdiğinizde, tarayıcı kendi doğru
protokolü anlamaya çalışır, ve bunu yapmak için başarısız olursa,
Girdiğiniz yerini bulmak için R3 satırında ipucunu bulabilirsiniz.
Bu satırlarda istenmeyen bir bilgi veya site gördüğümüzde öncelikle tarayıcıları varsayılan ayarlarına getirmek gerekir. Ayrıca
SmitfraudFix güvenli mod'da kullanılabilir. Ayrıca
bakınız.
Bazı Kayıt Anahtarları:
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page
HKCU\Software\Microsoft\Internet Explorer\Main: Start Page
HKLM\Software\Microsoft\Internet Explorer\Main: Default_Page_URL
HKCU\Software\Microsoft\Internet Explorer\Main: Default_Page_URL
HKLM\Software\Microsoft\Internet Explorer\Main: Search Page
HKCU\Software\Microsoft\Internet Explorer\Main: Search Page
HKCU\Software\Microsoft\Internet Explorer\SearchURL: (Default)
HKCU\Software\Microsoft\Internet Explorer\Main: Window Title
HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch
HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: ProxyOverride
HKCU\Software\Microsoft\Internet Connection Wizard: ShellNext
HKCU\Software\Microsoft\Internet Explorer\Main: Search Bar
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks
Örnek:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com/
Aşağıdaki türden bilgi satırlarını rahatlıkla sildirebiliriz.
R3 - URLSearchHook: (no name) - {CFBFAE00-17A6-11D0-99CB-00C04FD64497}_ - (no file)
F0, F1 Satırları.
Bu bölümler, Windows ME. INI dosyaları, system.ini ve win.ini ve altında
veya Windows NT tabanlı sürümleri için kayıt defteri -kayıt defteri-
içindeki karşılıkları tarafından bilgisayar açılırken otomatik yüklenen
programları belirtilir. Windows NT tabanlı sürümleri XP, 2000, 2003 ,
Vista ve Win7.
F0 sistem.ini dosyası içinde "Shell=" ile başlayan kısımları
gösterir.Burada shell satırında farklı program yüklenerek casus
programramlar maskelenebilir. "Shell=explorer.exe casusprogram.exe"
gibi. Böylece istenmeyen programlar açılışta yüklenebilmektedir.
F1 satırı win.ini dosyasındaki load= veya run= satırında belirtilen dosyalardır. Bu programlar windows açılırken yüklenecektir
Dikkatimizi çeken bilgileri araştırıp bulmamız grekmektedir.
N1, N2, N3, N4 Satırları
Netscape / Mozilla Başlat / Arama sayfa adresleri.
Bu satırların artık bir önemi kalmamıştır.
01 Satırları
Hosts Dosyası Yönlendirme bilgilerini gösterir. Kullanıcı yönlendirme
şikayeti var ise, host dosyalarının ele geçirilmiş olduğunu buradaki
satırlarda görebiliriz.
Hosts dosyası, her işletim sistemi için aşağıdaki adreslerde varsayılan olarak saklanır.
Windows 3.1 C:\WINDOWS\HOSTS
Windows 95 C:\WINDOWS\HOSTS
Windows 98 C:\WINDOWS\HOSTS
Windows ME C:\WINDOWS\HOSTS
Windows XP C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS
Windows NT C:\WINNT\SYSTEM32\DRIVERS\ETC\HOSTS
Windows 2000 C:\WINNT\SYSTEM32\DRIVERS\ETC\HOSTS
Windows 2003 C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS
Hosts dosyasının konumu, Windows NT/2000/XP için aşağıdaki kayıt defteri anahtarını değiştirerek değiştirilebilir.
Kayıt Defteri Anahtarı: HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ Tcpip \ Parameters \ DatabasePath
DDS ve OTL yazılım raporlarında yönlendirilmiş hosts bilgileri tesbit
edilebilir. OTL ve ComboFix hosts komutları ile rahatlıkla problemleri
çözebiliriz.
Yine
HostsXpert yazılımı yardımı ile de varsayılan hosts dosyaları yüklenerek sorun çözülebilir. ( XP için )
Hosts dosyası içeriğinde bilmediğiniz bir sitenin ip'si tanımlıysa ya da oraya eklemediğiniz bir satır varsa silebilirsiniz.
02 Satırları
Bu satırlar, Browser Helper Objects'e (Tarayıcı Yardımcı Nesneleri)
karşılık gelir. Bazı casus yazılımlar genelde buraya, yasal programlar
kılığında yerleşebilirler. Bu satırları iyice araştırmak gerekir.
Kayıt defteri nahtarları:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer \ Browser Helper Objects
Örnek bir satır:
O2 - BHO: NAV Yardımcısı - {BDF3E430-B101-42AD-A544-FADC6B084872} - C: \ Program Files \ Norton AntiVirus \ NavShExt.dll
Bu bölümde aşağıdaki örneklerde olduğu gibi tarayıcı yardım objelerini görebilirsiniz.
O2 - BHO: Yahoo! Companion BHO - {13F537F0-AF09-11d6-9029-0002B31F9E59} - C:\PROGRAM FILES\YAHOO!\COMPANION\YCOMP5_0_2_4.DLL
O2 - BHO: MediaLoads Enhanced - {85A702BA-EA8F-4B83-AA07-07A5186ACD7E} - C:\PROGRAM FILES\MEDIALOADS ENHANCED\ME1.DLL
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Antivirus\NavShExt.dll
O2 - BHO: (no name) - {1A214F62-47A7-4CA3-9D00-95A3965A8B4A} -
C:\PROGRAM FILES\POPUP ELIMINATOR\AUTODISPLAY401.DLL (file missing)
Bu satırlarda, eğer bir zararlı tesbit etmişsek onları elle veya ilgili
yazılım ve komutlar aracılığı ile önce temizlemeliyiz. Sonra da
HijacktHis ile ilgili satırı fix'lemeliyiz.
Hijackthis ile silmeye çalıştığınız BHO eğer silenemiyorsa sisteminizi
güvenli modda açıp silmeyi denemelisiniz. Zararlı BHO'lar Internet
Explorer kapalıyken bile sisteminize müdahale edebilir.
03 Satırları
Bu bölüm Internet Explorer araç çubukları (toolbars) karşılık gelir.
Bunlar Internet Explorer gezinti çubuğu ve menü altında araç
çubuklarıdır.
Hijackthis ile silmiş olduğunuz bu girişlerin asıl uygulamaları
sistemden silinmemektedir. Uygulamaları kaldırmak için sistemi güvenli
modda açıp silmeniz gerekmektedir.
Aşağıdaki örneklerde görüldüğü gibi toolbar'ın adı ve harddisk
üzerindeki yerini görürsünüz. O3 satırı bu bilgileri
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar registry anahtarından
alır.
O3 - Toolbar: &Yahoo!
Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAM
FILES\YAHOO!\COMPANION\YCOMP5_0_2_4.DLL
O3 - Toolbar: Popup Eliminator - {86BCA93E-457B-4054-AFB0-E428DA1563E1} -
C:\PROGRAM FILES\POPUP ELIMINATOR\PETOOLBAR401.DLL (file missing)
O3 - Toolbar: Norton Antivirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Antivirus\NavShExt.dll
O3 - Toolbar: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C:\WINDOWS\APPLICATION DATA\CKSTPRLLNQUL.DLL
Şayet tanımadığınız bir toolbar var ise ne olduğunu "
TonyK's BHO & Toolbar List"
sayfasından bulabilirsiniz. Bu sayfada bulmak için parantez içinde
yazılı olan class ID numaralarını kullanacaksınız. Daha önce belittiğim
gibi bu sayfada "X" harfi spyware "L" harfi güvenli dosya anlamına
gelir.
Şayet random karakterlerden oluşan dosya ve director ismi var ise büyük olasalıkla "
Lop.com" bulaşmıştır. Bakınız:
Lop.com - Enfeksiyon Veritabanı
04 Satırları
Bu bölümde, bazı kayıt defteri anahtarları ve Windows başladığında
otomatik olarak bir uygulamayı başlatmak için kullanılan başlangıç
klasörlerine karşılık gelir. 04 satırında görülen bilgiler,
kullandığımız bazı yazılımlara ait HJT girdileridir.Bu nedenle özellikle
dikkatli olunmalıdır.O4 kayıt defteri anahtarlarını ve dizin yerleri
aşağıda listelenmiştir ve tüm Windows sürümleri için geçerlidir.
Kullanıcının Başlangıç Klasörü:
Başlat Menüsü Başlangıç klasöründe bulunan tüm dosyalar listelenir. Bu konum, Windows'un yeni sürümleri için;
C: \ Documents and Settings \ Kullanıcı Adı \ Start Menu \ Programlar \ Başlangıç
C: \ Kullanıcı \ USERNAME \ Vista.
Bu girdiler, belirli bir kullanıcı bilgisayarda oturum açtığında yürütülür.
Tüm Kullanıcılar Başlangıç Klasörü:
Tüm Kullanıcılar profilinde Başlat Menüsü başlangıç klasörü olan ve O4 olarak sıralanabilir
C:\ Documents and Settings \ All Users \ Start Menu \ Programlar \ Başlangıç
veya C altında: Bu konum, Windows'un yeni sürümleri için
C:\ Kullanıcı \ All Users \ Vista.
C:\ Kullanıcı \ All Users \ Win7
Bu girdiler, herhangi bir kullanıcı bilgisayarda oturum açtığında yürütülür.
Run anahtarları:
Bir kullanıcı, ya da tüm kullanıcılar, makineyi açtığında otomatik olarak bir programı başlatmak için kullanılır.
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
RunOnce anahtarları:
Bir kullanıcı, ya da tüm kullanıcılar bilgisayarda oturum açtığında bir
hizmet ya da arka plan işlemi başlatmak için kullanılır. Program
başarılı bir şekilde sonraki oturumlarda tekrar çalıştırmamak için kayıt
silinecektir.
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
RunServices anahtarları:
Bir kullanıcı, ya da tüm kullanıcılar bilgisayarda oturum açtığında bir
hizmet veya arka plan sürecini başlatmak için kullanılır.
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices
HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices
RunServicesOnce anahtarları:
Bir kullanıcı, ya da tüm kullanıcılar bilgisayarda oturum açtığında bir
hizmet ya da arka plan işlemi başlatmak için kullanılır. Sonraki
oturumlarda tekrar çalıştırmak değil, RunServicesOnce anahtar bir
program başlattıktan sonraki açılış oturumlarında tekrar çalıtırma
ihtiyacı duymaz. RunServices anahtarlarından kayıt silinecektir.
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServicesOnce
HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServicesOnce
RunOnceEx anahtarları:
Bir kez program başlatmak ve sonra kayıt defteri girdisini kaldırmak
için kullanılır. Bu özel anahtarı tipik olarak yükleme veya güncelleme
programları tarafından kullanılır.
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnceEx
Policies\Explorer\Run anahtarları:
Bu anahtarlar bir ağ yöneticisinin oturum açan kullanıcıların sistemine
otomatik bir şekilde program yüklenmesi amacıyla oluşturulmuş group
policy'ler ayarları için kullanılır.
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
Örnek satır:
04 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - HKLM\..\Policies\Explorer\Run: [user32.dll] C:\Program Files\Video ActiveX Access\iesmn.exe
O4 - S-1-5-21-1222272861-2000431354-1005 Startup: numlock.vbs (User Admin)
O4 - HKUS\S-1-5-21-1229272821-2000478354--1005\..\Run: [Windows
Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide (User
Admin)
Yukarıda gördüğünüz 5 farklı giriş bulunmaktadır. Bunlardan 2'si arka
planda oturum açmış kullanıcılar içindir. Eğer bir girişin başında uzun
sayılardan oluşan bir küme varsa ev sonunda da parantez içinde bir
kullanıcı ismi yazıyorsa o giriş o an oturum açmış kullanıcı için
geçerlidir.
04 - HKLM\..\Run: [nwiz] nwiz.exe /install: Bu kayıt oturum açmış bir
kullanıcıya ait HKLM\Software\Microsoft\Windows\CurrentVersion\Run
altında yer alan bir başlangıç'a cevap verir. Kaydın adı nwiz'dir ve
başladığından nwiz.exe /install komutunu çalıştıracaktır.
O4 - Global Startup: Adobe Reader Speed Launch.lnk = D:\Program
Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe: Bu giriş C:\Documents and
Settings\All Users\Start Menu\Programs\Startup lokasyonunda bulunan tüm
kullanıcıların başlangıç dosyasına cevap vermektedir.
O4 - HKLM\..\Policies\Explorer\Run: [user32.dll] C:\Program Files\Video
ActiveX Access\iesmn.exe: Bu giriş
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
lokasyonu altında yer alan bir değere cevap vermektedir. Değerin adı
user32.dll'dir ve C:\Program Files\Video ActiveX Access\iesmn.exe
lokasyonunda bulunmaktadır. Bu örnekte kötü amaçlı yazılıma işaret eder.
O4 - S-1-5-21-1222272861-2000431354-1005 Startup: numlock.vbs (User
Admin): Bu giriş diğerlerinden biraz daha farklıdır. Başında sayılardan
oluşan uzun bir giriş vardır ve sonunda hangi kullanıcıya ait olduğu
yazar. Girişin başındaki numaralar SID'dir. SID yani security identifier
her bir kullanıcı için benzersiz olarak tanımlanan numaralardır. SID
numarası girişin sonundaki ismi çevirir, ve girişinin içinde yer alan
diğer verileri ise yine girişin başlangıç klasöründen numlock.vbs
dosyasını çalıştıracağını ifade eder.
O4 - HKUS\S-1-5-21-1222272861-2000431354-1005\..\Run: [Windows Defender]
"C:\Program Files\Windows Defender\MSASCui.exe" -hide (User Admin): Bu
giriş bir öncekine göre biraz daha farklıdır. Bu giriş direk olarak
Admin kullanıcısına aittir.
O4 girişleriyle ilgili olarak bilinmesi gereken önemli bir nokta vardır.
Hijackthis ile bu girişleri kaldırdığınızda sadece girişleri silmiş
olursunuz. Bu girişlerin işaret ettiği dosyalarıda sistemi güvenli modda
başlatıp elle silmeniz gerekmektedir.
05 Satırları
Bu satırlar denetim masasında yer alan Internet Explorer seçeneklerine cevap vermektedir.
Denetim masasında yer alan bir seçeneğin görünmemesi için
C:\Windows\lokasyonu altında control.ini dosyasının içerisine giriş
eklemeniz yeterlidir.
Örnek liste:
O5 - control.ini: inetcpl.cpl=no
06 Satırları
Bu satırlar Internet Explorer seçenekleri içerisinde bulunan bazı
ayarların Yönetici tarafından devre dışı bırakılmış olmasını sağlayan
anahtarlara cevap verir.
Kayıt anahtarı:
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions
Örnek liste:
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions
07 Satırları
Bu satırlar kayıt defteri içerisinde yer alan bir ayarın kayıt
defterinin kitlenmesine ve çalıştırılamamasına sebep olacak bir değerine
cevap verir.
Kayıt anahtarı:
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
Örnek liste:
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System: DisableRegedit=1
08 Satırları
Bu satırlar Internet Explorer içerisinde yer alan içerik menüsünde sonradak eklenmiş ayarlara cevap verir.
Kayıt anahtarı:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
Örnek liste:
O8 - Extra context menu item: &Google Search - res://c:\windows\GoogleToolbar1.dll/cmsearch.html
09 Satırları
Bu satırlar Internet Explorer ile varsayılan olarak gelmeyen, araç çubuğuna eklenen eklentilere cevap verir.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions registry key.
Örnek liste:
O9 - Extra Button: AIM (HKLM)
010 Satırları
Bu satırlar, LSP (Layered Service Provider) olarakta bilinen Winsock saldırılarına cevap verir.
Örnek liste:
O10 - Broken Internet access because of LSP provider 'spsublsp.dll' missing
011 Satırları
Bu satırlar Interenet Explorer seçeneklerinde bulunan gelişmiş IE
seçenekleri tabına sonrada eklenmiş olan yani varsayılan olarak gelmeyen
bir gruba cevap verir.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions
Örnek liste:
O11 - Options group: [CommonName] CommonName
012 Satırları
Bu satırlar Internet Explorer eklentilerine cevap verir.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\plugins
Örnek liste:
Plugin for .PDF:
C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
013 Satırları
Bu bölge saldırıya uğramış IE DefaultPrefix'e cevap verir.
Default Prefix, Windows'da http://, ftp:// başlıklarını kullanmadan
URL'ları girdiğinizde sistemin nasıl tepki vereceğini belirleyen bir
ayardır. Varsayılan olarak Windows http:// ekler. Varsayılan prefix'i
tercihinize göre değiştirmek mümkündür. Sisteminizde bu bölgeyle ilgili
bir saldırı doğrultusunda varsayılan prefix'in
http://ehttp.cc/? olarak değiştirildiğini düşünürsek,
http://www.bing.com adresini ziyaret etmeye kalktığınızda
http://ehttp.cc/?www.bing.com adresine yönlendirileceksinizdir.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\
Örnek liste:
O13 - WWW. Prefix: http://ehttp.cc/?
014 Satırları
Bu satırlar "Internet ayarlarını sıfırla" saldırısına ait bilgilendirmelerde bulunur.
Sisteminizde, Internet Explorer'ın varsayılan ayarlarına dönebilmesi
için kullandığı bir dosya bulunmaktadır. O dosya
C:\Windows\inf\iereset.inf lokasyonunda tutulmaktadır ve içerisinde
kullanılan tüm varsayılan ayarlar mevcuttur. Bir ayarı
değiştirdiğinizde, dosya'nın içerisinde o ayarı gösteren satır kontrol
edilir ve ayar değiştirilir. Eğer o saldırıya uğramışsa, Internet
Explorer'ı varsayılan ayarlarına çektiğinizde, Internet Explorer
bozulmuş iereset.inf'e bakacağı için, problemlerle karşılaşmaya devam
edeceksiniz.
Örnek satır:
O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com
015 Satırları
Bu satırlar Interenet Explorer'da yer alan Güvenli bölgelerin ip adreslerine ve Protokol varsayılanlarına karşılık gelir.
Güvenli Bölge: Internet Explorer'ın güvenliği bir takım bölgeler üzerine
inşa edilmiştir. Her bir bölgenin kendine ait güvenlik koşulları vardır
ve bu koşullara göre hangi bölgede, hangi kodların çalıştırılacağı,
hangi uygulamaların yürütülebileceği belirlenmiştir. Bu bölgeler
arasında Güvenli Bölge diye bir bölge bulunmaktadır. Bu bölge en düşük
güvenlik kısıtlamalarına sahiptir ve erişilen sitelerden kod ve
uygulamaların, kullanıcının bilgisi olmadan yürütülmesine izin verilir.
Saldırganların bu bölgeyi çok sık kullandığı bilinmektedir.
Kayıt anahtarları:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges
Örnek satırlar:
O15 - Trusted Zone: http://www.msattack.com
O15 - Trusted IP range: 188.132.129.15
O15 - Trusted IP range: 188.132.129.15 (HKLM)
Protokol Varsayılanları:
My Computer = 0
Intranet = 1
Trusted = 2
Internet = 3
Restricted = 4
Bir site'ye bağlandığınızda http, ftp, https gibi protokollerin her biri aşağıda belirtilen bölgelerle eşleştirilir.
HTTP = 3
HTTPS = 3
FTP = 3
@ivt = 1
shell = 1
Eğer bir siteye http:// protokolünü kullanarak bağlanırsanız varsayılan
olarak Internet bölgesinin bir parçası olur. Bunun sebebiyse http için
varsayılan bölgenin Internet bölgesine cevap vermesindendir. Problemler
ortaya çıkması, saldırı durumunda bu bölgelerin varsayılanlarının
değiştirilmesiyle alakalıdır. Örneğin eğer zararlı bir yazılım Http
protokolünü 2'ye çevirirse, http kullanarak ziyaret ettiğiniz tüm
siteler Güvenli bölgenin bir parçası olacaktır.
Kayıt anahtarları:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults
Örneksatır:
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone (HKLM)
016 Satırları
Bu bölge ActiveX objelerine yani bilinen diğer adıyla Downloaded Program Files'a ait bilgiler verir.
ActiveX objeleri ziyaret ettiğiniz web sitelerinden bilgisayarınıza
indirilen programlardır. Interenet Explorer açıldığında bu programlar
eksktra fonksiyonellik katmak adına başlatılırlar. Bu objeler
C:\Windows\Downloaded Program Files klasörü altında depolanırlar.
Kayıt anahtarları:
HEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\
Örnek satır:
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPix ActiveX Control) - http://www.ipix.com/download/ipixx.cab
017 Satırları
Bu bölge Lop.com domain saldırılarına cevap verir.
Bir siteyi ziyaret ederken Ip yerine
http://www.msattack.com
gibi bir host ismi kullanırız. Sisteminiz bu host ismini çözümlemek
için bir Dns sunucu'ya danışır. Burada karşılaşılan saldırılarda,
sistemden yapılacak olan sorguların saldırganın dns sunucusuna
yönlendirilmesi durumunda saldırgan tarafından belirlenen lokasyona
yönlendirilir.
Örnek satır:
017 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.57.146.14,69.57.147.175
018 Satırı
Bu satırlar, ekstra protokollere ve protokol saldırıları hakkında bilgi verir.
Saldırganlar; kullanıcıların sıklıkla kullandığı standart protokol
sürücülerini kendi geliştirdiklerikleriyle değiştirirler. Bu sayede
sistemin bilgi alış verişini denetim altında tutmuş olurlar.
Kayıt anahtarları:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter
Örnek satır:
O18 - Protocol: relatedlinks - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C:\PROGRA~1\COMMON~1\MSIETS\msielink.dll
019 Satırı
Bu satır User Style Sheet saldırılarına cevap vermektedir.
Sytle Sheet; html tabanlı bir sayfa için renkleri, fontları ve sayfa
yapısı tutan bir taslaktır. Sytle sheet saldırıları genelde varsayılan
taslağın yeni kötü amaçla kullanılmak üzere tasarlanmış sistemle olur.
Kayıt anahtarı:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles\: User Stylesheets
020 Satırı
Bu satırlar AppInit_DLLs kayıt değerlerinden yüklenen Winlogon Notify alt anahtarlarına karşılık gelir..
User32.dll yüklendiğinde AppInit_DLLs kaydı içerisinde yüklenmesi
gereken bir takım dll'lerin listesi bulunmaktadır. Çoğu uygulamalar
user32.dll'i kullandıkları için AppInit_DLLs listesinde yer alan tüm
dll'lerde yüklenir. Birçok işlemle aynı anda kullanılan bazı dll'leri
devre dışı bırakmak bu yüzden çok zordur. User32.dll dosyası bir
kullanıcı oturum açtığı sırada sistemle birlikte otomatik bir şekilde
açılan uygulamalar tarafındanda kullanılmaktadır.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs
Örnek satır:
O20 - AppInit_DLLs: C:\WINDOWS\System32\winifhi.dll
Winlogon Notify
Winlogon Notify anahtarı genelde Look2ME saldırılarında kullanılmakatdır.
Kayıt anahtarları:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
Örnek satır:
O20 - Winlogon Notify: Extensions - C:\WINDOWS\system32\i042laho1d4c.dll
021 Satırı
Bu bölge ShellServiceObjectDelayLoad kayıt anahtarından yüklenen dosyalara ait bilgileri gösterir.
Örnek satır
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
O21 - SSODL: System - {3CE8EED5-112D-4E37-B671-74326D12971E} - C:\WINDOWS\system32\system32.dll
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
022 Satırı
Bu satır SharedTaskScheduler kayıt değerine cevap verir.
Kayıt anahtarı:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
Örnek satır
O22 - SharedTaskScheduler: (no name) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c:\windows\system32\mtwirl32.dll
023 Satırı
Bu satırlar XP, Nt, 2003 ve 2003 servislerine yanıt vermektedir.
Legimate servis satırı:
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
Home Search Assistant satırı:
O23 - Service: Workstation NetLogon Service - Unknown - C:\WINDOWS\system32\crxu.exe
Bargain Buddy satırı:
O23 - Service: ZESOFT - Unknown - C:\WINDOWS\zeta.exe
O23 - Service: ISEXEng - Unknown - C:\WINDOWS\System32\angelex.exe
Bir O23 girişini hijackthis ile sildiğinizde, servis devre dışı
bırakılır, durdurulur ve sistemin yeniden başlatılması için kullanıcı
uyarılır. Kayıt defteri altından servis silinmez. Servisin silinmesi
için ismini bilmeniz gerekmektedir. HKLM> System>
CurrentControlSet> Services altından elle silmeniz mümkündür. Eğer
kayıt defteri içinden silemezseniz komut satırından sc delete
servicename komutuyla silme denenebilir..
024 Satırı
Bu satırlar, Windows Aktive Desktop bileşenlerine cevap verir.
Aktive Desktop bileşenleri yerel olarak ya da uzaktan bağlantı kurularak
masaüstünüze arka plan resmi olarak gömülen html dosyalarıdır.
Kayıt anahtarları:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components
Her bir bileşen, spesifik olarak 0 ile başlayan anahtarın altında sıralanır.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0\
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1\
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\2\
Örnek satır:
24 - Desktop Component 0: (Security) - %windir%\index.html
O24 - Desktop Component 1: (no name) - %Windir%\warnhp.html
![[Resim: step1.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_s7Zn8CxXF3J1xexweYaL_d3xUh14jvxeOzR9lwlrulB-bNgKCUW8_PI8kompbRP5JYnZM5npzYx4zYK5-64serUxRkXtljX9sjkM5YO5R8g3DSKZtvf1O0Jx6JntQIy4FaaiYTM6pMkIdSP0d6K29YN7k=s0-d)
Sisteminiz çöktüğünde yapılacak ilk şey sistemi yeniden başlatmaktır.
Bu erişilebilir bellek dökümü dosyası oluşturur. Windows ayrıca online
analizleri için, dosya göndermek için izin isteyebilir. Her zaman bunu
gönderilmesine izin vermenizi öneririz. Çoğu kez, hiçbir cevap
almazsınız, ancak yine de veri kayıtlarına geçmesi açısından önemlidir.
Windows'un sürekli çöküyor olmasına endişelenmenize gerek yoktur.
Windows sorunu çözecektir. Problemi bildirebileceğiniz windows forumları
aşağıdadır.![[Resim: step2.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vsdHxINt-681lF3S6zQXmoyMTwSWcH0G22CwxVF2EUMeC9pFb1CUkHfkupXDQn-4w2DUsA6TxGIP40ThZsXRfWZiADmETB2z6ZqAW7QIrsXcRzgAGM4QxMn0ahLPM0ZPTQusORxF0k0U-FaYmtjioP6Ao=s0-d)
Bir sonraki adım sistemin zararlı yönünden incelenmesi ve güvenlik
taramalarının yapılmasıdır. Kötü amaçlı yazılım bilgisayarınızda yoksa,
bozuk ve yanlış sürücü yüklemeleri soruna neden oluyor olabilir.
Aşağıdaki bağlantılardan ücretsiz çevrimiçi taramalardan birini
gerçekleştirmenizi öneririz:![[Resim: step3.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_sIR7riLTj3K9_BMsFfQLhV4zWi4zrSLfwmet8YFjSKkx5tJAynkbvYDhQqXKICQ3PiYaG1dnUyMrCozXnCkV6v0omoKQ2HEIo1-i1G_8NwqskGBq3dBjWePRGyh4vthDtj_rhjm7H1R7W1sbd7IEbX8KM=s0-d)
Dmp uzantısı ile biten dosyalar için sabit diskinizde arama yapın.
Windows'un yaratabileceği bellek dökümlerinin çeşitli türleri vardır.
Bunları aşağıdaki şekilde ayırt edebilirsiniz.![[Resim: snapresimlerim001.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_u7WucgftYJPQW-W0sKivcaBxcooCtO8i3cPidI7QxRUcD_J8ocTCaJGeGYyo47DWEgEAjzgq7A12nhnFPt6d6CsDi5f6y7yzcq5fKoMYSJDH5_ThVI6X3-RtQTqffnDA=s0-d)
![[Resim: step4.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_t4VKrK6xV8uGYj_onEW_SWWhN3kZ2afkIaBJuiRBh_c8kgd1kJPoGR69DVNQXudI9w-Zkhq4sb5upO81IkNzdNoCayDneY_rTxZFZfBB7CDQBpPfoHKzRVozJwReZCV6UVBibNKDLbVBaL18X1snU1zCI=s0-d)
Bellek dökümü dosyalarını bulduktan sonra onları analiz etmek için hata
ayıklayıcıya ihtiyacınız olacak. Bunun için ücretsiz, işletim
sisteminize uygun, 32 veya 64 bit, Windows hata ayıklayıcı yazılımı olan
![[Resim: step5.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vJBDoEvroEhpTKHPM6s0YK1CAu6QNoU6Xie_UZbQO2xsaLmRSbnmREFSdo7TbWENtnGuIiNzneLb6F9F3S4casLazYhVeZcPrCj7scqQxJubW1mzsOlc8-fPe6iTpjZwbnfFwvly0_OFyDTBAsOkObr_Y=s0-d)
Açılan pencerede, Sembol Dosya Yolu penceresine aşağıdaki metni
kopyalayıp yapıştırıyoruz. Bu kritik bir adım olup,yanlış yapılırsa,
sembol hataları ile karşılaşacaksınız:![[Resim: step6.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tLo9pLXaH1mt88_643iNV8VkGHzqNtRjaANpYo2Cer5oeV6Gn26oFDt80ZfJf_MJFPibiQIU93XxponMd4W7raV2FPx9XqRaserDaO0DH4m57J7UtAzYYdiHfFSzXgUZQMeslt2ZVeW_WtOSm3ddNNz8s=s0-d)
Ardından, Dosya menüsünü tıklatın ve Open Crash Dump seçeneğini
seçin.Iletişim kutusu açıldığında, Browse düğmesine tıklayın ve bellek
dökümü dosyasının konumuna göz atın. Sonra Debugger içine yüklemek için
çift tıklayın. Tekrar çalışmayı kaydetmek isteyip istemediğiniz
sorulduğunda ![[Resim: step7.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_sukSwccQjz64bCsEfPBZw7JD6T2WRXF-9R7HNQb0H71D-trTESaYyH3t7BVyFBnCDPH1NFFsn5n1S_dB0RBcWvOVwe53rbadmw4hvg1--6pv7kOMQTgWbD57eqk5rZYGSYoCMgWGeo3DfalOjFcKZz3aQ=s0-d)
Bir sonraki adım, yukarıdaki raporda mavi ile vurgulanan ![[Resim: step8.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_v2IuPWLDJyOMjcKDheoBc2ojILPR_c_lY9Nr5TSgHnTfWY34PalVzwA6cO3BWsBOPo15erknmL_AlpJYA5A4scPgmW6GUzjCZFo4lm4RqGUojASbde8BEYspgPtU5GLWOayZmKV7Tl8kqkKzBJ8PjBBgU=s0-d)
Bu yapıldıktan sonra, ![[Resim: step9.gif]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_ub0SpB77ouMKaY9Sd3LqYoXaw2A4ti4djcxRsa7qgRxfi_CbukeWN_j8cxpScKAvt_cWpjvHHAOp9-DeD3DT3XQ-hkyOpJo5FcKRWWb73mCSbS6D-_Znt2EAI6reuWEr3zFZAlhpuD_lc_KI6xlvxYBg=s0-d)
Bir
konu başlığı seçin,bize yaşadığınız sorunları ve sisteminizin markasını
ve modelini de bildiren bir mesaj ile uygun forumlarımızda konu açarak
bildirin...![[Resim: snap20110804230749001.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_snka0MmCVOLTaq4LO7DyE1Mh-vblnnhiba8yvzmboUrfR2JdtU51L-5NbQtQV-iHYnfLwIn_RmgBfVJmUzibkGBDqSsD-m2kcILv89Si9CPznYD5TsIvjsOSQ01ZXZxB7xIPQ=s0-d)
![[Resim: snap20110804230801002.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tuT9RJb9B2P5l2RTwdkp8RHgXC9Q2fZhdGh5ej-6iP2Pr10wAdUSvTe2LrMnzRZgJZexUwy5f8rFh8ERxyEAKQhb45nZmEbS2YJC3w65d1fAn4fIic4ldUp_0aOMX6b1T5lp4=s0-d)
![[Resim: snap20110804230810003.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vdCyCz8hC3kknEVFvDb0rntSMA1kCOvcTk4hpF10JSIaAXiaQqZdai43-UgnEjevjJ8j8vs2t93suB4H4SWJ89pFmvw4DangvaDKrguxQ6cwI35HkNWPJPyCOUmbdlZOm0J1Q=s0-d)
![[Resim: snap20110804230835005.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_uG3KrHfO5Sgom5liU1nvmClvMi7nx9wUx00J5euEk4UYtom2_nB7YF3SwQ_xDERvUMWXDLkA_kX7xRnbZsR0XGH-7mOqbsY2DpTDmgPUtuT-V_dtgnzq2q6dczANNvxVl5=s0-d)
![[Resim: snap20110805003037001.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vFcZXbACFdWq7tgJ8eYr_cpGPCO0fOC37gZU_GcSU9ND1sOR2Mqfk2H1h32OWG-Bt6vm_wuiSCTpuP_25EXWUhrp5hXYS5-OKB-vQzh8gaMzXUa1tj_KnQN8sD1wZnLc8XErtA=s0-d)
![[Resim: snap20110804230909006.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_umnVuXSVzw7fj6k76kq4lXLiApYgWnkKK0Ln11OOdOHRI-S4Z65IZ16MNQHl1VzWo7TKTC0DVhxx7As83afuJlxLpgjpchXV8vUQMnrSnBVj_7JlMOdafsVespvySCSq6PVqI=s0-d)
![[Resim: snap20110804231032007.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tNBb3VxLbJZ1zfFUgxQRUrizoF1-3Nnr9dO6VwwINA-TJ335PqNAVl7WoQkL_N4AC3zOz6jLmvXQCRmVXCuXZ97UPV3YjccrGO9yDSiH2efrRyFm1vb6JWOVJjIv20iCb7eQ=s0-d)
![[Resim: snap20110804231102008.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_uBFms0TgW2RJgDipz6fSJF3KtaCT0ghh7QFkiokOOF0dTe0JXK1VrY0aSXf0oc5kiBZO_XfE5iTkEWFywN2ev3nQC64qtFoZusX-oget8biBw7Bv6ygyKnTczewFlov4GGlA=s0-d)
![[Resim: snap20110804231114009.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_s2yeH4_nhZr1wG6LTZr1FBBP30KV8G9Eg5w2FoTRb26ExIVQU3_kVuXbJ5JH8paWMvbvXmrwIbN4BI98x5dvA44VEsUlTr8foaGPCnlIfAF7erzzOuRpt-9IURMUWjtMWheZOQ=s0-d)
![[Resim: snap20110804231320015.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_sybXalf3XtGecv8UcfMGffi8wkcUDOH23JkSsfW5x5pwxUOyiWCHa-hMAPUbdCwKjqHfoaotKGvP2r1RBrjEkmaXLlLqLhZnMnOwRlPExgJ0ZBhMaG0pMeUDEVrcAfYSh-5Lr0=s0-d)
![[Resim: snap20110804231449016.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tWkzIOSgYJpT51aT3MuPAvEZeDr8H-L_JF-oUZ_5rY9RpQ0FLO200bZA-DsEWPttOJU8zWQ0MAi1Qa2AAcdNNVHVzfAhYocs8sQ00ZLxUrWveQt49pUHLxOdUVtpT3nIOWL5M=s0-d)
![[Resim: snap20110804231548017.jpg]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tWYWROX4XQtyc4RLWcwyGFhS8v2f4ACvEjYZnx0DUnMtwyctq34qLo76Ib6fSXUbsnQYwWSWAmJRoMHb-nux_puU4hg1xClHd5RHb1iSMM8iAkDMtJF334IPOOCIRLkz0xPMY=s0-d)
![[Resim: image.php?di=H15I]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_t26hy-y78pmDUB-b7vgQB9YzSr3nji8ImfdSKpWtckEV8ISRD0wzfe-tL0t_fmaT5g5B1CxJz6MkTyIIr8E0l08baHJPHzRNZ7pxjlN71N_o9tKWw=s0-d)
![[Resim: image.php?di=8DD4]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_t_V4QBnXj4QRM4lf0Kbp3WUwzwI-T0zqiriDVmENv3xPD4RFTkBsbCHf5O6gN3iUXNIMf7Zb5N708QI_zMdr_TD7u14hZQXVOdx_gu59JDvpwRLg=s0-d)
![[Resim: image.php?di=8176]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_upmJcS59F4dB7o-XxG5UXc5MIYhYIQ8I6kEnUvtgKfOoKivOGJrio3OxZ9mUW_uq0J0lftN5rAfCLNZWD7OMmuRMIoHV1oMq0vwp9aHih2qEP2G7U=s0-d)
![[Resim: image.php?di=ZREG]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_udu7qdQHdlIToP0RG_Ub9uFwmOpsI1Q9Fx4qcRjW6EZ_RSsF9MKnA9SuL2qIr-SdHoU9ZY7MJGIV1tJX5W15qbpyKMTM2bSmahioEuWQ7aaXuZZw=s0-d)
![[Resim: image.php?di=3CU6]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tuxcG489a3w8W1_WCV8sZBmawJtReiViJW5sJk1RXgAnHDKcghSIEVkNAEoZTC5H2uClR4fdxOMe0VcUN9-KyIG0bGyGfS4ID3H_S-4VOwqRJ1FRg=s0-d)
![[Resim: image.php?di=6A8N]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_ucSToIQhaCEPEUgmivR6VjL-MrCMHD5Lb84wMTb2YlP7pxh-W3EhIhSNaUQUZUamBvp-8eNPoInHf_5t6zjqcdd6pLV0jIsRAS8yiJBFWu1qVWEVc=s0-d)
![[Resim: image.php?di=CSDW]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_uPPoiA4usnJWXEnxSkIMfQQScDC7_kXC6S9Bj1esPf8YagYRc5RF_UiZ48T8HqGwR6o3cHmLgaz1CiiDaq0M-XCmASSqCcxwP8PlZFOHAAv9WTlGE=s0-d)
![[Resim: image.php?di=0OXS]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_uYvYXti1uJOMNMYV8bK-kp3e7_WN-zE5yoMnZ_2kU-yH1TkfOeG6Usini1KI92-fv9d7XCCW3GVqhI7MXBoSkBkwb_BVDAUoDpxaZL0hDBvkMnDvs=s0-d)
![[Resim: image.php?di=TZ7Q]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vxT4moxZo8YXar7vW4I8SUnn9HP0YptsL2FVv5yM75e9DeeU0oiNQ1GNGPZznL8C6yu2SeJ22MHrJl39bQC5wsC49e2_obWaH6TO9ruGYcX4PKhBU=s0-d)
![[Resim: image.php?di=5INA]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_u388-Z0usRx09V0wcpt3wqpHMCwDib2EatXuqu3QohVLkfO-kWZYrc-_7-Q41D0XFKUL_ZpJcid80Dt-dDkrmFex3h2IzTDOm_Lu3ddKLRRzu6D24=s0-d)
![[Resim: image.php?di=LPIP]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_u0ULpUawQMZuO20NNMHq6veZpLLeAxYRk1Onu1tIy4aPFReCyu3YSHFCXucOwuJ793hIyL0B2TPf24SCFKLb4NaXBwMpxXYy9ZqFA5zjo6aLUJWro=s0-d)
![[Resim: image.php?di=FPPK]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tcB2bBsqTKhAj8u1qd4_hC5zXgC4VQMvQIuQJ0IS5qyP4ZHxPfuCP55L737f4lSkix_IKFEPdrMMYEttuss-cG2dd2aOO0XJehkBf6X7Rvqu4Sao0=s0-d)
![[Resim: image.php?di=00EQ]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_vHWdaAp_gmncal_pj-4ksMZErpSrQdCwfB-CJ4MfJ8iAP5c1rxI4vsqOvVWTfZGc0PA3s9pi4ZfA7nwDXw48OS-A2dT_jd0SYyzXsL05CJ71AP61I=s0-d)
![[Resim: image.php?di=XQP8]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tgvyOnZgvo6AHZeIJKyv27SZWGqJVQzp2rAWYHTDr4DDYP1KLM_oMWuYNBEHhJbo4WmU0Tlb1r1wpk2bSUGftKuuWhxW8EivWqMqGHNa7TPdfeq2s=s0-d)
![[Resim: image.php?di=VQQJ]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_t4P8B5EzBq1vmci92c6hpfvC2oyv2LrUYx74J4Oz2m4nl8q3_qqaf4gVdC7aUd4qC0NbYA_LZ5QJfBONeZY02SlvBfRlB186evDrYs2eckp960l-g=s0-d)
![[Resim: image.php?di=VX95]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_tFTCnia3hcWGIEKhJRVOa3Ce_T7t29iNO9qzq8E0szHaFVcPLRpQpM_pHAPgdQKdZzlPITURp0ro0v1pH3ZewRB2gquEnAoBdCVKMuslMBvLgQqLQ=s0-d)
![[Resim: image.php?di=02UG]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_sNUOaYV65LV2fc3J84_JfxK-6qF7xjHtlsryNzdDbsNem934xWQhXpngn87qfTDlzffjjVyNajkD3S1_zPcCe980_gOrWYp7pSksk8ZaBL960-8Q=s0-d)
![[Resim: image.php?di=TOLS]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_s694kirs-lC5eMGDwfrYySGzGYmI009xbimJBe8F1R4HQ0hR1FD7bq0y9otohBEuoX2HSdMQ_n3C1SWppF8UIBMmqGTTOoIPii0l73-2LQwK6KVMY=s0-d)