Windows'ta Şüpheli Süreç Nasıl Bulunur? Sysinternals Rehberi

Windows'ta şüpheli süreç nasıl bulunur sorusunun cevabı, sistemin normal hâlini tanıyıp ondan sapanı ayırmaktır. Bunu Microsoft'un ücretsiz Sysinternals araçlarıyla yaparsın. Süreç ağacına, dosya yoluna, dijital imzaya, açılışta çalışan girdilere ve ağ bağlantılarına bakarsın. Tek bir işaretle değil, birkaç işaretin birleşimiyle karar verirsin.

Bu yöntemleri yalnız kendi bilgisayarında ya da inceleme yetkin olan cihazlarda kullan. İş bilgisayarında bir şüphen varsa önce bilgi işlem ya da güvenlik ekibine haber ver.

Sysinternals nedir, hangi araçlar işe yarar?

Sysinternals, Windows'u derinlemesine incelemek için Microsoft'un yayımladığı ücretsiz araçlar paketidir. Şüpheli süreç avında dört aracı birlikte kullanırsın:

Araçları yalnız Microsoft Learn'deki Sysinternals sayfasından ya da Microsoft'un Sysinternals Live adresinden al. Yönetici yetkisiyle çalıştıracağın bir aracın sahte olması büyük risktir. Bir ayrıntıya dikkat et: Process Explorer ve Sigcheck'in güncel sürümleri Windows 11 ve Windows Server 2019 ya da üstünü destekliyor. Eski bir sistemde Görev Yöneticisi'nin Ayrıntılar sekmesi ve PowerShell ile başlayabilirsin.

Windows'ta şüpheli süreç nasıl bulunur?

Process Explorer'ı yönetici olarak aç. Üst pencere süreçleri ağaç biçiminde gösterir. Önce görünümü zenginleştir: sütun seçiminden komut satırını, dosya yolunu, şirket adını ve doğrulanmış imzalayan sütununu ekle. Seçeneklerden imza doğrulamasını aç. Menü adları sürümden sürüme küçük farklar gösterebilir.

Sonra şu işaretleri ara:

• Yanlış konum: Sistem süreci gibi görünen ama C:\Users\...\AppData ya da geçici klasörden çalışan dosya.
• Taklit ad: svch0st.exe ya da scvhost.exe gibi tanıdık bir adın bir harf değiştirilmiş hâli.
• Tuhaf ebeveyn: Bir belge programının ya da tarayıcının altından açılmış komut istemi veya PowerShell.
• Doğrulanamayan imza: Yayıncısı boş ya da imzası doğrulanamayan, üstelik açılışta çalışan bir dosya.
• Uzun ve kodlanmış komut satırı: Okunamayan, uzun bir parametreyle başlatılmış PowerShell.

Tek işaret karar için yetmez. Ama yanlış konum, imzasız dosya ve dış bağlantı yan yana geldiyse araştırmaya devam et. Aynı mantıkla fanları sürekli çalıştıran bir süreci kripto madenci virüsü yazısında, tuş kaydedicileri keylogger nedir yazısında inceledik.

Sapmayı görmek için önce normali bilmen gerekir. Windows'un çekirdek süreçleri belirli bir yerden ve belirli bir ebeveynden doğar:

İkinci bir lsass.exe, kullanıcı klasöründen çalışan bir svchost.exe ya da ebeveyni services.exe olmayan bir svchost.exe incelemeye değer.

PowerShell'de sürecin ebeveynini ve komut satırını şu sorgu gösterir:

Get-CimInstance Win32_Process |
  Select-Object ProcessId, ParentProcessId, Name, ExecutablePath, CommandLine |
  Sort-Object ParentProcessId | Format-Table -AutoSize

İmza ve VirusTotal kontrolü nasıl yapılır?

Sigcheck dosyayı kimin imzaladığını ve imzanın geçerli olup olmadığını gösterir. Microsoft'un belgesindeki örnek, sistem klasöründeki imzasız çalıştırılabilir dosyaları listeler:

sigcheck -u -e c:\windows\system32

-e yalnız çalıştırılabilir dosyalara bakar. -u ise VirusTotal kontrolü kapalıyken yalnız imzasız dosyaları gösterir. Tek bir dosyanın özet değerlerini görmek için sigcheck -h kullanırsın.

VirusTotal tarafında iki farklı işlem var. -v dosyanın özetini sorgular, dosyayı göndermez. -vs ise daha önce taranmamış dosyayı VirusTotal'a yükler. İlk kullanımda hizmet şartlarını kabul etmen istenir. -vt bu kabulü komut satırında verir. Yüklenen dosyalar başkalarınca görülebilir. Kişisel ya da şirkete ait belgeleri hiçbir zaman yükleme.

Hatırla: imzasız her dosya zararlı değildir, imzalı her dosya da temiz değildir. İmza, diğer işaretlerle birlikte okunan bir ipucudur.

Açılışta çalışan girdiler Autoruns ile nasıl incelenir?

Zararlı yazılım kalıcı olmak için bilgisayar açılınca kendini yeniden başlatacak bir yer bulur. Autoruns bu yerlerin hepsini tek ekranda gösterir: başlangıç klasörü, Run anahtarları, zamanlanmış görevler, hizmetler, sürücüler, WMI girdileri ve daha fazlası.

İnceleme sırası:

1. Seçeneklerden imzalı Microsoft girdilerini gizle. Liste kısalır ve üçüncü taraf girdiler öne çıkar.
2. Tarama seçeneklerinden imza doğrulamasını aç.
3. Logon, Scheduled Tasks ve Services sekmelerinden başla.
4. Tanımadığın her girdinin yolunu, yayıncısını ve oluşturulma tarihini not et.
5. Emin olmadığın girdiyi silme. Onay kutusunu kaldırarak devre dışı bırak ve sistemi izle.

Temiz bir dönemde bir kayıt almak, sonraki karşılaştırmayı çok kolaylaştırır. Komut satırı sürümü bunu CSV dosyasına yazar:

autorunsc -a * -c -h -s -m > autoruns-ekim.csv

-a * tüm girdi türlerini, -h dosya özetlerini, -s imza doğrulamasını açar. -m Microsoft girdilerini gizler. Bir ay sonra aynı komutu çalıştırıp iki dosyayı karşılaştırırsın. Yeni bir satır, sorgulaman gereken bir değişikliktir.

Hangi süreç nereye bağlanıyor?

TCPView her TCP ve UDP uç noktasını, sahibi olan süreçle birlikte listeler. Varsayılan olarak her saniye yenilenir. Yeni uç noktalar yeşil, kapananlar kırmızı, durumu değişenler sarı görünür. Adres çözümlemesini araç çubuğundan açıp kapatabilirsin.

Burada aradığın şey süreçle bağlantı arasındaki uyumsuzluktur. Tarayıcının dışarı bağlanması olağandır. Bir hesap makinesinin ya da yazıcı yardımcı programının sürekli dış bir adrese bağlanması değildir. Aynı adrese dakikalar arayla tekrar tekrar giden küçük bağlantılar, bir komuta sunucusuna verilen nabız olabilir.

Komut satırında tcpvcon -a -c -n tüm uç noktaları adres çözümlemeden CSV olarak verir. PID değerini Process Explorer'daki süreçle eşleştirip dosya yoluna geri dönersin.

Şüpheli bir süreç bulunca ne yaparsın?

Acele etme. Delil, girişin nasıl olduğunu anlamanın tek yoludur:

1. Sürecin adını, PID değerini, dosya yolunu, komut satırını, ebeveynini ve bağlantılarını ekran görüntüsüyle kaydet.
2. Dosyanın özetini sigcheck -h ile al ve not et.
3. Bilgisayarı ağdan ayır. Kablolu bağlantıyı çek ya da Wi-Fi'ı kapat.
4. Kurumsal cihazdaysan burada dur ve güvenlik ekibine haber ver.
5. Kişisel cihazda Windows Güvenliği'nde Virüs ve tehdit koruması altındaki tarama seçeneklerinden Microsoft Defender çevrimdışı taramasını başlat. Bu tarama bilgisayarı yeniden başlatır ve Windows açılmadan önce tarar.
6. Kalıcılık girdisini Autoruns'ta devre dışı bırak, silmeden önce kaydını al.
7. Önemli hesaplarının parolasını başka, temiz bir cihazdan değiştir.

Zararlının bağlandığı adres bir oltalama ya da zararlı yazılım sitesiyse USOM'a bildirebilirsin. Güvendiğin bir yedekten geri dönmek ya da sistemi yeniden kurmak, emin olamadığın durumlarda en temiz yoldur.

Elle süreç avı ne zaman yetmez?

Elle inceleme tek bir bilgisayarı anlamak için iyidir. Yüzlerce cihazlı bir kurumda ölçeklenmez. Orada uç nokta tespit ve yanıt araçları devreye girer. Farkı EDR nedir yazısında anlattık.

Gelişmiş zararlılar süreç listesinden kendini gizleyebilir ya da yalnız bellekte yaşayabilir. Bu durumda bellek dökümü alıp incelemek gerekir. Konuya Volatility ile bellek analizi yazısıyla girebilirsin. Olayı baştan sona yönetmenin çerçevesi ise olay müdahalesi ve NIST 800-61 yazısında. Zararlı türlerini ayırt etmek için virüs, trojan ve solucan yazısına bak.

Açılışta çalışan sahte bir girdiyi bulup temizlemeyi denemek istersen saha görevlerinde Windows inceleme senaryoları var.

Kaynaklar

• Microsoft Learn: Process Explorer
• Microsoft Learn: Autoruns ve autorunsc parametreleri
• Microsoft Learn: Sigcheck
• Microsoft Learn: TCPView ve Tcpvcon
• Microsoft Destek: Microsoft Defender Çevrimdışı ile bilgisayarımı koru