Semptomlar:

• Program Ekle/Kaldir menusunde Disk Knight girdisi
• Flash disk takildiginda gorunen bir kalkan ikonu
• Flash diskteki program ve verilere erisimde zorluk

Temizleme yolu:

Yapilacaklar cok basit, aslinda windows grafik arayuzunden de yapilabilir ancak ben almanca bir windowsta arayuzden temizleyemedim. Sorun benim almancam miydi yoksa arayuz muydu emin olamadigimdan burada komut satirindan temizleme yolunu anlatiyorum.

Bulasmis diski sisteme takmadan once shifte basili tutarsaniz yada diskin otomatik calistirilmasini engellerseniz sisteminize bulasmayacaktir.

USB Surucusunu Temizleme:

1. Baslat->Calistir, ve gelen bosluga “cmd” girin
2. USB surucusune gecmek icin “e:” (yada surucu nerede yukluyse oranin adi) yazin ve enter’a basin
3. “dir /a:s” girin. Bu gizli ve sistem dosyalarini getirecek. Eger “knight.exe” listedeyse surucuye disk knight bulasmis demektir.
4. Once dosyalarin sistem dosyasi ve gizli dosya ozelliklerini kaldiralim:

• attrib -s -h -r knight.exe
• attrib -s -h -r autorun.inf

5. Ardindan dosyalari silelim:

• del knight.exe

• del autorun.inf;

6. tekrar dir /a:s yapin ve knight.exe’yi sildiginizden emin olun.
7. USB surucuyu cikartin.

Makinadan temizleme:

1. Disk Knight’in calismadigindan emin olmak icin gorev yoneticini acin ve Disk knight yada knight exenin calisan processler arasinda olmadigindan emin olun.
2. c:\windows\knight.exe’yi silin. Yukaridaki gibi (4. 5. adimlar) yada arayuzden gizli ve sistem dosyalarini gorerek silebilirsiniz.
3. Son olarak regedit’le knight.exe ile ilgili girisleri aratip silin

Bu islem makinanizi disk knight’a karsi bagisikli kilmaz yani autorun acikken disk knight bulasmis bir surucu takarsaniz tekrar bulasir. USB surucunuzu yabanci bir makinaya takmadan once gorev yoneticisinden disk knightin calisip calismadigini kontrol etmenizi oneririm.

Worm’un ilk versiyonu CTRL+ALT+DEL ile gelen görev yöneticisinde prosesler altında görünüyordu. Bu wormu temizlemek Dracula antivirüs denen bi alet sayesinde çocuk oyuncağıydı ama yeni versiyon artık görev yöneticisinden görünmüyor, sistemi eskisi kadar kasmıyor, bazı makinalarda paylaşılan harddisklerin altında el işareti çıkmıyor ve dracula ile temizlenmiyor.

Worm’un bilgisayarınıza bulaşıp bulaşmadığını anlamak için Bilgisayarım’ın altında Hardisklerinize (C: yada D:) sağ tıklayıp paylaşım sekmesini seçin. Eğer harddiskleriniz paylaştırılmışsa wormdan etkileniyorsunuz demektir.

Temizlemek için:

Silinmesi gereken dosyalar Windows sistem klasörlerinin içinde ve çalışan bir sistemden silinmeleri zor. UBCD 4 win gibi bir kurtarma CDsi kullanarak sistem dosyalarına dışardan erişmek daha mantıklı olsa da şuradaki programla kendi Windows’unuz içinden de temizliği yapabilirsiniz. Sadece programı kurun ve silinecek dosyaya sağ tuşla basıp sihirli değnek ikonunu seçin…

Aşağıda listelediğim dosyalardan bulabildiklerinizi silin (unlocker kullanıyorsanız silerken system managerdan gözükmeyen activexdebugger32 yi sonlandırmak isteyip istemediğiniz sorulacak evet deyin) : Ijl11.dll , KMON.OCX , KTKBDHK3.dll , MSWINSCK.OCX , PAC.exe , ACD.CMD , ACD2.CMD .

Söylenenlere göre şu dosyaları Windows CDsindeki orjinalleri ile değiştirmeniz gerekiyormuş (ben yapmadım sorun olmadı ama yinede güvende olmak lazım tabi…): scrrntr.dll , scrrun.dll .

(Eğer dışardan çalışıyorsanız [UBCD4win] virüslü sistemi yeniden başlatın) Regeditle registryi açıp activeXdebugger yazan her şeyi silin. Bunun için Başlat->Çalıştır, gelen menüde regedit yazın ve onaylayın. Regedit penceresinde düzen->bul activeXdebugger yazın gelen her şeyi silin. Burada kısa bir uyarı, birden fazla girdi olduğu için hiçbir girdi gelmeyene kadar tekrar arayın (F3).
Son olarak da komut satırından hardiskleri paylaşımdan kaldıracağız. Başlat->Çalıştır gelen menüde cmd yazın ve enter’a basın.

Komut ekranına:

“net share Paylasimadi /delete”
yazın.Yani çoğu durumda şu iki satırı yazmanız gerekiyor:

“net share PATRON1 /delete”

“net share PATRON2 /delete”

Wormdan kurtuldunuz, hayırlı uğurlu olsun.
Bu gün iş yerinde bir kaç virüs programı ile denedim hiç biri temizlemedi… Bazıları panda antivirüsün temizlediğini söylüyor ama artık bu worm’un iki versiyonu var ve yeni versiyonundan mı bahsediyorlar emin değilim.

Şahsen ben Linux kullanıyorum ve bu sorunların hiç biri ile uğraşmam gerekmiyor (en azından kendi makinamda). Eğer bir mazeretiniz (geçerli bir mazeret, .doc ve .xls ler mazeret değil) yoksa sistem güvenliğiniz için size de linux tavsiye ederim. Zira artık UBUNTU sayesinde Linux’a geçmek çok kolay.