Keylogging (Tuş Kaydetme Saldırıları)

Dijital dünyada kullanıcıların en değerli varlıklarından biri giriş bilgileridir. E-posta hesapları, sosyal medya şifreleri, banka girişleri, kurumsal sistem hesapları ve kişisel veriler çoğunlukla klavye üzerinden girilir. Siber saldırganlar da bu nedenle kullanıcıların tuş hareketlerini gizlice izlemeyi hedefleyen saldırı yöntemleri geliştirmiştir.

Bu yöntemlerden biri Keylogging (Tuş Kaydetme) saldırılarıdır.

Keylogging, kullanıcının klavyede bastığı tuşların gizlice kaydedilmesi işlemidir. Bu teknik saldırganlar tarafından kötü amaçla kullanılabileceği gibi, bazı durumlarda ebeveyn denetimi veya kurumsal denetim yazılımlarında da meşru amaçlarla kullanılabilir. Ancak siber saldırılar bağlamında keylogging çoğunlukla bilgi hırsızlığı amacı taşır.

---

Keylogger Nedir?

Keylogger (Keystroke Logger), kullanıcının klavye hareketlerini izleyen ve kaydeden yazılım veya donanımdır.

Bir keylogger şu bilgileri ele geçirebilir:

• Kullanıcı adları

• Şifreler

• Bankacılık girişleri

• E-posta içerikleri

• Yazılan mesajlar

• Arama sorguları

• Kurumsal erişim bilgileri

Saldırgan açısından bakıldığında, sistemi doğrudan kırmak yerine kullanıcının bilgilerini gizlice almak çoğu zaman daha kolaydır.

Örneğin:

Bir kullanıcı bankanın internet şubesine giriş yaptığında, keylogger girilen kullanıcı adı ve şifreyi kaydedebilir.

---

Keylogging Nasıl Çalışır?

Keylogging saldırıları temel olarak kullanıcı ile işletim sistemi arasındaki veri akışını izler.

Normal süreç:

1. Kullanıcı tuşa basar

2. Klavye sinyal üretir

3. İşletim sistemi girdiyi işler

4. Uygulama karakteri ekrana yazar

Keylogger ise bu zincire gizlice dahil olur.

Süreç şu hale gelir:

1. Kullanıcı tuşa basar

2. Keylogger girdiyi yakalar

3. Bilgiyi kaydeder

4. Sistem normal çalışmaya devam eder

Bu nedenle kullanıcı çoğu zaman saldırının farkına varmaz.

---

Keylogger Türleri

Keylogging tek bir yöntem değildir. Farklı tekniklerle çalışan çeşitli türleri vardır.

1. Yazılımsal (Software Keylogger)

En yaygın türdür.

Sisteme kurulan kötü amaçlı yazılım, tuş girdilerini işletim sistemi seviyesinde izler.

Özellikleri:

• Gizli çalışabilir

• Başlangıçta otomatik açılabilir

• Log dosyası oluşturabilir

• Bilgileri saldırgana gönderebilir

Genellikle şu yollarla bulaşır:

• Zararlı e-posta eki

• Sahte yazılım kurulumu

• Korsan programlar

• Sosyal mühendislik

• Truva atları

---

2. Donanımsal (Hardware Keylogger)

Fiziksel cihazdır.

Klavye ile bilgisayar arasına yerleştirilir.

Örnek:

USB klavye ile bilgisayar arasına takılan küçük bir cihaz.

Avantajı:

• İşletim sisteminden bağımsızdır

• Antivirüs tarafından görülmeyebilir

Dezavantajı:

• Fiziksel erişim gerektirir

Bu nedenle daha çok hedefli saldırılarda görülür.

---

3. Kernel / Driver Tabanlı Keylogger

Daha gelişmiş ve tehlikeli yöntemdir.

İşletim sisteminin çekirdek (kernel) seviyesinde çalışır.

Özellikleri:

• Çok yüksek yetki

• Güçlü gizlenme

• Tespiti zor yapı

Bu tip keyloggerlar genellikle gelişmiş zararlı yazılım ailelerinde görülür.

---

4. Browser ve Form-Grabbing Tabanlı Keylogger

Her keylogger klasik anlamda tuş izlemek zorunda değildir.

Bazıları tarayıcı içindeki form verilerini hedefler.

Örneğin:

Kullanıcı giriş formunu doldurur.

Zararlı yazılım:

• Tuşları değil,

• Gönderilen form içeriğini

• Tarayıcı içinde yakalar.

Bu teknik bazen form grabbing olarak adlandırılır.

---

5. Mobil Keyloggerlar

Akıllı telefonlar da hedef olabilir.

Mobil keyloggerlar:

• Sanal klavyeleri

• Mesajlaşmaları

• Kopyala-yapıştır verilerini

• Bildirim içeriklerini

izlemeye çalışabilir.

Android cihazlar, sahte uygulama yüklemeleri nedeniyle daha sık hedef olabilir.

---

Saldırı Zincirinde Keylogging’in Yeri

Keylogging çoğu zaman tek başına saldırı değildir.

Genellikle saldırı zincirinin bir parçasıdır.

Örnek zincir:

1. Phishing e-postası

2. Zararlı dosya açılması

3. Truva atı kurulması

4. Keylogger yüklenmesi

5. Veri toplanması

6. Hesap ele geçirilmesi

Bu nedenle keylogging çoğu zaman daha büyük saldırıların veri toplama aşamasıdır.

---

Gerçek Dünya Örnekleri

Zeus Banking Malware

Bankacılık zararlıları arasında en bilinen örneklerden biridir.

Özellikleri:

• Banka bilgisi çalma

• Form grabbing

• Keylogging desteği

Milyonlarca dolarlık finansal zararla ilişkilendirilmiştir.

---

Agent Tesla

Bilgi hırsızlığı odaklı kötü amaçlı yazılımdır.

Toplayabildiği bilgiler:

• Tuş kayıtları

• Tarayıcı parolaları

• E-posta bilgileri

• Sistem verileri

Genellikle zararlı e-posta ekleriyle yayılmıştır.

---

HawkEye

Bilgi çalma amaçlı zararlı yazılım ailesidir.

Özellikleri:

• Keylogging

• Credential theft

• E-posta üzerinden veri sızdırma

Kurumsal sistemleri hedef aldığı vakalar görülmüştür.

---

Saldırganlar Neleri Hedefler?

Keylogging saldırılarında amaç yalnızca yazıları görmek değildir.

En çok hedeflenen bilgiler:

Kimlik Bilgileri

• Kullanıcı adı

• Şifre

• PIN

Finansal Veriler

• Banka girişleri

• Ödeme sistemleri

• Finans panel hesapları

Kurumsal Sistemler

• VPN hesapları

• Yönetici erişimleri

• Sunucu girişleri

Kişisel Veriler

• Özel mesajlar

• Belgeler

• E-posta içerikleri

---

IOC (Indicator of Compromise) İşaretleri

Keylogger bulaşması bazen belirti gösterebilir.

Şüpheli işaretler:

• Beklenmeyen arka plan süreçleri

• Yüksek CPU kullanımı

• Bilinmeyen başlangıç girdileri

• Antivirüs uyarıları

• Açıklanamayan ağ trafiği

• Hesaplarda yetkisiz girişler

Ancak gelişmiş keyloggerlar hiçbir belirti göstermeyebilir.

---

Linux ve Pardus Perspektifi

Linux sistemler keyloggerlara tamamen bağışık değildir.

Özellikle:

• Yetkisiz root erişimi

• Zararlı paketler

• Güvensiz script çalıştırma

• Yanlış izin yapılandırmaları

risk oluşturabilir.

Siber güvenlik uzmanları sistem davranışını analiz etmek için şu araçlardan yararlanabilir:

• ps

• top

• ss

• lsof

• auditd

• journalctl

Amaç, olağan dışı süreçleri ve veri hareketlerini incelemektir.

---

Tespit Yöntemleri

Keylogger tespiti zor olabilir.

Savunmada kullanılan yöntemler:

Antivirüs Taraması

Bilinen imzaları arar.

Davranış Analizi

Şüpheli süreçleri izler.

EDR Sistemleri

Endpoint Detection and Response çözümleri:

• Süreç hareketi

• Bellek davranışı

• Şüpheli API kullanımı

gibi göstergeleri inceleyebilir.

Ağ Trafiği İzleme

Bazı keyloggerlar veriyi dış sunucuya gönderir.

Bu nedenle:

• Şüpheli DNS

• Olağan dışı bağlantılar

• Beklenmeyen veri çıkışı

incelenebilir.

---

Korunma ve Savunma Teknikleri

Keylogging saldırılarına karşı en etkili yaklaşım önlemdir.

Yazılımları Güncel Tutmak

Güncelleme eksikleri saldırı yüzeyini artırabilir.

Güvenilir Kaynak Kullanmak

• Korsan yazılımlardan kaçınmak

• Bilinmeyen dosya çalıştırmamak

önemlidir.

Çok Faktörlü Kimlik Doğrulama (MFA)

Şifre ele geçirilse bile ek koruma sağlar.

Güvenlik Yazılımları

• Antivirüs

• Anti-malware

• EDR

savunmada önemlidir.

Kullanıcı Farkındalığı

Sosyal mühendislik hâlâ en büyük risklerden biridir.

---

Eğitim Amaçlı Güvenli Laboratuvar Yaklaşımı

Keylogging konusu yalnızca teorik değildir.

Eğitim ortamlarında:

• İzole sanal makineler

• Zararsız demo uygulamalar

• Davranış analizi

üzerinden savunma odaklı inceleme yapılabilir.

Gerçek sistemlerde yetkisiz testler ise etik ve hukuki sorunlara yol açabilir.

---

Sonuç

Keylogging saldırıları, siber güvenlik dünyasında uzun yıllardır kullanılan etkili veri hırsızlığı yöntemlerinden biridir.

Bu saldırılar çoğu zaman sistemleri kırmaktan çok kullanıcıları hedef alır. Güçlü savunma yalnızca teknik araçlardan değil, kullanıcı farkındalığı ve güvenlik kültüründen de oluşur.

Siber güvenlikte önemli soru bazen:

“Sistem kırıldı mı?” değil,
“Bilgiler sessizce izleniyor olabilir mi?” sorusudur.

---

Siber Güvenlikteki Yeri ve Önemi

Keylogging, saldırganların kimlik bilgisi hırsızlığı (credential theft) ve hesap ele geçirme (account takeover) süreçlerinde sık kullandığı tekniklerden biridir.

Bu nedenle:

• Malware analizi

• Olay müdahalesi (Incident Response)

• IOC analizi

• Dijital adli bilişim

• Savunma sistemleri geliştirme

alanlarında önemli çalışma konularından biri kabul edilir.

---

Siber güvenlik eğitimlerinde zararlı yazılımların anatomisini anlamak, savunma stratejilerini geliştirmek için en kritik adımlardan biridir. Siber güvenlik müfredatlarında temel bir modül olarak kullanılabilecek, hem teorik hem de laboratuvar ortamındaki pratik senaryolara (örneğin Red Team/Blue Team tatbikatlarına) altyapı sağlayacak şekilde yapılandırılmıştır.

---

Siber Saldırılar: Keylogging (Klavye Dinleme) Anatomisi

Keylogging, bir bilgisayar veya mobil cihaz klavyesinde basılan her tuşun gizlice kaydedilmesi işlemidir. Temelde meşru bir izleme veya teşhis aracı olarak doğmuş olsa da, günümüzde siber suçlular tarafından kimlik bilgileri, finansal veriler ve hassas kurumsal yazışmaları çalmak için kullanılan en yaygın zararlı yazılım (malware) türlerinden biridir.

Keylogger'lar, hedef sistemde sessizce çalışır ve topladıkları verileri genellikle şifrelenmiş bir kanal üzerinden komuta ve kontrol (C2) sunucusuna veya saldırganın e-posta adresine iletirler.

1. Keylogger Türleri ve Çalışma Mantığı

Keylogger'lar genel olarak yazılımsal ve donanımsal olmak üzere iki ana kategoriye ayrılır.

Yazılımsal (Software) Keylogger'lar:

Sisteme bulaşan bir kod parçacığıdır. İşletim sisteminin farklı katmanlarında çalışabilirler:

• API Tabanlı (Kullanıcı Seviyesi): İşletim sisteminin klavye olaylarını (keyboard events) dinleyen API'lerini kancalayarak (hooking) çalışırlar. Yazılması en kolay türdür. Eğitim amaçlı veya kontrollü sızma testlerinde, Python ve pynput gibi kütüphaneler kullanılarak temel çalışma mantığı kolayca simüle edilebilir.

• Çekirdek Tabanlı (Kernel Seviyesi - Rootkit): İşletim sisteminin çekirdek seviyesine (Ring 0) yerleşirler. Bu nedenle tespit edilmeleri çok zordur. Klavye donanımından işletim sistemine giden veriyi daha işlenmeden yakalarlar. Güvenli bir Pardus veya diğer Linux dağıtımlarında, yetkisiz çekirdek modülü yüklemelerini engellemek bu saldırılara karşı temel savunmadır.

• Hypervisor Tabanlı: Hedef işletim sisteminin altına sanal bir makine yöneticisi gibi yerleşerek tüm sistem aktivitelerini izleyebilirler.

Donanımsal (Hardware) Keylogger'lar:

Fiziksel erişim gerektiren bu cihazlar, klavye ile bilgisayar arasına (USB veya PS/2 portlarına) takılan küçük modüllerdir.

• Herhangi bir yazılım veya sürücü yüklenmesi gerekmediği için anti-virüs programları tarafından tespit edilemezler.

• Donanımsal keylogger'ların engellenmesi, laboratuvar veya ofis ortamlarındaki fiziksel güvenlik politikalarına (örneğin kullanılmayan USB portlarının kapatılması) dayanır.

---

2. Bulaşma Vektörleri: Keylogger'lar Sisteme Nasıl Girer?

Bir keylogger'ın sisteme sızması genellikle sosyal mühendislik taktiklerine dayanır:

• Oltalama (Phishing): Aciliyet hissi uyandıran sahte e-postalar içindeki zararlı ekler veya bağlantılar. Kullanıcının dikkatsiz bir anında tıkladığı bir fatura pdf'i, arka planda bir keylogger çalıştırabilir.

• Truva Atları (Trojans): İnternetten indirilen meşru görünümlü, ücretsiz veya korsan yazılımların içine gizlenmiş payload'lar.

• Fiziksel Erişim: Saldırganın hedef makineye kısa süreli fiziksel erişim sağlayarak zararlı bir USB takması (BadUSB).

---

3. Savunma ve Tespit Stratejileri (Blue Team Perspektifi)

Bir siber güvenlik eğitiminde "Blue Team" savunucuları için keylogger tespiti mükemmel bir ağ izleme senaryosudur.

• Süreç İzleme (Process Monitoring): Görev yöneticisinde veya sistem monitöründe şüpheli, kaynağı belirsiz çalışan süreçlerin (proseslerin) analizi.

• Ağ Trafiği Analizi: Keylogger'lar topladıkları verileri dışarı aktarmak zorundadır. Ağdaki anormallikleri (örneğin, gece yarısı dışarıya giden şüpheli SMTP veya HTTP/HTTPS trafiği) güvenlik duvarı logları veya ağ izleme araçlarıyla (Wireshark vb.) tespit etmek mümkündür.

• Sanal Klavye ve Şifre Yöneticileri: Kritik girişlerde fiziksel klavyeyi bypass eden sanal klavyeler kullanmak veya kopyala-yapıştır mantığıyla çalışan güvenilir şifre yöneticileri tercih etmek.

• İki Aşamalı Doğrulama (2FA): Keylogger parolayı çalsa bile, ikinci bir doğrulama faktörü (örneğin cep telefonuna gelen kod) sistemin ele geçirilmesini engeller.

---

4. Eğitim Odaklı Performans Görevi Senaryosu

Öğrenciler için bir büyük final veya tatbikat senaryosu kurgulanırken Keylogging şu şekilde kullanılabilir:

Senaryo: "Sistem yöneticisinin bilgisayarına oltalama yoluyla bir zararlı yazılım bulaşmıştır ve ağda şüpheli veri paketleri dolaşmaktadır."

Görev: Mavi Takım (Blue Team) üyeleri, ağ loglarını analiz ederek keylogger'ın veri sızdırdığı IP adresini tespit etmeli ve ardından etkilenen makinede zararlı süreci izole ederek olaya müdahale (Incident Response) raporu hazırlamalıdır.

Bu tür bir yaklaşım, dijital ayak izi ve oltalama farkındalığını teknik becerilerle harmanlayarak konunun tam olarak kavranmasını sağlar.

---

Siber güvenlik eğitiminde teoriyi pratiğe dökmek, 11. sınıf öğrencilerinin konuyu tam olarak kavraması ve analitik düşünme becerilerini geliştirmesi için en etkili yöntemdir. Planladığınız "Büyük Final" tatbikatlarına hazırlık niteliğinde, Pardus ETAP 23 işletim sistemi üzerinde laboratuvar ortamında gerçekleştirilebilecek Kırmızı Takım (Saldırı) ve Mavi Takım (Savunma) adımları aşağıda yapılandırılmıştır.

1. Kırmızı Takım (Red Team): Simülasyonun Hazırlanması

Öğrencilere bir saldırganın sisteme nasıl sızdığını ve nasıl kalıcılık sağladığını göstermek için Python tabanlı basit ve kontrollü bir betik kullanılabilir.

A. API Tabanlı Dinleyici (Listener) Oluşturma

Kullanıcı seviyesinde çalışan bir simülasyon için pynput kütüphanesi idealdir. Bu kütüphane, klavye olaylarını yakalayarak bir metin dosyasına kaydeder.

Python:

from pynput.keyboard import Key, Listener
import logging

# Log dosyasının kaydedileceği dizin
log_dir = "/tmp/"

logging.basicConfig(filename=(log_dir + "key_log.txt"), level=logging.DEBUG, format='%(asctime)s: %(message)s')

def on_press(key):
    logging.info(str(key))

with Listener(on_press=on_press) as listener:
    listener.join()

B. Sistemde Kalıcılık (Persistence) Sağlama

Bir keylogger'ın başarılı olabilmesi için sistem her yeniden başlatıldığında otomatik olarak çalışması gerekir. Pardus ETAP 23'ün temel aldığı Cinnamon masaüstü ortamında bu işlemi simüle etmek için, başlangıç uygulamaları dizinine bir dosya eklenir.

Öğrencilerin kalıcılık mekanizmalarını anlaması için ~/.config/autostart/ dizini altına zararlı süreci tetikleyecek gizli bir .desktop dosyası yerleştirilebilir. Bu aşama, savunma tarafı için kritik bir inceleme noktası olacaktır.

---

2. Mavi Takım (Blue Team): Tespit ve Log Analizi

Mavi takımın görevi, ağda ve sistemde olağandışı hareketleri tespit ederek zararlı yazılımı izole etmektir. Etkileşimli tahtalarda veya laboratuvar bilgisayarlarında şu komutlar üzerinden analiz yürütülebilir:

A. Şüpheli Süreçlerin (Process) Tespiti

Sistemde arka planda çalışan ve yüksek CPU kullanan veya kaynağı belirsiz Python süreçlerini bulmak ilk adımdır.

• ps aux | grep python

• htop

B. Ağ Bağlantılarının (Socket) İncelenmesi

Gelişmiş bir keylogger topladığı verileri dışarı aktaracaktır. Öğrenciler, terminal üzerinden aktif ağ bağlantılarını ve dışarıya açılan şüpheli portları incelemelidir.

• ss -antp | grep python

• netstat -tulnp

C. Kalıcılık İzlerinin Aranması

Saldırganın sistemi yeniden başlatsa bile erişimini kaybetmemek için bıraktığı izler aranmalıdır. Cinnamon masaüstü ortamının otomatik başlatma dizini kontrol edilmelidir.

• ls -la ~/.config/autostart/

• cat ~/.config/autostart/supheli_dosya.desktop

---

3. Olay Müdahalesi (Incident Response) Adımları

Tatbikatın son aşamasında, öğrencilerden tespit ettikleri bulguları ortadan kaldırmaları ve sistemin güvenliğini yeniden sağlamaları beklenir.

1. Süreci Sonlandırma: ps aux komutu ile tespit edilen zararlı sürecin PID (Process ID) numarası alınır ve kill -9 <PID> komutu ile işlem acil olarak durdurulur.

2. Kalıcılığı Temizleme: ~/.config/autostart/ dizinindeki yetkisiz .desktop dosyası rm komutu ile silinir.

3. Veri Sızıntısını Kontrol Etme: Keylogger'ın veri kaydettiği dosya (örneğin /tmp/key_log.txt) bulunur, incelenir ve ardından güvenli bir şekilde sistemden kaldırılır.

4. Raporlama: Tüm bu adımlar, /var/log/syslog veya /var/log/auth.log içerisindeki saat ve tarih damgalarıyla eşleştirilerek bir "Olay Müdahale Raporu" haline getirilir.

Bu yapılandırma, öğrencilerin sadece teorik kavramları ezberlemelerini değil, Pardus ekosisteminde bir Linux sistem yöneticisi ve güvenlik analisti gibi uygulamalı olarak düşünmelerini sağlayacaktır.

1. Windows'ta Keylogging Teorisi (Kırmızı Takım Mekaniği)

Windows işletim sistemlerinde yazılımsal keylogger'lar genellikle sistemin sunduğu yerleşik API'leri kötüye kullanarak çalışır.

• API Hooking (Kancalama): Windows'ta klavye dinleme işleminin en yaygın teorik yöntemi SetWindowsHookEx API fonksiyonunu kullanmaktır. Özellikle WH_KEYBOARD_LL (Low-Level Keyboard Hook) parametresi, uygulamaların klavye donanımından gelen sinyalleri işletim sistemine ulaşmadan önce yakalamasına olanak tanır.

• Kalıcılık (Persistence): Zararlı yazılımın Windows yeniden başlatıldığında hayatta kalabilmesi için Kayıt Defteri (Registry) içerisindeki Run veya RunOnce anahtarlarına kendini eklemesi, Başlangıç (Startup) klasörüne kısayol yerleştirmesi veya Görev Zamanlayıcı (Task Scheduler) üzerinden zamanlanmış bir görev oluşturması gerekir.

---

2. Mavi Takım (Blue Team): Windows'ta Tespit ve Analiz

Öğrenciler, Windows ortamında anormallikleri tespit etmek için işletim sisteminin kendi araçlarını ve Microsoft'un gelişmiş analiz paketi olan Sysinternals Suite'i kullanabilirler.

A. Şüpheli Süreçlerin (Process) Tespiti

Klasik Görev Yöneticisi (Task Manager) yerine, daha derinlemesine analiz için Sysinternals araçları kullanılmalıdır.

• Process Explorer: Öğrenciler bu aracı kullanarak çalışan süreçlerin dijital imzalarını (Verify Image Signatures) kontrol edebilirler. Microsoft tarafından imzalanmamış, tanınmayan veya şüpheli dizinlerden (örneğin %AppData% veya C:\Temp) çalışan süreçler (örneğin arka planda gizlenen bir python.exe veya derlenmiş bir .exe) ilk hedeftir.

B. Ağ Bağlantılarının İncelenmesi

Keylogger'ın verileri dışarı sızdırdığı C2 (Komuta Kontrol) sunucusunu veya IP adresini bulmak için ağ trafiği analiz edilmelidir.

• Terminal Komutları: Komut İstemcisi'nde (CMD) netstat -ano komutu çalıştırılarak dışarıya doğru kurulan şüpheli ESTABLISHED (Kurulmuş) bağlantılar ve bu bağlantıları yapan sürecin PID (Process ID) numarası bulunur.

• PowerShell: Get-NetTCPConnection komutu ile ağ bağlantıları daha yapısal bir şekilde filtrelenebilir.

• TCPView (Sysinternals): Ağ bağlantılarını anlık ve grafiksel olarak izlemek için mükemmel bir araçtır.

C. Kalıcılık (Persistence) Avı

Windows'ta zararlı yazılımın sisteme nasıl tutunduğunu bulmak en kritik analiz adımlarından biridir.

• Autoruns (Sysinternals): Bu araç, Windows başlarken otomatik olarak tetiklenen her şeyi (Kayıt Defteri anahtarları, zamanlanmış görevler, servisler vb.) tek bir ekranda gösterir. Öğrenciler Logon sekmesini inceleyerek yetkisiz eklenen başlangıç dosyalarını tespit edebilirler.

• Görev Zamanlayıcı (Taskschd.msc): Şüpheli isimlere sahip veya kaynağı belirsiz çalıştırılabilir dosyaları tetikleyen görevler aranır.

---

3. Olay Müdahalesi (Incident Response) Adımları

Bulgular elde edildikten sonra sistemin temizlenmesi ve raporlanması aşamasına geçilir.

1. Süreci İzolasyon ve Sonlandırma: Process Explorer üzerinden tespit edilen zararlı sürecin (PID) bağlantıları kesilir ve süreç ağacından sonlandırılır (Kill Process Tree).

2. Kalıcılığı Temizleme: Autoruns aracı üzerinden tespit edilen zararlı Kayıt Defteri girdileri veya başlangıç kısayolları pasif hale getirilir (işareti kaldırılır) veya tamamen silinir.

3. Dosya Sistemini Temizleme: Sürecin çalıştığı kaynak dizindeki zararlı çalıştırılabilir dosya ve topladığı verileri tuttuğu geçici log dosyaları (genellikle .txt veya .dat formatında) sistemden güvenli bir şekilde silinir.

4. Log Analizi ve Raporlama: Windows Olay Görüntüleyicisi (Event Viewer) açılarak Windows Logs -> Security (Güvenlik) altında ilgili saat dilimindeki oturum açma veya yetki yükseltme denemeleri incelenir ve tatbikatın sonuç raporuna eklenir.