Metin2 client'ında virüs uyarısı: yanlış alarm mı, gerçek tehlike mi?

Yanlış alarm neden bu kadar sık?

Birçok pvp serveri client'ı Themida, VMProtect ya da benzeri bir paketleyiciyle koruyor. Amaç, client'ın içini açıp hile yazmayı ya da serveri kopyalamayı zorlaştırmak. Sorun şu ki zararlı yazılım yapanlar da aynı araçları kodlarını antivirüsten saklamak için kullanıyor. Themida'yı yapan Oreans da kendi yardım sayfasında antivirüs şirketlerinin paketlenmiş dosyalara bu sebeple daha sert davrandığını yazıyor.

İkinci sebep hile koruması. Bir anti-hile modülü, hile tespit etmek için başka işlemlerin belleğine bakıyor, oyun işlemine kendini bağlıyor. Antivirüsün gözünde bu, casus yazılım davranışına çok benziyor. Üçüncüsü imza. Kod imzalama sertifikası para ve uğraş istediği için küçük serverlerin dosyaları genelde imzasız oluyor, Windows da tanımadığı imzasız dosyalara daha temkinli yaklaşıyor.

SmartScreen'in "Windows bilgisayarınızı korudu" penceresi bir virüs tespiti sayılmaz. Sadece dosyanın az indirildiğini ve tanınmadığını söylüyor. Yine de "Yine de çalıştır"a basmadan önce aşağıdaki kontrolleri yap.

Gerçek tehlikenin işaretleri

Oyun hileleri, modları ve crack'leri kılığına girip tarayıcıdaki kayıtlı şifreleri ve mesajlaşma uygulamalarının oturumlarını çalan zararlılar yeni bir şey değil. Kaspersky'nin Kasım 2025'te tespit ettiği Stealka bunun yakın bir örneği. Hedef listesinde tarayıcılar, kripto cüzdanları ve Discord da var. Bir Metin2 dosyasında şunlardan biri varsa dur:

• Dosya serverin resmi sitesinden gelmiyor. Discord'da özelden, bir YouTube videosunun açıklamasından ya da "bot paketi, hile paketi" adıyla geliyor.
• Client arşivinin içinden beklemediğin .scr, .bat, .vbs ya da .lnk dosyaları çıkıyor.
• Antivirüsün verdiği isimde Stealer, PasswordStealer, Spy, RedLine ya da Lumma gibi bilgi hırsızı aileleri geçiyor.
• Oyunu kapattıktan sonra arka planda adını bilmediğin bir işlem çalışmaya devam ediyor ya da Windows başlangıcına kendini eklemiş.
• Kurulum rehberi senden antivirüsü tamamen kapatıp öyle bırakmanı istiyor.

Sonuncusu biraz gri bölge. Bazı serverler yanlış alarm yüzünden gerçekten "antivirüsü kapatın" diye yazıyor, aynı cümleyi zararlı dağıtanlar da kullanıyor. Hangisiyle karşı karşıya olduğunu nereden bileceksin? Dosyanın kaynağı ve aşağıdaki VirusTotal okuması bunu büyük ölçüde gösteriyor.

VirusTotal sonucu nasıl okunur?

VirusTotal bir dosyayı 70'i aşkın antivirüs motoru ve engel listesi servisinden geçiren ücretsiz bir site. Kendi kararını vermiyor, motorların ne dediğini yan yana koyuyor. Yorum sana kalıyor:

1. Dosyayı yüklemeden önce hash ile ara. PowerShell'de Get-FileHash dosya.exe komutu SHA-256 değerini veriyor. Bunu VirusTotal'ın arama kutusuna yapıştır, aynı dosya daha önce taranmışsa geçmiş raporu görürsün.
2. Tespit sayısından çok isimlere bak. Az bilinen birkaç motorun Generic, Heur, ML ya da Suspicious gibi genel etiketler vermesi, paketleyiciye takılan sezgisel tespitlerin tipik görüntüsü.
3. Etiketlerde Packed, Themida ya da VMProtect geçiyorsa motor büyük ihtimalle korumayı görmüş, içeriği görmemiş.
4. Microsoft, Kaspersky, ESET, Bitdefender gibi büyük motorların çoğu aynı aile adını veriyorsa durum ciddi. Hele o ad bir bilgi hırsızıysa dosyayı sil.
5. Raporun tarihine bak. Eski bir raporsa yeniden tarat, motorlar imzalarını sürekli güncelliyor.

Bazı antivirüs ürünleri aynı motoru ya da imza veritabanını paylaşıyor. Beş tespit gördüğünde bunların aslında tek bir kaynağın beş kopyası olabileceğini aklında tut.

Körü körüne istisna ekleme

En sık yapılan hata, client açılmayınca bütün C: sürücüsünü ya da İndirilenler klasörünü Windows Güvenliği'nin dışlamalarına eklemek. Bunu yaptığın anda o klasöre düşen her dosya taranmadan geçiyor. İstisna gerekiyorsa sadece client'ın klasörünü ekle ve bunu dosyayı yukarıdaki gibi doğruladıktan sonra yap.

O serveri bıraktığında istisnayı da sil.

Dosyanın yanlış tespit edildiğine eminsen Microsoft'un dosya gönderme sayfasından ev kullanıcısı olarak "yanlış tespit" bildirimi yapabilirsin. Server ekibine de haber ver. Kendi dosyalarını antivirüs şirketlerine onların göndermesi daha hızlı sonuç veriyor.

Ayrı Windows hesabı ya da sanal makine

Pvp serverleri sık değiştiriyorsan bilgisayarda oyun için ayrı, yönetici yetkisi olmayan bir Windows kullanıcı hesabı açmak iyi bir ara çözüm. O hesapta tarayıcıya kayıtlı şifre olmuyor, bankana ya da ana e-postana giriş yapmıyorsun. Yönetici yetkisi almamış bir zararlı, başka bir kullanıcının dosyalarına kolayca ulaşamıyor.

Kusursuz değil, ama kaybedeceğin şeyi küçültüyor.

Sanal makine daha güçlü bir yalıtım sağlıyor. Windows 11 Pro'daki Hyper-V ya da Windows Sandbox ile yeni bir client'ın kurulumda ne yaptığını görebilirsin. Yalnız birçok hile koruması sanal makinede çalışmayı reddediyor ve 3D performansı zayıf kalıyor. Sanal makineyi oynamak için düşünme, şüpheli bir dosyayı ilk kez denerken kullan.

Virüs uyarısı yüzünden client hiç açılmıyorsa client açılmıyor yazısındaki adımlara geç. Bir serverin dosyalarına ne kadar güvenebileceğini anlamak için yeni server seçerken bakılacaklar yazısını oku. Telefonda aynı soruyu soruyorsan cevap APK güvenliği yazısında.

Şifre tarafı

Her servere ayrı şifre kullan, oyun şifren e-posta ya da Discord şifrenle asla aynı olmasın. E-postanda ve Discord'da iki adımlı doğrulama açık olsun.

Şüpheli bir dosyayı çalıştırdığını fark ettiysen şifreleri o bilgisayardan değil telefondan değiştir, Discord'da bütün oturumlardan çıkış yap ve e-postanın kurtarma ayarlarına kimsenin bir şey eklemediğini kontrol et. Bilgisayardaki zararlı temizlenmeden orada yazdığın yeni şifre de aynı yoldan gidebilir.

Kaynaklar

• My protected application is flagged as a virus (Oreans Themida yardım sayfası)
• Stealka stealer: the new face of game cheats, mods, and cracks (Kaspersky)
• How it works (VirusTotal belgeleri)
• Submit a file for malware analysis (Microsoft Security Intelligence)

Son kontrol: 15 Ekim 2026. Ekran adları Windows 11'deki Windows Güvenliği uygulamasına göre verildi.