Fidye Yazılımı (Ransomware): Korunma, Tespit ve Kurtarma

Fidye yazılımı (ransomware), bir işletmenin dosyalarını, sunucularını ve çoğu zaman yedeklerini şifreleyerek erişimi engelleyen, ardından şifre çözme anahtarı karşılığında ödeme talep eden zararlı yazılımdır. Güncel saldırılarda şifreleme genellikle son adımdır: Saldırgan günlerce, bazen haftalarca ağda dolaşır, yetki toplar, yedekleri bulur ve hassas veriyi dışarı çıkarır. Ardından hem verinin geri verilmesi hem de yayımlanmaması için çifte şantaj uygular. Bu nedenle korunma yalnızca antivirüs demek değildir; giriş noktalarını kapatmak, yayılmayı sınırlamak, erken fark etmek ve her şey ters giderse hızla geri dönebilmek demektir.

Fidye Yazılımı Nasıl Bulaşır? En Yaygın Giriş Noktaları

Saldırıların çok büyük kısmı, tekrar eden birkaç yoldan başlar:

• Kimlik avı e-postaları: Fatura, kargo, e-imza veya ortak doküman bildirimi görünümlü e-postalardaki makrolu ofis dosyaları, sıkıştırılmış ekler ya da sahte oturum açma sayfaları. Bu iletileri ele veren işaretleri kimlik avı rehberimizde topladık.
• İnternete açık uzak masaüstü (RDP): Zayıf veya sızdırılmış parolalarla korunan, MFA'sız uzak masaüstü servisleri otomatik parola deneme saldırılarının birincil hedefidir.
• Güncellenmemiş VPN ve firewall cihazları: Uzaktan erişim cihazlarındaki bilinen açıklar, saldırgana doğrudan iç ağ erişimi verebilir.
• Çalınmış kimlik bilgileri: Başka bir sitede sızdırılmış ve şirkette de kullanılan parolalar ya da bilgi çalan zararlılarla (infostealer) ele geçirilen oturum bilgileri.
• Tedarik zinciri ve uzaktan destek araçları: Parolası zayıf ya da kontrolsüz kullanılan uzaktan yönetim yazılımları ve üçüncü taraf erişimleri.
• Korsan yazılımlar ve sahte güncellemeler: Lisanssız yazılım kurulum dosyaları ve tarayıcıda güncelleme gerektiğini iddia eden sahte sayfalar.

Ağa ilk girişten sonra saldırganın hedefi yönetici yetkisi elde etmek, etki alanı denetleyicisine (domain controller) ulaşmak ve yedekleri bulmaktır. Önleme stratejisi de bu zinciri her halkada kırmaya odaklanmalıdır.

Önleme: Yama, E-posta Filtreleme, MFA ve Yetki Kısıtlama

Önleme tarafında en yüksek getiriyi sağlayan dört başlık vardır.

Yama yönetimi

İnternete açık her cihaz; yani firewall, VPN, e-posta sunucusu, web uygulamaları ve uzaktan erişim çözümleri, yama önceliğinde en üstte olmalıdır. Kritik bir açık yayımlandığında bu cihazlar için beklemeden harekete geçilmeli, desteği bitmiş işletim sistemleri ve cihazlar ise ya yenilenmeli ya da ağdan izole edilmelidir.

E-posta filtreleme

Gelişmiş e-posta güvenliği; zararlı eklerin izole ortamda (sandbox) incelenmesini, bağlantıların tıklama anında kontrol edilmesini ve kimliğe bürünme girişimlerinin tespitini sağlar. İnternetten gelen makrolu ofis dosyalarının engellenmesi ve çalıştırılabilir dosya türlerinin eklerde tamamen yasaklanması basit ama etkili kurallardır.

MFA

E-posta, VPN, bulut yönetim panelleri ve yedekleme konsolu mutlaka çok faktörlü kimlik doğrulamayla korunmalıdır. Uzak masaüstü hizmeti ise hiçbir koşulda doğrudan internete açılmamalı, yalnızca MFA korumalı bir VPN veya erişim ağ geçidi arkasından kullanılmalıdır.

Yetki kısıtlama

Kullanıcıların günlük işlerini yönetici yetkisi olmadan yapması, her cihazda benzersiz yerel yönetici parolası kullanılması ve etki alanı yöneticisi hesaplarının yalnızca yönetim sunucularında kullanılması, saldırganın ağ içinde yatay hareketini ciddi biçimde zorlaştırır. Dosya paylaşımlarında herkese yazma izni veren tanımlar kaldırılmalı, ağ segmentasyonu ile kullanıcı ağından sunucu ve yedekleme ağına erişim yalnızca gerekli portlarla sınırlanmalıdır. Segmentler arasındaki trafiği denetleyen ve internet çıkışını filtreleyen doğru yapılandırılmış bir güvenlik duvarı, saldırganın hem içeri girmesini hem de dışarıyla haberleşmesini zorlaştırır.

Değiştirilemez (Immutable) ve Çevrimdışı Yedeklerin Rolü

Bir fidye yazılımı saldırısında en belirleyici soru şudur: Temiz ve güncel bir yedekten ne kadar hızlı dönebilirsiniz? Saldırganlar bunu bildiği için şifrelemeden önce yedekleri silmeye, yedekleme sunucusunu şifrelemeye ya da bulut yedeklerinin saklama süresini kısaltmaya çalışır.

Dayanıklı bir yedekleme mimarisinin temel özellikleri şunlardır:

• 3-2-1 kuralı: En az üç kopya, iki farklı ortam ve lokasyon dışında bir kopya. Bu kurala değiştirilemez bir kopya ile doğrulanmış geri dönüş testinin eklenmesi artık yaygın bir öneridir.
• Değiştirilemezlik (immutability): Belirlenen saklama süresi dolmadan, yönetici hesabıyla bile silinemeyen veya değiştirilemeyen yedek depoları.
• Çevrimdışı veya mantıksal olarak ayrık kopya: Etki alanına üye olmayan, ayrı kimlik bilgileri ve MFA ile korunan yedek hedefleri.
• Yedekleme altyapısının ayrı tutulması: Yedekleme sunucusunun etki alanı dışında veya ayrı bir yönetim ortamında konumlanması ve konsol erişiminin kısıtlanması.
• Düzenli geri dönüş testi: Yalnızca yedeklemenin başarılı olduğunu söyleyen rapora değil, gerçek bir sunucunun veya klasörün belirli aralıklarla geri yüklenip çalıştırılmasına dayanan testler.

Kurtarma süresi hedefiniz (RTO) ve kabul edebileceğiniz veri kaybı (RPO), yedekleme sıklığını ve mimarisini belirler. Bu konuyu ayrıntılı olarak 3-2-1 yedekleme rehberimizde ele aldık.

Erken Tespit: EDR, Log İzleme ve Anormal Davranış Uyarıları

Saldırganın ağa girişi ile şifrelemeye başlaması arasında geçen süre, müdahale için en değerli penceredir. Bu pencereyi yakalamak davranış tabanlı tespit gerektirir.

EDR çözümleri, imza tabanlı antivirüsün kaçırabileceği şüpheli davranışları izler: kısa sürede çok sayıda dosyanın değiştirilmesi veya şifrelenmesi, gölge kopyaların (shadow copy) silinmesi, bellekten parola çekme girişimleri ve meşru yönetim araçlarının olağan dışı kullanımı. Şüpheli durumda cihazı ağdan otomatik olarak izole edebilmesi, yayılmayı erken aşamada durdurabilir.

Log izleme tarafında şu olaylar mutlaka alarm üretmelidir:

• Mesai dışında veya alışılmadık bir konumdan yönetici oturumu açılması
• Kısa sürede çok sayıda başarısız oturum açma denemesi
• Yeni bir yönetici hesabı oluşturulması veya yönetici grubuna üye eklenmesi
• Yedekleme işlerinin durdurulması ya da saklama politikalarının değiştirilmesi
• Olağan dışı hacimde dışarıya veri aktarımı

Bu uyarıları gece ve hafta sonu da değerlendirecek birinin olması gerekir; çünkü saldırılar sıklıkla mesai dışında ve tatil dönemlerinde başlatılır. Bu noktada EDR ve 7/24 SOC izleme hizmetleri devreye girer.

Saldırı Anında İlk 24 Saat: Adım Adım Müdahale Planı

Kriz anında doğru kararlar, önceden yazılmış bir plan olduğunda verilir. Genel çerçeve şöyledir:

1. Kapsamı belirleyin. Hangi cihazlarda fidye notu var, hangi paylaşımlar etkilendi, saldırı hâlâ sürüyor mu?
2. Yayılmayı durdurun. Etkilenen cihazları ağdan ayırın; kabloyu çekin, kablosuz bağlantıyı kapatın. Mümkünse cihazları kapatmak yerine izole edin, çünkü bellekteki izler inceleme için değerlidir.
3. Kritik hesapları koruma altına alın. Yönetici ve servis hesaplarının parolalarını temiz bir cihazdan değiştirin, şüpheli oturumları sonlandırın, uzaktan erişimi geçici olarak kapatın.
4. Yedekleri güvenceye alın. Yedekleme altyapısının etkilenip etkilenmediğini kontrol edin, sağlam kopyaları ağdan ayırın.
5. Kanıtları koruyun. Fidye notunu, olay günlüklerini, şüpheli dosyaları ve olayların zaman çizelgesini kaydedin. Sistemleri hemen sıfırdan kurmak, giriş noktasını bulmayı sağlayacak izleri yok edebilir.
6. Paydaşları bilgilendirin. Yönetim, hukuk danışmanı, varsa siber sigorta şirketi ve olay müdahale ekibi ilk saatlerde devreye girmeli. Olayın emniyetin siber suçlarla mücadele birimlerine bildirilmesi de değerlendirilmelidir.
7. KVKK yükümlülüğünü değerlendirin. Kişisel veriler etkilendiyse veya dışarı çıkarıldıysa, 6698 sayılı Kanun kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü doğabilir. Bildirim için tanınan süre kısa olduğundan bu değerlendirme ilk günden başlamalıdır; ayrıntılar için veri ihlali bildirim süreci yazımıza bakabilirsiniz.
8. Temiz bir ortama geri dönün. Giriş noktası ve saldırganın kalıcılık yöntemleri tespit edilmeden geri yükleme yapmak, aynı saldırının tekrarlanmasına davetiye çıkarır. Geri dönüş sırası, kritik iş süreçlerine göre belirlenmelidir.

Bu planın gerçekten işe yarayıp yaramadığını görmenin en ucuz yolu masa başı tatbikattır. Yönetim, BT, finans ve iletişimden sorumlu kişiler bir araya gelir; bir sabah sunucularda fidye notu bulunduğu senaryosu adım adım konuşulur. Kim karar verecek, yedekten dönüş ne kadar sürecek, müşterilere ne söylenecek, e-posta çalışmıyorsa ekip nasıl haberleşecek? Bu sorular tatbikatta cevapsız kalıyorsa, gerçek bir saldırıda da cevapsız kalacaktır. Planın basılı bir kopyasının saklanması da önemlidir; çünkü saldırı anında dosya sunucusu ve e-posta erişilemez olabilir.

Fidye Ödenmeli mi? Hukuki ve Operasyonel Değerlendirme

Genel yaklaşım ödeme yapılmaması yönündedir; ancak bu, yönetimin, hukuk danışmanının ve teknik ekibin birlikte vermesi gereken bir karardır. Değerlendirmede şu noktalar göz önünde bulundurulmalıdır:

• Garanti yoktur. Ödeme sonrası verilen şifre çözücü hatalı çalışabilir, verinin bir kısmı kurtarılamayabilir; dışarı çıkarılmış verinin silineceğine dair hiçbir güvence yoktur.
• Yeniden hedef olma riski. Ödeme yapan kurumlar, ödemeye istekli hedefler olarak yeniden saldırıya uğrayabilir.
• Hukuki boyut. Ödemenin yaptırım listelerindeki kişi veya gruplara ulaşma ihtimali, suç gelirlerine ilişkin mevzuat ve sigorta poliçesinin şartları hukuk danışmanıyla birlikte değerlendirilmelidir.
• Operasyonel gerçeklik. Temiz ve test edilmiş yedekler varsa ödeme sorusu çoğu zaman gündeme bile gelmez. Asıl karar, saldırıdan önce yedekleme mimarisine yatırım yapılırken verilir.

Ödeme yapılsa bile ortamın temizlenmesi, giriş noktasının kapatılması ve sistemlerin güvenli biçimde yeniden yapılandırılması gerekir. Yani ödeme, kurtarma çalışmasının yerini tutmaz.

Sık Yapılan Hatalar ve Hazırlık Kontrol Listesi

Sahada sık karşılaştığımız hatalar:

• Yedeklere aynı etki alanı yönetici hesabıyla erişilebilmesi
• Geri dönüş testinin hiç yapılmamış olması ya da yalnızca tek bir dosyayla yapılması
• Uzak masaüstünün geçici olarak internete açılıp sonra unutulması
• Güvenlik yazılımının uyarı üretmesine rağmen uyarıları kimsenin izlememesi
• Olay anında kimin karar vereceğinin ve kimin aranacağının belirsiz olması
• Saldırı sonrası giriş noktası bulunmadan sistemlerin aceleyle geri yüklenmesi

Hazırlık kontrol listesi:

• İnternete açık servislerin listesi çıkarıldı ve hepsi MFA ile korunuyor
• Tüm bilgisayar ve sunucularda EDR kurulu ve uyarılar izleniyor
• En az bir değiştirilemez ve ağdan ayrık yedek kopyası var
• Son geri dönüş testi yakın zamanda yapıldı ve süresi ölçüldü
• Yazılı bir olay müdahale planı ve basılı iletişim listesi mevcut
• Kritik sistemlerin kurtarma öncelik sırası belirlendi
• Çalışanlar şüpheli bir durumu nereye bildireceklerini biliyor

Profesyonel Destek: Ne Zaman ve Kimden Alınmalı?

Profesyonel destek iki farklı anda gerekir: saldırıdan önce hazırlık için ve saldırı sırasında müdahale için. Hazırlık aşamasında yedekleme mimarisinin, internete açık servislerin ve yetki yapısının bağımsız bir gözle incelenmesi, zayıf noktaları kriz öncesinde ortaya çıkarır. Olay anında ise dijital adli inceleme yapabilen, gerektiğinde yerinde müdahale edebilen ve kurtarma önceliklerini iş süreçlerinize göre belirleyebilen bir ekibe ihtiyaç duyulur.

Destek alacağınız firmada olay müdahale deneyimi, mesai dışında ulaşılabilirlik, kanıt koruma yaklaşımı ve yedekleme ile kurtarma konusundaki pratik yetkinlik mutlaka sorgulanmalıdır. Siber güvenlik hizmetimiz kapsamında hem hazırlık değerlendirmesi hem de olay anında müdahale desteği sunuyoruz.

Sonuç

Fidye yazılımına karşı tek bir sihirli çözüm yoktur. Giriş noktalarını daraltan önlemler, yayılmayı sınırlayan yetki yapısı, erken tespit sağlayan EDR ve izleme, en önemlisi de değiştirilemez ve test edilmiş yedekler birlikte çalışmalıdır. Hazırlık seviyenizi birlikte ölçelim: ücretsiz ön görüşme için bize ulaşın, yedekleme ve müdahale planınızı birlikte gözden geçirelim.