Fidye Yazılımı Kurtarma ve Önleme Kılavuzu

Fidye yazılımı (ransomware), günümüzde işletmelerin ve kuruluşların karşı karşıya olduğu en büyük siber güvenlik tehditlerinden biridir. Siber suçlular, bu kötü amaçlı saldırıları kullanarak kuruluşların verilerini ve sistemlerini şifreler, bunları rehin alır ve şifreleme anahtarı için fidye talep eder. En iyi senaryoda, yedeklemelerden hızlı bir şekilde geri yükleme yapabilirsiniz, ancak iyi hazırlanmış olsanız bile bu çok zorlu bir deneyimdir. Bu nedenle, bunun bir “eğer olursa” değil, “ne zaman olacak” sorusu olduğunu varsaymak ve buna göre plan yapmak en mantıklı seçenek olacaktır.

Saldırılar giderek daha karmaşık ve yaygın hale geldikçe, işletmelerin fidye yazılımını önleme ve kurtarma konusunda kapsamlı bir plana sahip olması çok önemlidir. Bu yazımda, bir saldırı durumunda verilerinizi ve sistemlerinizi kurtarmak için gerekecek en iyi uygulamalardan ve fidye yazılımına karşı savunmanızı güçlendirmek için almanız gereken proaktif önlemlerden bahsedeceğim.

Rakamlarla fidye yazılımı

Coveware’in 2024 1. çeyrek raporuna göre fidye yazılımları, her ölçekten işletme için büyük tehdit olmaya devam etmektedir. Özellikle, küçük ve orta ölçekli işletmeler (KOBİ’ler) %71,8 gibi bir oranla bu saldırıların birincil hedefi olmaktadır.

Hiçbir kuruluş bu tehditlerden muaf olmasa da, veriler KOBİ’lerin siber güvenlik kaynakları ve personel sayısının büyük işletmelere kıyasla sınırlı olmasından kaynaklanan güvenlik zafiyetlerini gözler önüne seriyor. Bu durum, KOBİ’lerin fidye yazılımlarına karşı hazırlıklı olmaya öncelik vermelerinin ve karşılaştıkları risklerle orantılı sağlam güvenlik önlemleri almalarının kritik önemini vurgulamaktadır.

Aynı zamanda, aşağıdaki grafikte görüldüğü gibi, fidye yazılımı grupları büyük şirketleri de hedef almaktadır. Etkilenen şirketlerin %1,9’u 100.000’den fazla çalışana sahiptir. Dolayısıyla, hiçbir sektör yaygın fidye yazılımı tehdidi konusunda rehavete kapılmamalıdır.

Hizmet olarak fidye yazılımı (Raas)

Hizmet olarak fidye yazılımı (Ransomware as a Service) (RaaS), siber suç dünyasında çığır açan bir unsur olarak ortaya çıkmış, fidye yazılımı dünyasında devrim yaratmış ve kötü amaçlı saldırıların kapsamını ve kapsamını genişletmiştir. RaaS iş modeli, acemi siber suçluların bile fidye yazılımlarına nispeten kolay bir şekilde erişip dağıtmasına olanak tanıyarak, dünya çapında fidye yazılımı saldırılarının sıklığında ve karmaşıklığında bir artışa yol açmıştır.

Geleneksel olarak, fidye yazılımı saldırıları yüksek düzeyde teknik uzmanlık ve kaynak gerektiriyordu, bu da yaygınlığını yetenekli siber suçlular veya organize siber suç gruplarıyla sınırlıyordu. Ancak, RaaS platformlarının ortaya çıkması bu sınırı kaldırdı ve fidye yazılımını kötü niyetli daha geniş bir kitleye erişilebilir hale getirdi.

Bu platformlar, siber suçlu olmak isteyenlere kullanımı kolay arayüzler, adım adım talimatlar ve hatta müşteri desteği ile birlikte hazır fidye yazılımı araç setleri sağladığı bilinmektedir. Esasen RaaS, abonelik veya kâr paylaşımı modeliyle çalışarak suçluların fidye yazılımını dağıtmasına ve fidye ödemelerini RaaS operatörleriyle paylaşmasına olanak tanımaktadır.

Fidye yazılımı nasıl çalışır?

Fidye yazılımı saldırısı, ağınızdaki bir makineye kötü amaçlı yazılım bulaştığında başlar. Siber suçlular, e-postada ekiyle, spam yoluyla gönderilen bir bağlantı veya gelişmiş sosyal mühendislik kampanyaları gibi çeşitli yöntemlerle makinenizi enfekte edebilir. Kullanıcılar bu saldırı türlerine karşı daha bilinçli hale geldikçe, siber suçluların stratejileri de gelişir. Kötü amaçlı yazılım bir kere bulaştıktan sonra, ağa yayılır ve erişebildiği her dosyayı siber suçluların kontrolündeki güçlü şifrelemeyle kilitler.

Geleneksel şifreleme modeline ek olarak fidye yazılımı türleri şunlardır:

• Şifreleme yapmayan fidye yazılımı veya kilit ekranları, dosya ve verilere erişimi kısıtlar, ancak bunları şifrelemez.
• Bir sürücünün ana önyükleme kaydını (MBR) veya Microsoft’un NTFS’sini şifreleyen fidye yazılımı, kurbanların bilgisayarlarının canlı bir işletim sistemi (OS) ortamında başlatmasını engeller.
• Sızıntı yazılımı veya şantaj yazılımı, saldırganların fidye ödenmezse yayınlamakla tehdit ettikleri, güvenliği tehlikeye atan veya zarar veren verileri çalar. Bu tür yazılımlar giderek yaygınlaşmaktadır. 2023 yılında, fidye yazılımı saldırılarının %91’inde bir tür veri sızıntısı söz konusuydu.
• Cep telefonlarını, geçici indirmeler veya sahte uygulamalar yoluyla enfekte eden mobil cihaz fidye yazılımı.

Tipik bir saldırı sırasında neler olur?

Tehdit aktörlerinin sistemlere sızmak, keşif toplamak ve görevlerini yerine getirmek için ellerinde birçok araç bulunur. Siber güvenlik terminolojisinde bunlara taktikler, teknikler ve prosedürler (TTP’ler) denir. Çok fazla ayrıntıya girmeden, bir fidye yazılımı saldırısının tipik yaşam döngüsü şu şekildedir:

1. İlk tehdit: Fidye yazılımları, bilinen yazılım güvenlik açıklarından faydalanarak, kimlik avı e-postaları veya USB bellek gibi fiziksel ortamları kullanarak, brute-force (kaba kuvvet) saldırıları ve benzeri çeşitli yöntemlerle sisteme giriş yapar. Daha sonra tek bir uç noktaya veya ağ cihazına yüklenerek saldırgana uzaktan erişim sağlar.
2. Güvenli anahtar değişimi: Fidye yazılımı kurulduktan sonra saldırganın merkezi komuta ve kontrol sunucusuyla iletişim kurarak sistemin güvenli bir şekilde kilitlenmesi için gereken şifreleme anahtarlarının üretilmesini tetikler.
3. Şifreleme: Şifreleme kilidi oluşturulduktan sonra, fidye yazılımı şifreleme sürecini başlatır ve hem yerel hem de ağdaki dosyaları hedef alarak, şifre çözme anahtarları olmadan bu dosyalara erişilmesini engeller.
4. Gasp: Dosyalarınıza güvenli ve aşılmaz bir erişim elde eden fidye yazılımı, fidye miktarı, ödeme talimatları ve uyulmamasının sonuçları dahil olmak üzere sonraki adımların açıklamasını görüntüler.
5. Kurtarma seçenekleri: Bu aşamada, mağdur enfekte dosyaları ve sistemleri kaldırmayı, temiz bir yedekten geri yüklemeyi deneyebilir veya bazıları fidye ödemeyi düşünebilir.

Fidyenin ödenmesi asla tavsiye edilmez. Veeam’in 2024 Fidye Yazılımı Trendleri Raporu‘na göre, her üç kuruluştan biri fidyeyi ödedikten sonra verilerini kurtaramamıştır. Şifre çözme anahtarlarının çalışacağına dair bir garanti bulunmamakta ve fidyeyi ödemek, siber suçluları saldırılarına devam etmeleri için daha da teşvik etmektedir.

Fidye yazılımlarıyla nasıl mücadele edilir?

İnşallah başınıza gelmez ama diyelim ki fidye yazılımı (ransomware) saldırısına uğradınız. Sektörünüz ve yasal gerekliliklere (ki bunlar sürekli değişmektedir) bağlı olarak, saldırıyı derhal bildirmekle yükümlü olabilirsiniz. Aksi takdirde, önceliğiniz hasar kontrolü olmalıdır. Peki, bundan sonra ne yapmalısınız?

1. Zararlı yazılım bulaşan cihazı izole edin: Fidye yazılımının yayılmasını durdurmak için enfekte olmuş cihazınızı (PC, Mac, vb.) ağınızın geri kalanından ve paylaşılan depolama alanlarından hızla izole edin yani ağ bağlantısını kesin.
2. Bulaşma türünü tanımlayın: Çok sayıda fidye yazılımı türü mevcut olduğundan, hangi türle karşı karşıya olduğunuzu doğru bir şekilde belirlemek çok önemlidir. Bulaşma türünü daha net anlamak için mesaj ve dosyaları tarayın ve tanımlama araçlarını kullanın.
3. Saldırıyı bildirin: Yasal yükümlülükler değişiklik gösterebilir, ancak saldırıyı ilgili makamlara bildirmenizi tavsiye ederim. Bu makamların müdahalesi, karşı önlemler için çok değerli destek ve koordinasyon sağlayabilir.
4. Seçeneklerinizin neler olduğunu değerlendirin: Fidye yazılımı bulaştıktan sonra nasıl normale döneceğinizi ve nasıl en az veri kaybı yaşayacağınızı değerlendirip, durumunuza en uygun şekilde hareket edin.
5. Geri yükle ve yeniden oluştur veya sıfırdan yükle: Güvenli yedeklemeler, güvenilir program kaynakları ve güvenilir yazılımlar kullanarak virüs bulaşmış sistemleri geri yükleyin veya sıfırdan yeni bir sistem kurun.

Zararlı yazılım bulaşan cihazı izole edin

Karşılaştığınız fidye yazılımının türüne bağlı olarak, tepki vermek için çok az zamanınız olabilir. Hızlı yayılan türler, tek bir noktadan ağınızda yayılabilir ve siz onu durdurma şansı bulamadan verilerinizi kilitleyebilir.

İlk adım, bir bilgisayara virüs bulaşmış olabileceğinden şüpheleniyorsanız, onu ağınızdaki diğer bilgisayarlardan ve depolama cihazlarından ayırmaktır. Wi-Fi’yi devre dışı bırakın, Bluetooth’u devre dışı bırakın, makineyi bağlı olabileceği tüm yerel ağlardan (LAN) ve depolama cihazlarından çıkarın. Bu hareket, sadece yayılmayı engellemekle kalmaz, aynı zamanda fidye yazılımının saldırganlarla iletişim kurmasını da engeller.

Her zaman birden fazla “zararlı yazılım bulaşmış bilgisayar” ile karşı karşıya olabileceğinizi unutmayın. Fidye yazılımı, şirketinize saldırılmadan önce alt yapınızla ilgili detaylı inceleme yapılmışsa, birden fazla şekilde sisteminize girmiş olabilir. Şirketinizdeki başka bir sistemde zaten uykuda uyandırılmayı bekliyor olabilir. Tam olarak emin olana kadar, şirketinizdeki ağa bağlı her makineyi fidye yazılımının potansiyel konağı olarak düşünmeniz size fayda sağlayacaktır.

Bulaşma türünü tanımlayın

Fidye yazılımını yayan kötü insanlar olduğu gibi, bununla mücadele etmenize yardımcı olan iyi insanlar da vardır. ID Ransomware ve No More Ransom! Project gibi siteler, hangi tür fidye yazılımıyla karşı karşıya olduğunuzu belirlemenize yardımcı olur. Hangi tür fidye yazılımının bulaştığını bilmek, bu yazılımın nasıl yayıldığını, genellikle hangi tür dosyaları hedef aldığını ve varsa, kaldırma ve temizleme için hangi seçeneklerin olduğunu anlamanıza yardımcı olacaktır.

Saldırıya maruz kaldıktan sonra bir uzmandan yardım almanız hem hızlı bir şekilde çözüme ulaşmanızı, hem de daha fazla bilgi sahibi olmanızı sağlayacaktır.

Saldırıyı bildirin

Olayı yasal mercilere bildirmenin işletmenizin çıkarlarına uygun olmayacağını düşünüyor olabilirsiniz. Belki de bu saldırının kamuoyuna  duyurulmasını istemiyorsunuzdur. Ya da, yetkilileri devreye sokmanın olası olumsuzlukları (soruşturma sırasında verimlilik kaybı vb.) fidye miktarından daha ağır basıyordur.

Her halukarda saldırıyı bildirmek, herkesin mağdur olmasını önlemeye ve gelecekte fidye yazılım saldırılarının yayılmasını ve etkinliğini önlemeye yardımcı olur. Her saldırı bildirildiğinde, yetkililer saldırıların arkasında kimlerin olduğu, sisteminize nasıl erişim sağladıkları ve onları durdurmak için neler yapılabileceği konusunda daha net bir fikir edinir.

Seçeneklerinizin neler olduğunu değerlendirin

Siber suçluların taleplerine boyun eğmek, özellikle fidye ödemenin potansiyel verimlilik kaybından daha düşük olduğu durumlarda cazip görünebilir. Siber suçlular da buna güveniyor.

Ancak fidye ödemek, saldırganları diğer işletmeleri veya kişileri hedef almaya teşvik eder. Fidye ödemek sadece suç ortamını beslemekle kalmaz, aynı zamanda hukuki cezalarla da sonuçlanır ve verilerinizi geri alamayabilirsiniz.

Geri yükle ve yeniden oluştur veya sıfırdan yükle

Sisteminizden fidye yazılımını potansiyel olarak kaldırabilecek birkaç site ve yazılım paketi bulunabilir. Ancak, fidye yazılımını bilgisayarınızdan tamamen ve başarılı bir şekilde kaldırabileceğiniz garanti değildir. Bilinen her fidye yazılımı için çalışan bir şifre çözücü mevcut değildir. Bu yazılımların doğası gereği, bir şifre çözücü geliştirildiğinde, kötü niyetli kişiler yeni fidye yazılımları yazmaktadır. Güvende olmak için, sisteminizi yedeklerinizden geri yüklemek veya formatlayıp sıfırdan yüklemek gibi önlemler almanız gerekir.

Yedeklemelerinizi kullanarak baştan başlamak neden daha iyi bir fikirdir?

Fidye yazılımının (ransomware’in) sistemden kaldırıldığını doğrulamanın en kesin yolu, tüm depolama aygıtlarını tamamen silmek ve her şeyi sıfırdan yeniden yüklemektir. Sisteminizdeki sabit diskleri biçimlendirmek, fidye yazılımının hiçbir kalıntısının kalmamasını sağlayacaktır.

Sistemlerinize bulaşan fidye yazılımıyla etkili bir şekilde mücadele etmek için, dosya tarihlerini, mesajları ve diğer ilgili bilgileri inceleyerek bulaşmanın kesin tarihini belirlemek çok önemlidir. Fidye yazılımının, aktif hale gelip önemli değişiklikler başlatmadan önce sisteminizde uykuda olabileceğini unutmayın. Sistemlerinizi hedef alan fidye yazılımının belirli özelliklerini belirleyip inceleyerek, işlevselliği hakkında değerli bilgiler edinebilir ve sistemlerinizi en uygun durumuna geri döndürmek için en etkili stratejiyi geliştirebilirsiniz.

İlk fidye yazılımı bulaşma tarihinden önce yapılmış bir veya birkaç yedekleme seçin. Sağlam bir yedekleme stratejisi izliyorsanız, bulaşma anına kadar tüm belgelerinizin, medya dosyalarınızın ve önemli dosyalarınızın kopyalarına sahip olmalısınız. Hem yerel hem de uzaktaki yedeklemelerle, saldırıdan sonra ağınıza bağlı olmadığını bildiğiniz ve dolayısıyla fidye yazılımından korunduğunu bildiğiniz yedek kopyaları kullanabilmeniz gerekir.

Ancak, bilgisayarınıza geri yükleme yapmadan önce verilerinizde etkin olmayan fidye yazılımı olmadığından emin olmalısınız. Bunun için de bilgisayarınızı tekrar çevrimiçi hale getirmeden önce test amacıyla güvenli bir karantina ortamı kullanmanızı öneririm.

Fidye yazılımına karşı en iyi önlemler

Güvenlik uzmanları, fidye yazılımı saldırılarını önlemek için çeşitli önlemler önermektedir.

1. Bilinen zararlı yazılımların başlatılmasını engellemek için antivirüs ve kötü amaçlı yazılım önleme yazılımları veya diğer güvenlik politikalarını kullanın.
2. Tüm önemli dosyalarınızın sık sık ve kapsamlı yedeklemeleri alın ve bunları yerel ve açık ağlardan izole edin.
3. Object Lock gibi değiştirilemez yedekleme seçenekleri, kullanıcılara gerçek anlamda korumalı yedeklemeler sağlamanın bir yolunu sunar. Veriler sabittir, değiştirilemez ve son kullanıcı tarafından belirlenen zaman dilimi içinde silinemez.
4. Çevrimdışı veri yedeklerinizi, fidye yazılımının bunlara erişmesini önlemek için, bağlantısı kesilmiş harici depolama sürücüleri veya bulut gibi potansiyel olarak fidye yazılımı bulaşmış bilgisayarların erişemeyeceği konumlarda saklayın.
5. İşletim sistemleri, uygulamalar, tarayıcılar ve web eklentilerindeki bilinen güvenlik açıklarını kapatmak için gereken yamaları ilgili firmaların kendi sitelerinden sık sık yüklemeyi unutmayın.
6. Bilgisayarları, e-posta sunucularını ve ağ sistemlerinizi virüs veya fidye yazılımı bulaşmasından korumak için güvenlik yazılımı kullanmayı düşünün.
7. Kritik bilgisayarları izole etmek ve bir saldırı durumunda fidye yazılımının yayılmasını önlemek için ağlarınızı bölümlere ayırın. Gereksiz ağ paylaşımlarını kapatın.
8. En az ayrıcalık ilkesiyle çalışın. Yönetici haklarına ihtiyaç duymayan kullanıcılar için yönetici haklarını kapatın. Kullanıcılara işlerini yapabilmeleri için ihtiyaç duydukları en düşük sistem izinlerini verin.
9. Dosya sunucularındaki yazma izinlerini mümkün olduğunca kısıtlayın.
10. Fidye yazılımlarını sistemlerinizden uzak tutmak için yapılabilecekler konusunda kendinizi ve çalışanlarınızı eğitin. Kurbanları suç ortağına dönüştürmeyi amaçlayan en son e-posta kimlik avı dolandırıcılıkları ve insan mühendisliği hakkında herkesi bilgilendirin.

Sonuç olarak;

Bir fidye yazılımı saldırısına yanıt vermenin en iyi yolunun, en başından bu saldırıdan kaçınmak olduğu açıktır. Bunun dışında, değerli verilerinizin yedeklendiğinden ve fidye yazılımı bulaşmasına karşı erişilemez olduğundan emin olmak, bir saldırıya maruz kalmanız durumunda kesinti sürenizin ve veri kaybınızın en aza indirilmesini sağlayacaktır.

Bir fidye yazılımı saldırısına mı uğradınız veya kurban olmaktan sizi koruyacak bir stratejiniz mi var? Lütfen yorumlarda benimle paylaşın.

Eğer bir stratejiniz, yedek alma ve yedekten dönme planınız veya felaket kurtarma planınız yoksa danışmanlık hizmetlerimden faydalanmak isterseniz bana WhatsApp üzerinden ulaşabilirsiniz.

Dosya Kurtarma Seçenekleri: Olasılık Sırasına Göre

• 1. Seçenek (En Güvenli): Temiz Bir Yedekten Geri Yükleme
• 2. Seçenek (Denemeye Değer): Resmi Şifre Çözücüleri Kullanma (NoMoreRansom.org vb)
• 3. Seçenek (Düşük İhtimalli): Windows’un “Gölge Kopyaları” (Shadow Copies)
• 4. Seçenek (Önerilmez): Fidyeyi Ödemek. Fidyeyi ödeseniz bile kod çözücüyü alıp dosyalarınızı kurtarmanın garantisi yok. Fidyeyi aldıktan sonra ilave fidye isteme ihtimali yüksek ve verilen kod çözücü şifreli dosyaları eski haline getirmeyebilir.

Güvenilir Araç ve Kaynaklar Listesi

• Kimlik Tespiti ve Çözücüler: No More Ransom Project
• Haber ve Analiz: BleepingComputer (Ransomware bölümü)
• Temizleme Araçları: Malwarebytes, HitmanPro
• Yedekleme Yazılımları: Veeam Agent, Macrium Reflect

Sık Sorulan Sorular

• Fidye yazılımı saldırısına uğradığımı anladığımda atmam gereken ilk adım nedir?
  Atmanız gereken ilk ve en önemli adım, saldırıya uğrayan cihazı (bilgisayar, NAS, sunucu) derhal ağdan izole etmektir. Ağ (ethernet) kablosunu çıkarın ve Wi-Fi’yi kapatın. Bu, virüsün ağdaki diğer cihazlara yayılmasını engeller.
• Şifrelenen dosyalarımı para ödemeden kurtarmak mümkün mü?
  Bazen evet. “No More Ransom” projesi gibi platformlar, bazı fidye yazılımı türleri için geliştirilmiş resmi şifre çözücü (decryptor) araçları sunar. Saldırının türünü belirledikten sonra bu siteleri kontrol etmek, para ödemeden dosyaları kurtarmak için ilk denemeniz gereken yoldur. Ancak bu her zaman mümkün olmayabilir.
• Bilgisayarımı formatlamak fidye yazılımını temizler mi?
  Evet, diski tamamen formatlayıp işletim sistemini yeniden kurmak fidye yazılımını ve diğer tüm virüsleri temizler. Ancak bu işlem, diskteki tüm verilerinizi de siler. Bu nedenle bu adım, yalnızca verilerinizi temiz ve güvenilir bir yedekten geri yükleyebileceğinizden eminseniz atılmalıdır.
• Yedeklerimin de virüslü olup olmadığını nasıl anlarım?
  Bu, yedeklemenin en kritik riskidir. Yedeklerinizi virüsten korumak için en güvenli yöntem, çevrimdışı (offline) veya değiştirilemez (immutable) yedekler almaktır (3-2-1 kuralı). Bir yedeği geri yüklemeden önce, o yedeğin bulunduğu diski güncel bir antivirüs yazılımı ile başka bir temiz bilgisayarda taratmak, riski azaltmanın en iyi yoludur.
• Önleme (prevention) ve Kurtarma (recovery) arasındaki fark nedir?
  Önleme, saldırının hiç gerçekleşmemesi için aldığınız proaktif önlemlerdir (güçlü şifreler, güncellemeler, yedekleme, güvenlik duvarı). Kurtarma ise, tüm önlemlere rağmen bir saldırı gerçekleştiğinde, verilerinizi ve sistemlerinizi en az hasarla tekrar çalışır hale getirme sürecidir (yedekten geri dönme, sistemi temizleme). İyi bir strateji her ikisini de kapsar.

İlgili Yazılar

• NAS Fidye Yazılımı Rehberi: NAS’ınızı Saldırılardan Koruyun
• 3-2-1 Yedekleme Kuralı – Avantajları ve Uygulama Rehberi
• RAID Türleri ve Avantajları
• NAS Performans Kılavuzu: NAS’ınızı Nasıl Optimize Edersiniz?