Conrado Sol
- 29 Nis 2026
- 62 Mesaj
Selamün aleyküm cümleten,
Bugün konumuz Ransomware yani Fidye yazılımı ile ilgili olacak. Hem fidye yazılımı nedir, nasıl çalışır, hem de arka planda neler oluyor öğreneceğiz.
Şirketlerin, hastanelerin, sistem yöneticilerinin ve daha birçok kişi ve şirketlerin en büyük kabusu fidye yazılımlarıdır. Çoğu kullanıcı ekranda o malum fidye notunu görene kadar sistemde her şeyin yolunda gittiğini sanır. Ancak o not belirene kadar arka planda çok sinsi ve adım adım ilerleyen bir operasyon bulunuyor. İşte bugün ki konumuz bu içeride döneni öğrenmek.
Sektöre yeni girenler genelde Ransomware'i tek tip bir virüs sanır. Halbuki bu zararlılar yıllar içinde evrim geçirdi ve şu an siber güvenlik dünyasında temelde 6 farklı formatta karşımıza çıkıyorlar: Sadece ekranı kilitleyen Locker, veriyi şifreleyen Crypto, veriyi hem çalıp hem şifreleyen Double Extortion, işin içine bir de DDoS saldırısı katan Triple Extortion, amacı sadece sistemi yok etmek olan Wiper ve olayı mafyalaştırıp kiralık virüs hizmeti sunan RaaS.
İçerik dolu olacağı için tek bir yazıya yığıp sizi boğmak istemedim. O yüzden bugün sadece işin temelini, yani fidye yazılımlarının nasıl bulaştığını, neler olduğunu ve ilk nesil olan Locker ile Crypto mantığının anatomisini inceleyeceğiz.
1. Ransomware Nedir ve Sisteme Nasıl Bulaşır?
Ransomware, en basit tabiriyle dijital bir rehin alma operasyonudur. Saldırganlar sisteminize sızar, sizin için kritik olan verilere ya da doğrudan cihazın kendisine erişiminizi keser ve bu erişimi geri vermek karşılığında sizden (genellikle takip edilemeyen kripto paralar üzerinden) bir fidye talep eder. Ancak filmlerdeki gibi hackerlar klavyede hızlıca bir şeyler yazıp sisteminize sihirli bir şekilde girmezler. Bir fidye yazılımının içeri sızması için genelde sizin bir hata yapmanız, bir tuzağa düşmeniz veya içeride bir kapıyı açık unutmanız gerekir.
En yaygın ve can yakan bulaşma yöntemi Oltalama (Phishing) saldırılarıdır. Muhasebe departmanına "Ödenmemiş Fatura Detayı" veya "Kargo Takip Fişi" adında sahte bir mail gelir. İçinde genelde zararsız gibi duran bir Excel veya Word belgesi vardır. Kurban bu dosyayı açıp yukarıdan "İçeriği Etkinleştir" (Makroları çalıştır) butonuna tıkladığı an, arka planda çalışan gizli bir kod parçası internetteki komuta kontrol (C2) sunucusuna bağlanır ve asıl zararlı yazılımı sessizce bilgisayara indirir. Her şeyin başlaması için tek bir tık yetmiştir.
Bir diğer popüler yöntem ise açık unutulan RDP (Uzak Masaüstü Protokolü) portlarıdır. Birçok sistem yöneticisi şirket bilgisayarlarına dışarıdan bağlanabilmek için RDP portlarını internete açık bırakıyor. Ancak bu hesaplara zayıf şifreler koyulduğunda, saldırganlar kaba kuvvet (Brute Force) araçlarıyla bu şifreleri kırarak sisteme ellerini kollarını sallayarak giriyorlar. İçeriye bir kez adım attıktan sonra da fidye yazılımını doğrudan ana sunucuya kendileri elleriyle yerleştiriyorlar.
2. Locker (Kilitleyiciler): Tarihçesi ve Çalışma Mantığı
Fidye yazılımlarının ilk nesli ve atası Locker türüdür. Günümüzde artık çok fazla karşımıza çıkmıyor ama siber şantajın nasıl başladığını anlamak için harika bir örnektir. 2010'lu yılların başında, özellikle 2012 civarında "Reveton" adıyla bilinen ve tarihe "Polis Virüsü" (Police Trojan) olarak geçen zararlı yazılımla zirveye ulaştı. Locker türünün en büyük özelliği, kurbanın bilgisayarındaki belgelere, fotoğraflara veya veritabanlarına kesinlikle dokunmamasıdır. Hiçbir dosyayı bozmaz veya şifrelemez.
Bunu evinizin odasına giren bir hırsız gibi düşünebilirsiniz. Bu hırsız odadaki eşyalarınıza hiç dokunmaz, sadece çıkar ve odanın kapısına kocaman bir asma kilit vurur. Odaya giremezsiniz ama bilirsiniz ki içerideki her şey sağlamdır. Reveton gibi yazılımlar tam olarak bunu yapıyordu. Sisteme bulaştığı an Windows'un başlangıç ayarlarını değiştiriyor, görev yöneticisini devre dışı bırakıyor ve klavyeyi kilitliyordu. Ekrana ise FBI, Interpol veya yerel polis teşkilatının logosunu basarak "Bilgisayarınızda yasadışı içerikler tespit edildi, şu hesaba 300 dolar ceza ödemezseniz hapse gireceksiniz" gibi sahte ve korkutucu bir mesaj yerleştiriyordu. O dönem kripto paralar çok yaygın olmadığı için ödemeler genelde ön ödemeli kartlar (Paysafecard vb.) ile alınıyordu.
Teknik olarak bu kilitleme işlemini yapmak çok basitti. Zararlı yazılım, Windows kayıt defterindeki (Registry) Winlogon\sh*ll anahtarında bulunan explorer.exe değerini silip kendi zararlı dosyasının yolunu yazıyordu. Böylece bilgisayar açıldığında masaüstü yerine doğrudan bu sahte polis ekranı geliyordu. Ancak hackerların bu yöntemi zamanla çürüdü. Çünkü işi bilen bir kullanıcı, bilgisayarı "Güvenli Mod"da başlatıp bu başlangıç kaydını silebiliyor veya bilgisayarın hard diskini söküp başka bir cihaza harici disk olarak taktığında tüm verilerini sapasağlam geri alabiliyordu. Hedef kitle bunu çözmeye başladığında, hackerlar strateji değiştirmek zorunda kaldı.
3. Asıl Tehlike: Crypto (Şifreleyiciler) ve Sistemin Fişini Çekme
Locker mantığı patlayınca, 2013 yılının sonlarında siber güvenlik dünyasını kökünden sarsan ve oyunun kurallarını tamamen değiştiren bir canavar ortaya çıktı: CryptoLocker. Evgeniy Bogachev adlı Rus bir hacker tarafından geliştirildiği bilinen bu zararlı, o zamanlar yeni yeni popülerleşen Bitcoin ödeme sistemini ve kırılması imkansız olan askeri düzeyde şifreleme algoritmalarını bir araya getirdi. İşte bugün şirketleri milyonlarca dolar zarara uğratan asıl tehlike olan "Crypto" mantığı o gün doğdu.
CryptoLocker ve onun soyundan gelen yazılımlar, odanın kapısını kilitlemekle uğraşmaz. Doğrudan odanın içine girer; kitaplarınızı, aile fotoğraflarınızı, şirketin muhasebe veritabanını tek tek açılmaz çelik kasalara koyar, kilitler ve anahtarı da kendi sunucusuna kaçırır. Artık bilgisayarınızı rahatça açabilirsiniz, masaüstünde gezinebilirsiniz ama tıkladığınız hiçbir dosya açılmaz, uzantıları ".locked" veya ".encrypted" olarak değişmiştir.
Bu şifreleme süreci teknik olarak "Hibrit Şifreleme" mantığıyla çalışır. Zararlı yazılım sistemi tarar ve bulduğu tüm dosyaları çok hızlı olan AES (Simetrik) algoritmasıyla kilitler. Ancak AES şifrelemesinde anahtar sistemin içinde kalır. Bu yüzden zararlı yazılım, o AES anahtarını da kırılamaz olan RSA (Asimetrik) algoritmasıyla bir kez daha şifreler. Yani kurbanın dosyalarını kilitleyen anahtarı da alıp başka bir kilitli kutuya koyar. RSA şifresini çözebilecek özel anahtar (Private Key) ise sadece hackerın elindeki sunucudadır. O anahtar olmadan dünyadaki bütün süper bilgisayarları bir araya getirseniz bile o dosyaları açamazsınız.
Peki, gölge kopyaların silinmesi (vssadmin) olayı nedir?
Bu adım, aslında Crypto sürecinin en ölümcül ve son hamlesidir. Şifreleme işlemi bittikten sonra hackerın aklına hemen şu soru gelir: "Ya bu kurbanın sistemi geri yükleme (System Restore) özelliğine sahipse?" Kurbanın Windows'un eski sürümlerinden dosyalarını kurtarmasını engellemek için, dosyalar şifrelendikten hemen sonra arka planda çok sessiz bir şekilde şu komut çalıştırılır: vssadmin.exe delete shadows /all /quiet. Bu komut sistemdeki tüm gölge kopyaları ve yerel yedekleri acımasızca siler. Sistemin fişi çekilmiş, geçmişe dönüş biletleri tamamen yakılmıştır.
İşte bir sistemin ele geçirilmesi ve verilerin karanlığa gömülmesi bu adımlarla gerçekleşiyor. Saldırgan tüm yedekleri sildikten sonra, değiştirilmiş bir masaüstü arka planı ve klasörlerin içine bırakılmış "README.txt" dosyasıyla kurbana son mesajını verir. Artık kurban, verilerini sonsuza dek kaybetmekle o yüksek fidyeyi ödemek arasında yapayalnız kalmıştır.
Bir sonraki konum olan Part 2 bölümünde, hackerlar için bu şifreleme olayının bile yeterli gelmediği ve işin nasıl çok daha acımasız bir şantaj şebekesine dönüştüğüne bakacağız. Double ve Triple Extortion (Çifte ve Üçlü Şantaj) dediğimiz o modern kabusların anatomisini anlatacağım.
Ransomware (Fidye yazılımı) hakkında aklınıza gelen, konuda anlamadığınız noktalar olursa yorum yapmaktan çekinmeyin.
Sağlıcakla kalmanız dileğiyle Herkese iyi forumlar dilerim.
Bugün konumuz Ransomware yani Fidye yazılımı ile ilgili olacak. Hem fidye yazılımı nedir, nasıl çalışır, hem de arka planda neler oluyor öğreneceğiz.
Şirketlerin, hastanelerin, sistem yöneticilerinin ve daha birçok kişi ve şirketlerin en büyük kabusu fidye yazılımlarıdır. Çoğu kullanıcı ekranda o malum fidye notunu görene kadar sistemde her şeyin yolunda gittiğini sanır. Ancak o not belirene kadar arka planda çok sinsi ve adım adım ilerleyen bir operasyon bulunuyor. İşte bugün ki konumuz bu içeride döneni öğrenmek.
Sektöre yeni girenler genelde Ransomware'i tek tip bir virüs sanır. Halbuki bu zararlılar yıllar içinde evrim geçirdi ve şu an siber güvenlik dünyasında temelde 6 farklı formatta karşımıza çıkıyorlar: Sadece ekranı kilitleyen Locker, veriyi şifreleyen Crypto, veriyi hem çalıp hem şifreleyen Double Extortion, işin içine bir de DDoS saldırısı katan Triple Extortion, amacı sadece sistemi yok etmek olan Wiper ve olayı mafyalaştırıp kiralık virüs hizmeti sunan RaaS.
İçerik dolu olacağı için tek bir yazıya yığıp sizi boğmak istemedim. O yüzden bugün sadece işin temelini, yani fidye yazılımlarının nasıl bulaştığını, neler olduğunu ve ilk nesil olan Locker ile Crypto mantığının anatomisini inceleyeceğiz.
1. Ransomware Nedir ve Sisteme Nasıl Bulaşır?
Ransomware, en basit tabiriyle dijital bir rehin alma operasyonudur. Saldırganlar sisteminize sızar, sizin için kritik olan verilere ya da doğrudan cihazın kendisine erişiminizi keser ve bu erişimi geri vermek karşılığında sizden (genellikle takip edilemeyen kripto paralar üzerinden) bir fidye talep eder. Ancak filmlerdeki gibi hackerlar klavyede hızlıca bir şeyler yazıp sisteminize sihirli bir şekilde girmezler. Bir fidye yazılımının içeri sızması için genelde sizin bir hata yapmanız, bir tuzağa düşmeniz veya içeride bir kapıyı açık unutmanız gerekir.
En yaygın ve can yakan bulaşma yöntemi Oltalama (Phishing) saldırılarıdır. Muhasebe departmanına "Ödenmemiş Fatura Detayı" veya "Kargo Takip Fişi" adında sahte bir mail gelir. İçinde genelde zararsız gibi duran bir Excel veya Word belgesi vardır. Kurban bu dosyayı açıp yukarıdan "İçeriği Etkinleştir" (Makroları çalıştır) butonuna tıkladığı an, arka planda çalışan gizli bir kod parçası internetteki komuta kontrol (C2) sunucusuna bağlanır ve asıl zararlı yazılımı sessizce bilgisayara indirir. Her şeyin başlaması için tek bir tık yetmiştir.
Bir diğer popüler yöntem ise açık unutulan RDP (Uzak Masaüstü Protokolü) portlarıdır. Birçok sistem yöneticisi şirket bilgisayarlarına dışarıdan bağlanabilmek için RDP portlarını internete açık bırakıyor. Ancak bu hesaplara zayıf şifreler koyulduğunda, saldırganlar kaba kuvvet (Brute Force) araçlarıyla bu şifreleri kırarak sisteme ellerini kollarını sallayarak giriyorlar. İçeriye bir kez adım attıktan sonra da fidye yazılımını doğrudan ana sunucuya kendileri elleriyle yerleştiriyorlar.
2. Locker (Kilitleyiciler): Tarihçesi ve Çalışma Mantığı
Fidye yazılımlarının ilk nesli ve atası Locker türüdür. Günümüzde artık çok fazla karşımıza çıkmıyor ama siber şantajın nasıl başladığını anlamak için harika bir örnektir. 2010'lu yılların başında, özellikle 2012 civarında "Reveton" adıyla bilinen ve tarihe "Polis Virüsü" (Police Trojan) olarak geçen zararlı yazılımla zirveye ulaştı. Locker türünün en büyük özelliği, kurbanın bilgisayarındaki belgelere, fotoğraflara veya veritabanlarına kesinlikle dokunmamasıdır. Hiçbir dosyayı bozmaz veya şifrelemez.
Bunu evinizin odasına giren bir hırsız gibi düşünebilirsiniz. Bu hırsız odadaki eşyalarınıza hiç dokunmaz, sadece çıkar ve odanın kapısına kocaman bir asma kilit vurur. Odaya giremezsiniz ama bilirsiniz ki içerideki her şey sağlamdır. Reveton gibi yazılımlar tam olarak bunu yapıyordu. Sisteme bulaştığı an Windows'un başlangıç ayarlarını değiştiriyor, görev yöneticisini devre dışı bırakıyor ve klavyeyi kilitliyordu. Ekrana ise FBI, Interpol veya yerel polis teşkilatının logosunu basarak "Bilgisayarınızda yasadışı içerikler tespit edildi, şu hesaba 300 dolar ceza ödemezseniz hapse gireceksiniz" gibi sahte ve korkutucu bir mesaj yerleştiriyordu. O dönem kripto paralar çok yaygın olmadığı için ödemeler genelde ön ödemeli kartlar (Paysafecard vb.) ile alınıyordu.
Teknik olarak bu kilitleme işlemini yapmak çok basitti. Zararlı yazılım, Windows kayıt defterindeki (Registry) Winlogon\sh*ll anahtarında bulunan explorer.exe değerini silip kendi zararlı dosyasının yolunu yazıyordu. Böylece bilgisayar açıldığında masaüstü yerine doğrudan bu sahte polis ekranı geliyordu. Ancak hackerların bu yöntemi zamanla çürüdü. Çünkü işi bilen bir kullanıcı, bilgisayarı "Güvenli Mod"da başlatıp bu başlangıç kaydını silebiliyor veya bilgisayarın hard diskini söküp başka bir cihaza harici disk olarak taktığında tüm verilerini sapasağlam geri alabiliyordu. Hedef kitle bunu çözmeye başladığında, hackerlar strateji değiştirmek zorunda kaldı.
3. Asıl Tehlike: Crypto (Şifreleyiciler) ve Sistemin Fişini Çekme
Locker mantığı patlayınca, 2013 yılının sonlarında siber güvenlik dünyasını kökünden sarsan ve oyunun kurallarını tamamen değiştiren bir canavar ortaya çıktı: CryptoLocker. Evgeniy Bogachev adlı Rus bir hacker tarafından geliştirildiği bilinen bu zararlı, o zamanlar yeni yeni popülerleşen Bitcoin ödeme sistemini ve kırılması imkansız olan askeri düzeyde şifreleme algoritmalarını bir araya getirdi. İşte bugün şirketleri milyonlarca dolar zarara uğratan asıl tehlike olan "Crypto" mantığı o gün doğdu.
CryptoLocker ve onun soyundan gelen yazılımlar, odanın kapısını kilitlemekle uğraşmaz. Doğrudan odanın içine girer; kitaplarınızı, aile fotoğraflarınızı, şirketin muhasebe veritabanını tek tek açılmaz çelik kasalara koyar, kilitler ve anahtarı da kendi sunucusuna kaçırır. Artık bilgisayarınızı rahatça açabilirsiniz, masaüstünde gezinebilirsiniz ama tıkladığınız hiçbir dosya açılmaz, uzantıları ".locked" veya ".encrypted" olarak değişmiştir.
Bu şifreleme süreci teknik olarak "Hibrit Şifreleme" mantığıyla çalışır. Zararlı yazılım sistemi tarar ve bulduğu tüm dosyaları çok hızlı olan AES (Simetrik) algoritmasıyla kilitler. Ancak AES şifrelemesinde anahtar sistemin içinde kalır. Bu yüzden zararlı yazılım, o AES anahtarını da kırılamaz olan RSA (Asimetrik) algoritmasıyla bir kez daha şifreler. Yani kurbanın dosyalarını kilitleyen anahtarı da alıp başka bir kilitli kutuya koyar. RSA şifresini çözebilecek özel anahtar (Private Key) ise sadece hackerın elindeki sunucudadır. O anahtar olmadan dünyadaki bütün süper bilgisayarları bir araya getirseniz bile o dosyaları açamazsınız.
Peki, gölge kopyaların silinmesi (vssadmin) olayı nedir?
Bu adım, aslında Crypto sürecinin en ölümcül ve son hamlesidir. Şifreleme işlemi bittikten sonra hackerın aklına hemen şu soru gelir: "Ya bu kurbanın sistemi geri yükleme (System Restore) özelliğine sahipse?" Kurbanın Windows'un eski sürümlerinden dosyalarını kurtarmasını engellemek için, dosyalar şifrelendikten hemen sonra arka planda çok sessiz bir şekilde şu komut çalıştırılır: vssadmin.exe delete shadows /all /quiet. Bu komut sistemdeki tüm gölge kopyaları ve yerel yedekleri acımasızca siler. Sistemin fişi çekilmiş, geçmişe dönüş biletleri tamamen yakılmıştır.
İşte bir sistemin ele geçirilmesi ve verilerin karanlığa gömülmesi bu adımlarla gerçekleşiyor. Saldırgan tüm yedekleri sildikten sonra, değiştirilmiş bir masaüstü arka planı ve klasörlerin içine bırakılmış "README.txt" dosyasıyla kurbana son mesajını verir. Artık kurban, verilerini sonsuza dek kaybetmekle o yüksek fidyeyi ödemek arasında yapayalnız kalmıştır.
Bir sonraki konum olan Part 2 bölümünde, hackerlar için bu şifreleme olayının bile yeterli gelmediği ve işin nasıl çok daha acımasız bir şantaj şebekesine dönüştüğüne bakacağız. Double ve Triple Extortion (Çifte ve Üçlü Şantaj) dediğimiz o modern kabusların anatomisini anlatacağım.
Ransomware (Fidye yazılımı) hakkında aklınıza gelen, konuda anlamadığınız noktalar olursa yorum yapmaktan çekinmeyin.
Sağlıcakla kalmanız dileğiyle Herkese iyi forumlar dilerim.