Fidye yazılımı, bulaştığı sistemdeki verileri şifreleyerek erişilemez hâle getiren ve çözüm anahtarı karşılığında ödeme talep eden zararlı yazılım türüdür. Şifreleme tamamlandığında kullanıcı dosyalarını açamaz ve ekranda bir fidye notu görüntülenir. Notta ödeme yöntemi, süre ve iletişim bilgisi yer alır. Bu yapı, saldırıyı doğrudan gelir üreten bir modele dönüştürür. Bu nedenle en yaygın saldırı türlerinden biri hâline gelmiştir.

Teknik olarak fidye yazılımı, güçlü ve standart şifreleme algoritmaları kullanır. Bu algoritmalar doğru uygulandığında, anahtar olmadan çözüm pratikte imkânsızdır. Bazı erken örneklerde uygulama hataları nedeniyle ücretsiz çözüm araçları geliştirilebilmiştir. Ancak modern örneklerde bu şans nadirdir. Bu nedenle savunma, önleme ve kurtarmaya dayanmalıdır.

Fidye Yazılımı Nedir?

Fidye yazılımı, hedef sistemdeki dosyaları şifreleyerek kullanılamaz hâle getiren ve şifre çözme anahtarı karşılığında ödeme talep eden zararlı yazılım türüdür.

Yazılımın kendisi, saldırının yalnızca son adımıdır. Modern operasyonlarda şifrelemeden önce günler süren bir sızma, keşif ve yayılma süreci bulunur. Fidye yazılımı saldırısı bu sürecin tamamını ifade eder. Savunma, yazılımı değil süreci hedeflemelidir. Şifreleme aşamasında müdahale seçenekleri çok azdır.

Nasıl Çalışır?

Bulaşan bileşen önce sistemi tarayarak şifrelenecek dosyaları belirler. Belge, tablo, görsel ve veri tabanı dosyaları öncelikli hedeflerdir. Sistem dosyaları genellikle atlanır çünkü sistemin çalışır kalması, fidye notunun gösterilmesi için gereklidir. Bu seçicilik, yazılımın tasarım tercihidir. Bazı varyasyonlar bu kurala uymaz.

Şifreleme genellikle hibrit bir yaklaşımla yapılır. Her dosya hızlı bir simetrik algoritmayla şifrelenir, kullanılan anahtar ise saldırganın açık anahtarıyla korunur. Böylece çözüm yalnızca saldırganın özel anahtarıyla mümkün olur. Bu tasarım, anahtarın yerel olarak bulunmasını engeller. Bellek analizi bazı durumlarda anahtar kalıntısı bulabilir.

Şifreleme öncesinde gölge kopyalar ve yerel yedekler silinir. Bu adım, kurtarma seçeneğini ortadan kaldırmayı hedefler. Aynı zamanda tespit için güçlü bir sinyaldir. Bu işlemin uyarı üretmesi sağlanmalıdır. Yanlış pozitif oranı düşüktür.

• Hedef dosya türlerinin taranması ve listelenmesi
• Gölge kopyaların ve yerel yedeklerin silinmesi
• Hibrit şifrelemeyle dosyaların işlenmesi
• Fidye notunun bırakılması ve arka planın değiştirilmesi
• Şifreleme öncesinde verilerin sızdırılması

Türleri

Klasik ayrım, dosya şifreleyen ve ekran kilitleyen türler arasındadır. Ekran kilitleyen türler dosyalara dokunmaz, yalnızca sisteme erişimi engeller. Bu türler görece kolay temizlenir çünkü veriler bozulmamıştır. Dosya şifreleyen türler ise geri dönüşü olmayan hasar üretir. Günümüzde ikinci tür baskındır.

Bir diğer ayrım, hedef odaklı ve fırsatçı kampanyalar arasındadır. Fırsatçı kampanyalar geniş kitlelere yayılır ve düşük tutarlı fidye talep eder. Hedef odaklı operasyonlar ise belirli kurumlara yönelir ve çok daha yüksek tutarlar talep eder. İkinci grup, uzun bir hazırlık süreci içerir. Savunma yaklaşımı da buna göre farklılaşır.

Üçüncü ayrım, şantaj biçimine göredir. Yalnızca şifreleme yapan operasyonlar giderek azalmakta, veri sızdırmayı da içeren modeller yaygınlaşmaktadır. Çifte şantaj bugün standart hâle gelmiştir. Bu değişim, yedekleme yatırımının tek başına yeterli olmadığını gösterir. Sızdırma tespiti de gereklidir.

Nasıl Korunulur?

Korunmanın temeli, giriş yollarının kapatılmasıdır. Kimlik avına dayanıklı çok faktörlü doğrulama ve hızlı yama yönetimi, en yaygın iki giriş yolunu kapatır. Bu iki kontrol, birçok olayı baştan engeller. Kapsam eksiksiz olmalıdır. Tek bir açık nokta yeterlidir.

İkinci katman, yayılmanın sınırlanmasıdır. Ağ segmentasyonu, en az yetki ilkesi ve benzersiz yerel yönetici parolaları bu katmanı oluşturur. Bu kontroller, bulaşma gerçekleşse bile etkiyi tek bir bölgeye hapseder. Ağ segmentasyonu en belirleyici kontroldür. Yatırım önceliği buraya verilmelidir.

Üçüncü katman, kurtarma kabiliyetidir. Yedeklerin ayrı kimlikle korunması, değiştirilemez saklanması ve geri yükleme tatbikatının düzenli yapılması gerekir. Tatbikat yapılmadan kurtarma süresi bilinemez. Bu süre, iş sürekliliği planına girdi olur. Ölçüm yapılmadan plan gerçekçi olmaz.

Fidye Notu ve Pazarlık Süreci

Şifreleme tamamlandığında bırakılan not, iletişim yöntemini ve ödeme koşullarını içerir. Genellikle bir süre sınırı verilir ve sürenin dolmasıyla tutarın artacağı bildirilir. Bu baskı, aceleci karar vermeyi hedefler. Kurumun önceden belirlenmiş bir karar süreci olmalıdır. Kriz anında sıfırdan değerlendirme yapılmamalıdır.

İletişim genellikle özel bir portal üzerinden yürütülür. Bu portalda örnek dosya çözümü gibi güven artırıcı adımlar sunulur. Ancak çözüm aracının çalışacağı garanti değildir. Ödeme yapan kurumların bir bölümü verilerine tam olarak ulaşamamaktadır. Bu belirsizlik karar sürecinde dikkate alınmalıdır.

Ödeme kararı teknik değil, hukuki ve ticari bir karardır. Üst yönetim, hukuk birimi ve gerekiyorsa dış danışmanlık birlikte değerlendirir. Bazı yargı bölgelerinde ödeme hukuki sonuç doğurabilir. Bu nedenle karar sürecinin önceden tanımlanması gerekir. Ödeme kararının sonuçları ayrıca değerlendirilmelidir.

Şifre Çözme Araçları

Bazı fidye yazılımı aileleri için ücretsiz çözüm araçları bulunmaktadır. Bu araçlar, uygulama hatalarından ya da ele geçirilen anahtarlardan yararlanır. Sektörel iş birliği projeleri bu araçları derleyip yayımlar. Bulaşan ailenin doğru tespit edilmesi, aracın varlığını kontrol etmeyi sağlar. Bu kontrol müdahalenin ilk adımlarından biri olmalıdır.

Ancak modern ailelerin çoğunda böyle bir araç bulunmaz. Güçlü ve doğru uygulanmış şifrelemede çözüm mümkün değildir. Bu nedenle araç arayışı zaman kaybına dönüşmemelidir. Kurtarma çalışması paralel yürütülmelidir. İki iş birlikte planlanır.

Şifrelenmiş dosyaların saklanması da önerilir. Gelecekte bir çözüm aracı yayımlanabilir ya da anahtar ele geçirilebilir. Kritik veriler için bu saklama makul bir tercihtir. Saklama maliyeti düşüktür. Karar veri sahibiyle birlikte verilir.

Bulut ve Yedekleme Ortamlarında

Bulut depolama servisleri de fidye yazılımından etkilenebilir. Senkronize edilen bir klasördeki şifrelenmiş dosyalar buluta da yansır. Sürüm geçmişi özelliği bu durumda kurtarma sağlar. Ancak sürüm sayısı ve saklama süresi sınırlı olabilir. Bu ayarların kontrol edilmesi gerekir.

Yedekleme sistemlerinin kendisi de hedeftir. Yedekleme sunucusuna erişen bir saldırgan, tüm yedekleri silebilir ya da şifreleyebilir. Bu nedenle yedekleme altyapısının ayrı kimlikle korunması gerekir. Değiştirilemez saklama seçenekleri tercih edilmelidir. Bu tercih kurtarmayı garanti eder.

Privia Security olarak fidye yazılımına karşı önleme, tespit ve kurtarma katmanlarını siber tatbikat senaryolarıyla birlikte sınıyoruz.