Fidye yazılımı hizmeti, zararlı yazılımı geliştiren grupların altyapılarını başka aktörlere kiralamasıyla işleyen bir suç modelidir. Geliştirici grup yazılımı, ödeme altyapısını ve sızıntı sitesini sağlar; ortaklar ise kurumlara sızarak operasyonu yürütür. Elde edilen gelir belirli bir oranla paylaşılır. Bu iş bölümü, teknik yetkinliği sınırlı aktörlerin de büyük operasyonlar yapmasını mümkün kılar. Sonuç olarak saldırı sayısı belirgin biçimde artmıştır.

Model, meşru yazılım sektöründeki hizmet modellerini taklit eder. Ortaklara panel, teknik destek ve hatta pazarlama materyali sağlanır. Bu profesyonelleşme, operasyonların kalitesini de artırmıştır. Savunma açısından bu, daha hazırlıklı saldırganlarla karşılaşmak anlamına gelir. Hazırlık düzeyinin de buna göre yükselmesi gerekir.

Fidye Yazılımı Hizmeti Nedir?

Fidye yazılımı hizmeti, geliştirici grupların zararlı yazılım ve destek altyapısını gelir paylaşımı karşılığında ortaklara sunduğu suç iş modelidir.

Modelde roller nettir. Geliştirici grup teknik altyapıyı sürdürür ve yazılımı günceller. Ortaklar hedef seçer, sızar ve operasyonu yürütür. Bazı durumlarda ilk erişimi sağlayan üçüncü bir aktör daha bulunur. Tehdit aktörü türleri bu ayrımı ayrıntılandırır. Her rol farklı yetkinlik gerektirir.

Savunmaya Etkisi

Modelin ilk sonucu, saldırı hacminin artmasıdır. Giriş engelinin düşmesi, çok daha fazla aktörün bu alana girmesine yol açmıştır. Bu nedenle her ölçekten kurum hedef olabilmektedir. Küçük kurumların hedef olmayacağı varsayımı geçersizdir. Hazırlık, büyüklükten bağımsız gereklidir.

İkinci sonuç, tekniklerin standartlaşmasıdır. Aynı araçlar ve aynı yöntemler farklı operasyonlarda tekrar eder. Bu tekrar, savunma açısından bir avantajdır çünkü tespit kuralları geniş kapsama sağlar. Bilinen tekniklere odaklanan bir kural seti birçok grubu kapsar. Kapsama haritası bu bilgiyle oluşturulur.

Üçüncü sonuç, ilk erişim satışının ayrı bir pazara dönüşmesidir. Bir kuruma sızan aktör, bu erişimi satabilir. Dolayısıyla bugün tespit edilmeyen küçük bir bulaşma, yarın büyük bir operasyona dönüşebilir. Bu nedenle her bulaşma ciddiye alınmalıdır. Erken müdahale kritik önemdedir.

• Geliştirici grup: yazılım, ödeme altyapısı ve sızıntı sitesi
• Ortaklar: hedef seçimi, sızma ve operasyon yürütme
• İlk erişim satıcıları: hazır erişimin pazarlanması
• Müzakereciler: kurbanla pazarlık sürecinin yürütülmesi
• Gelir paylaşımı: belirli oranlarla dağıtım

Ne Yapılmalı?

Savunma önceliği, ilk erişim yollarının kapatılmasıdır. Kimlik güvenliği ve yama yönetimi bu yolların büyük bölümünü kapatır. Ayrıca erken tespit kabiliyeti, erişimin satılmasından önce müdahale imkânı verir. Bu pencere genellikle günler ya da haftalarla ölçülür. Tespit yatırımı bu pencerede karşılığını verir.

İkinci öncelik, kurtarma kabiliyetidir. Ödeme yapmama kararının verilebilmesi, güvenilir bir kurtarma seçeneğinin varlığına bağlıdır. Bu nedenle yedekleme mimarisi bir müzakere kozudur. Tatbikatla doğrulanmalıdır. Doğrulanmamış yedek, karar anında güven vermez.

Ortaklık Yapısının Sonuçları

Ortaklık modeli, aynı zararlı yazılımın farklı tekniklerle dağıtılmasına yol açar. Bir ortak kimlik avını tercih ederken diğeri zafiyet sömürüsü kullanabilir. Bu çeşitlilik, tek bir giriş yolunu kapatmanın yeterli olmadığını gösterir. Savunma tüm yaygın yolları kapsamalıdır. Kapsama analizi bu nedenle önemlidir.

Ayrıca ortaklar arasında yetkinlik farkı bulunur. Deneyimli ortaklar sessiz ilerlerken, deneyimsizler daha fazla iz bırakır. Bu fark, tespit olasılığını da değiştirir. Kurumun tespit kabiliyeti, karşılaştığı ortağın niteliğine göre yeterli ya da yetersiz kalabilir. Bu nedenle olgunluk hedefi yüksek tutulmalıdır.

Gruplar arasında geçişler de olur. Bir grup dağıldığında ortakları başka gruplara katılır ve teknikleri taşır. Bu nedenle grup bazlı savunma yerine teknik bazlı savunma tercih edilmelidir. MITRE ATT&CK eşlemesi bu yaklaşımı destekler. Teknikler gruplardan daha kalıcıdır.

İlk Erişim Pazarı

Model içinde ayrı bir rol olarak ilk erişim satıcıları bulunur. Bu aktörler kurumlara sızar ve elde ettikleri erişimi pazarlarda satar. Satış ilanları genellikle kurumun sektörünü, ülkesini ve cirosunu içerir. Bu bilgiler alıcının fiyat belirlemesine yarar. Kurum adı ise satış sonrası paylaşılır.

Bu pazarın varlığı, tespit penceresinin önemini artırır. Sızma ile fidye arasında geçen süre, erişimin satılmasını bekleyen bir dönemdir. Bu dönemde yapılan tespit, olayı fidye aşamasına gelmeden durdurur. Pencere genellikle haftalarla ölçülür. Yatırım bu pencereye yönlendirilmelidir.

Pazarların izlenmesi de bir erken uyarı kaynağıdır. Kurumun tanımına uyan bir satış ilanı, aktif bir sızmaya işaret edebilir. Dijital risk koruma servisleri bu izlemeyi yürütür. Bilgi geldiğinde hızlı inceleme başlatılmalıdır. Süreç önceden tanımlanmalıdır.

Privia Security olarak fidye operasyonlarının yaygın tekniklerine karşı tespit kabiliyetini SOC olgunlaştırma kapsamında değerlendiriyoruz.