NotPetya, 2017 yılında ortaya çıkan ve kısa sürede dünya çapında milyarlarca dolarlık zarara yol açan bir zararlı yazılımdır. Ekranda fidye notu gösterip para talep etmesine rağmen, gerçek amacı ödeme toplamak değil, bulaştığı sistemleri kalıcı olarak kullanılamaz hâle getirmekti; bu yönüyle bir fidye yazılımından çok bir yıkım silahıydı.

NotPetya fidye istiyor gibiydi, ama ödeseniz bile verinizi geri getirmesi baştan imkânsızdı; amaç para değil, tahribattı.

Nasıl Yayıldı?

Saldırı, doğrudan kurbanlara değil, Ukrayna’da yaygın kullanılan bir muhasebe yazılımının güncelleme sunucusuna sızarak başladı. Şirketler rutin bir güncelleme aldıklarını sanırken, aslında zararlıyı kendi ağlarına davet ettiler. Bu, klasik bir tedarik zinciri saldırısı örneğidir: güvenilen bir yazılım kanalı, zararlının taşıyıcısına dönüştürülmüştür.

Bir kuruma girdikten sonra NotPetya, ağ içinde kendi başına yayılmak için birden fazla yöntem kullandı. Bunlardan biri, Windows’un dosya paylaşım protokolündeki bir açığı hedef alan EternalBlue MS17-010 istismarıydı. Yamanmamış tek bir makine, tüm ağın düşmesi için yeterli bir köprü sağladı.

Neden Bu Kadar Yıkıcıydı?

Yalnızca istismarla yetinmedi; ele geçirdiği bir makinede yasal yönetim araçlarını kullanarak yönetici kimlik bilgilerini toplayıp diğer sistemlere sıçradı. Bu yöntem, açık kalmamış makinelerin bile güçlü bir hesap üzerinden ele geçirilmesini sağladı ve saldırının yatay yayılımını hızlandırdı.

Zararlı, diskin başlangıç kayıtlarını ve dosyaları şifreledikten sonra çözme anahtarını hiçbir yerde saklamadı. Bu yüzden ekrandaki fidye talebi tümüyle bir aldatmacaydı. Sıradan bir fidye yazılımı parayı motivasyon olarak taşırken, NotPetya bu görüntüyü yalnızca gerçek niyetini gizlemek için kullandı.

Vakadan Çıkan Ders

NotPetya, bir kurumun güvenliğinin kendi duvarlarıyla sınırlı olmadığını gösterdi; güvendiğiniz bir tedarikçinin zafiyeti sizin de zafiyetinizdir. Ayrıca aylar önce yayımlanmış bir yamanın uygulanmamış olması, tek bir ihmalin küresel ölçekte nasıl büyüyebileceğini ortaya koydu. Olay, güncelleme kaynaklarının doğrulanması ve ağ segmentasyonunun önemini kalıcı biçimde gündeme taşıdı.

Bu ölçekte bir saldırıya verilecek yanıt, hızlı ve organize bir müdahaleyi gerektirir. Privia Security, tedarik zinciri kaynaklı olaylarda yayılımı durduran, kök nedeni ortaya çıkaran ve toparlanmayı yöneten olay inceleme ve olay müdahalesi hizmetiyle, bu tür yıkıcı senaryolarda kurumların ayakta kalmasına odaklanır. İncelemenin teknik omurgasını ise DFIR adli analiz ve olay müdahalesi disiplini oluşturur.