Silici zararlı, bulaştığı sistemdeki verileri geri döndürülemez biçimde yok etmeyi amaçlayan zararlı yazılım türüdür. Amaç gelir elde etmek değil, doğrudan hasar vermektir. Bu nedenle çözüm anahtarı ya da kurtarma seçeneği sunulmaz. Bazı örnekler fidye yazılımı gibi görünür ama gerçekte çözüm imkânı bulunmaz. Bu aldatma, kurbanın ödeme yapmasını ve zaman kaybetmesini hedefler.

Bu tür saldırılar genellikle siyasi ya da rekabetçi motivasyon taşır. Hedef, kurumun operasyonlarını durdurmak ve mümkün olan en büyük kesintiyi üretmektir. Bu nedenle kritik altyapı ve kamu kurumları sık hedef alınır. Saldırının zamanlaması da genellikle sembolik ya da stratejik anlar seçilerek belirlenir. Bu özellik, tehdit değerlendirmesinde dikkate alınmalıdır.

Silici Zararlı Nedir?

Silici zararlı, hedef sistemdeki verileri, önyükleme kayıtlarını ya da dosya sistemini geri döndürülemez biçimde bozarak kalıcı hasar oluşturmayı amaçlayan zararlı yazılımdır.

Yok etme yöntemi değişkenlik gösterir. Bazı örnekler dosyaların üzerine rastgele veri yazar, bazıları dosya sistemi yapılarını bozar, bazıları ise önyükleme kayıtlarını siler. Önyükleme kayıtlarının bozulması, sistemin hiç açılmamasına yol açar. Bu yöntem hızlıdır ve büyük etki üretir. Veriler diskte kalsa bile erişilemez hâle gelir.

Fidye Yazılımından Farkı

Fidye yazılımının amacı gelir elde etmektir; bu nedenle verilerin geri getirilebilmesi gerekir. Silici zararlıda ise böyle bir gereklilik yoktur. Bu fark, teknik uygulamada da görülür: silici zararlılarda anahtar yönetimi bulunmaz ya da anahtar kasıtlı olarak yok edilir. Bu ayrım, olay incelemesinde erken belirlenmelidir. Karar süreci buna göre değişir.

Ayrım pratik olarak önemlidir çünkü müdahale stratejisini belirler. Fidye yazılımında ödeme bir seçenek olarak değerlendirilebilirken, silici zararlıda böyle bir seçenek yoktur. Bu nedenle tüm çaba kurtarmaya yönlendirilir. Yanlış teşhis, zaman kaybına yol açar. Analiz hızlı yapılmalıdır.

Bazı operasyonlar kasıtlı olarak fidye yazılımı görünümü kullanır. Fidye notu bırakılır ama çözüm imkânı yoktur. Bu aldatma, atıf çalışmalarını da zorlaştırır. Zararlı yazılım analizi bu ayrımı ortaya çıkarır. Analiz olmadan karar verilmemelidir.

• Dosyaların üzerine rastgele veri yazılması
• Dosya sistemi yapılarının bozulması
• Önyükleme kayıtlarının silinmesi
• Yedeklerin ve gölge kopyaların yok edilmesi
• Ürün yazılımı düzeyinde kalıcı hasar
• Fidye yazılımı görünümüyle aldatma

Endüstriyel Ortamlardaki Etki

Endüstriyel kontrol sistemlerinde silici zararlıların etkisi fiziksel sonuç üretebilir. Kontrol yazılımının bozulması, üretim hattının durmasına ya da güvenli olmayan bir duruma geçmesine yol açabilir. Bu nedenle bu ortamlardaki saldırılar ayrı bir risk kategorisinde değerlendirilir. Emniyet sistemleriyle etkileşim ayrıca incelenmelidir. Endüstriyel zararlı örnekleri bu kategoriyi göstermektedir.

Bu ortamlarda kurtarma da farklıdır. Kontrol yazılımının yeniden yüklenmesi, üretici desteği ve saha çalışması gerektirebilir. Kurtarma süresi günlerle değil haftalarla ölçülebilir. Bu nedenle yedeklilik ve manuel çalışma prosedürleri hayati önem taşır. Planlar bu senaryoyu içermelidir. Tatbikat yapılmalıdır.

Ayrıca bu ortamlarda izleme kabiliyeti genellikle sınırlıdır. Pasif izleme çözümleri, üretimi etkilemeden görünürlük sağlar. Bu çözümlerin devreye alınması öncelikli bir yatırımdır. Operasyonel teknoloji varlık envanteri bu çalışmanın başlangıcıdır. Envanter olmadan izleme kurulamaz.

Nasıl Korunulur?

Önleme tarafındaki kontroller, diğer zararlı yazılım türleriyle büyük ölçüde aynıdır. Kimlik güvenliği, yama yönetimi, segmentasyon ve uygulama denetimi temel katmanlardır. Bu kontroller bulaşma ve yayılma olasılığını düşürür. Hiçbiri tek başına yeterli değildir. Katmanlı yaklaşım gereklidir.

Kurtarma tarafı ise bu tehdit için özellikle kritiktir. Ödeme seçeneği bulunmadığı için tek çözüm yedeklerdir. Yedeklerin çevrimdışı ya da değiştirilemez biçimde saklanması zorunludur. Ayrıca yedeklerin farklı bir konumda bulunması gerekir. Aynı ortamdaki yedekler birlikte yok edilebilir.

Kurtarma planının kapsamlı olması gerekir. Yalnızca veri değil, sistem yapılandırmalarının ve uygulamaların da geri yüklenebilmesi sağlanmalıdır. Sıfırdan kurulum senaryosu planlanmalıdır. Bu senaryo tatbikatla sınanmalıdır. Sınanmamış plan güven vermez.

Tespit ve Müdahale

Tespit için en değerli sinyaller, yayılma ve hazırlık aşamasındadır. Şifreleme ya da silme başladıktan sonra müdahale imkânı çok azalır. Bu nedenle yanal hareket ve yetki yükseltme tespitleri önceliklidir. Erken aşama tespiti, tüm fark yaratan unsurdur. Yatırım buraya yönlendirilmelidir.

Silme işlemi başladığında öncelik yayılmanın durdurulmasıdır. Etkilenen segmentlerin izole edilmesi, henüz etkilenmemiş sistemleri korur. Bu karar hızlı verilmelidir. Otomatik izolasyon yeteneği bu hızı sağlar. İnsan müdahalesi çoğu zaman yetişmez.

Müdahale sonrasında kapsam belirleme ve kurtarma paralel yürütülür. Etkilenen sistemlerin listesi çıkarılır ve öncelik sırasına göre kurtarma başlatılır. Olay müdahale planı bu öncelik sırasını önceden tanımlamalıdır. Kriz anında sıralama tartışılmamalıdır. Karar önceden verilmiş olmalıdır.

Atıf ve Motivasyon Analizi

Silici zararlıların motivasyonu genellikle finansal değildir. Bu nedenle atıf çalışmaları farklı sorular sorar: kim bu kesintiden fayda sağlar? Hedef seçimi, zamanlama ve kullanılan altyapı bu analize girdi olur. Atıf kesinlik gerektiren bir çalışmadır ve aceleye getirilmemelidir. Yanlış atıf ciddi sonuçlar doğurabilir.

Analiz için toplanan bulgular yapılandırılmış biçimde kaydedilir. Elmas modeli bu kaydı düzenlemek için kullanılabilir. Aktör, yetenek, altyapı ve kurban köşeleri doldurularak ilişkiler kurulur. Bu yapı, atıf tartışmasını dayanaklı hâle getirir. Dayanaksız iddialardan kaçınılmalıdır.

Kurumlar açısından atıf, savunma kararlarını doğrudan değiştirmez. Kimin saldırdığından bağımsız olarak aynı kontroller gereklidir. Atıf daha çok hukuki ve siyasi süreçler için önemlidir. Bu nedenle teknik ekiplerin önceliği kurtarma ve kontrol olmalıdır. Atıf ayrı bir çalışmadır.

İş Sürekliliği Planlaması

Bu tehdide karşı hazırlığın merkezinde iş sürekliliği planı bulunur. Plan, kritik süreçlerin bilgi sistemleri olmadan nasıl yürütüleceğini tanımlar. Manuel prosedürler, alternatif iletişim kanalları ve kâğıt tabanlı yedek süreçler bu planın parçasıdır. Bu hazırlık teknik değil operasyoneldir. İş birimleri tarafından sahiplenilmelidir.

Planın tatbikatla sınanması gerekir. Sistemler olmadan bir gün çalışabilmek, ancak denenerek doğrulanabilir. Tatbikat, planın eksiklerini ortaya çıkarır. İş sürekliliği standardı bu çalışmalar için çerçeve sunar. Belgeleme standartlaştırılabilir.

Kurtarma önceliklerinin de önceden belirlenmesi gerekir. Hangi sistemin önce ayağa kaldırılacağı, iş etkisi analizine dayanır. Bu analiz kriz anında değil hazırlık aşamasında yapılır. Öncelik listesi yazılı olmalıdır. Kriz anında tartışma yaşanmamalıdır.

Silici Zararlıların Yayılma Biçimi

Bu bileşenlerin yayılması genellikle mevcut yönetim altyapısı üzerinden gerçekleşir. Yazılım dağıtım sistemleri, grup politikaları ve uzak komut çalıştırma araçları bu amaçla kullanılır. Böylece bileşen tüm ortama tek seferde ulaştırılabilir. Bu yöntem, kendi kendine yayılan koddan daha hızlı sonuç verir. Bu nedenle yönetim altyapısının korunması kritik önemdedir.

Yönetim sunucularının ayrı bir güven bölgesinde tutulması bu riski azaltır. Bu sunuculara erişimin ayrıcalıklı iş istasyonlarıyla sınırlanması gerekir. Ayrıca dağıtım işlemlerinin onaya bağlanması ek koruma sağlar. Toplu dağıtım işlemleri uyarı üretmelidir. Bu kural kolayca tanımlanabilir.

Yedeklilik ve yalıtım da tasarım aşamasında düşünülmelidir. Tüm ortamın aynı yönetim altyapısına bağlı olması, tek noktadan yıkımı mümkün kılar. Kritik sistemlerin ayrı yönetilmesi bu riski dağıtır. Maliyet artışı vardır ama karşılığı yüksektir. Karar risk analizine dayanır.

Privia Security olarak yıkım amaçlı saldırı senaryolarına karşı kurtarma kabiliyetini siber tatbikat çalışmalarıyla ölçüyoruz.