BlackNevas Ransomware

Leak Altyapısına İlişkin Kaynak Farklılıkları

Genel Bakış

BlackNevas, ilk kez Kasım 2024 döneminde raporlanan ransomware ailelerinden biridir. SentinelOne, AhnLab/ASEC, Broadcom ve Halcyon tarafından yayımlanan teknik çalışmalar BlackNevas ile Trigona ransomware ailesi arasında güçlü kod ve tasarım bağlantıları bulunduğunu göstermektedir.

Operasyon yalnızca Windows endpoint'lerini hedefleyen bir encryptor değildir. Kamuya açık analizlerde 32-bit ve 64-bit Windows ve Linux payload'larının yanı sıra NAS, ARM ve VMware ESXi ortamları için özelleştirilmiş sürümler raporlanmıştır. Bu durum BlackNevas'ı özellikle sanallaştırma altyapısı yoğun kurumlar açısından dikkate değer hale getirir.

BlackNevas double-extortion modelini kullanmaktadır: saldırganlar dosyaları şifrelemenin yanında verilerin ele geçirildiğini iddia ederek yayımlama tehdidinde bulunabilir. Teknik kaynaklar ayrıca grubun leak işlemlerinde başka ransomware operasyonlarının altyapısından yararlandığını raporlamıştır.

Kamuya açık güncel tehdit araştırmalarında BlackNevas aktif bir operasyon olarak değerlendirilmektedir.

Neden Önemli?

BlackNevas'ın önemi yalnızca encryptor'ın teknik özelliklerinden kaynaklanmıyor. Kamuya açık olay ve tehdit araştırmaları, operasyonun kimlik güvenliği, uzak erişim, Active Directory, backup altyapısı ve VMware ESXi dahil olmak üzere ransomware dayanıklılığı açısından kritik birden fazla kontrol alanına dokunduğunu gösteriyor.

Halcyon'ın 2026 tehdit profili BlackNevas'ın öncelikli faaliyet alanlarından birini META — Middle East, Turkey and Africa — bölgesi olarak tanımlamakta ve Türkiye'yi açık biçimde bu odak içerisinde değerlendirmektedir. Bu, BlackNevas'ın her Türkiye kuruluşunu özel olarak hedeflediği anlamına gelmez; ancak grup Türkiye açısından göz ardı edilmemesi gereken güncel ransomware operasyonlarından biridir.

Trigona ile Teknik Bağlantı

BlackNevas ayrı bir operasyon adı altında faaliyet gösterse de araştırmacılar ransomware kodunun Trigona ailesinden türediğini değerlendirmektedir.

SentinelOne BlackNevas'ı doğrudan Trigona'nın bir türevi veya varyasyonu olarak sınıflandırmıştır. Halcyon ise iki aile arasında aynı iç AES-256 configuration-decryption anahtarlarının ve benzer command-line yapılarının bulunmasını doğrudan kod tabanı bağlantısının önemli kanıtı olarak göstermektedir.

AhnLab da BlackNevas örneklerini Trigona bağlantısıyla analiz etmiş ve ürün tespitlerinden birinde örnekleri Trigona ailesi altında sınıflandırmıştır.

Trigona bağlantısı, BlackNevas'ın Trigona ile operasyonel olarak tamamen aynı aktör olduğu anlamına gelmez. Buradaki ilişki öncelikle ransomware kod tabanı ve teknik lineage açısından değerlendirilmelidir.

Operasyon Modeli

BlackNevas'ın bilinen yapısı klasik affiliate recruitment modeline dayalı Ransomware-as-a-Service operasyonlarından farklıdır.

AhnLab BlackNevas'ın resmi olarak RaaS modeli altında faaliyet göstermediğini belirtmektedir. Halcyon ise operasyonu merkezi kontrol altında çalışan bir "closed group" olarak sınıflandırmaktadır.

SentinelOne'ın erken dönem araştırmasında BlackNevas'ın kendi leak sitesinden ziyade başka ransomware operasyonlarıyla partnerlik kurarak çalındığı iddia edilen verileri bu platformlarda yayımlama tehdidinde bulunduğu raporlanmıştır.

Bu yaklaşım saldırının teknik yürütülmesiyle public extortion altyapısının aynı organizasyon tarafından işletilmesi zorunluluğunu ortadan kaldırabilir.

İlk Erişim

BlackNevas olaylarında tek bir standart initial-access yöntemi raporlanmamıştır. Kamuya açık araştırmalarda aşağıdaki yöntemler BlackNevas ile ilişkilendirilmiştir:

• Public-facing uygulama istismarı: Halcyon, Zoho ManageEngine ADSelfService Plus üzerindeki CVE-2021-40539 açığının BlackNevas bağlantılı erişimlerde kullanıldığını raporlamaktadır.
• RDP ve geçerli hesaplar: Zayıf veya ele geçirilmiş RDP credential'larının kullanımı raporlanmıştır.
• MS-SQL credential saldırıları: İnternete veya saldırganın erişebildiği ağa açık MS-SQL servislerine yönelik brute-force/credential saldırıları raporlanmıştır.
• Spear phishing: SentinelOne ve Halcyon, spear-phishing yöntemini gözlemlenen olası initial-access yollarından biri olarak göstermektedir.

Bu yöntemlerin her BlackNevas olayında kullanıldığı varsayılmamalıdır. Initial access olaydan olaya değişebilir.

Keşif

BlackNevas bağlantılı intrusion activity içerisinde dosya, dizin ve network share keşfi raporlanmıştır.

• File and directory enumeration
• Sürücü harflerinin sistematik olarak kontrol edilmesi
• SMB/network share discovery
• Şifrelenebilecek erişilebilir network kaynaklarının belirlenmesi

Bu keşif işlemleri hem değerli verilerin belirlenmesini hem de encryption kapsamının genişletilmesini destekleyebilir.

Kimlik ve Credential Access

BlackNevas araştırmalarının kurumsal savunma açısından en dikkat çekici bölümlerinden biri credential access davranışlarıdır.

• MS-SQL credential brute forcing
• RDP credential abuse
• DCSync
• LSASS credential dumping
• Mimikatz kullanımı
• WDigest configuration changes
• privileged account abuse

Halcyon ayrıca bazı BlackNevas bağlantılı operasyonlarda Veeam backup credential'larının PostgreSQL veritabanından elde edilmesinin hedeflendiğini raporlamıştır.

Bu davranış ransomware dayanıklılığında Active Directory, privileged identity ve backup authentication alanlarının neden aynı tehdit modeli içinde değerlendirilmesi gerektiğini gösterir.

Uzaktan Erişim Araçları

BlackNevas bağlantılı intrusion activity içerisinde saldırganların yalnızca özel malware kullanmak yerine meşru remote-management araçlarından yararlandığı raporlanmıştır.

• MeshAgent
• AteraAgent
• Splashtop
• ScreenConnect
• AnyDesk
• LogMeIn
• TeamViewer

Bu araçların tamamı meşru IT operasyonlarında kullanılabilir. Dolayısıyla bir kurumda bu ürünlerden birinin bulunması compromise göstergesi değildir.

Detection açısından daha değerli yaklaşım, aracın kurum tarafından onaylanıp onaylanmadığı, hangi kullanıcı tarafından kurulduğu, ne zaman çalışmaya başladığı ve hangi dış altyapıyla iletişim kurduğunun incelenmesidir.

Yatay Hareket

BlackNevas ile ilişkilendirilen lateral-movement davranışları normal Windows ve yönetim altyapısının kötüye kullanılabileceğini göstermektedir.

• SMB
• Network shares
• PsExec
• PAExec
• Remote management tools
• RDP
• Bitvise SSH Client for ESXi access

ESXi erişimi özellikle önemlidir. Hypervisor yönetim katmanının ele geçirilmesi tek bir işlemle çok sayıda sanal sunucunun etkilenmesine olanak sağlayabilir.

Savunmadan Kaçınma

BlackNevas encryptor ve ilişkili operasyonlarda çeşitli defense-evasion davranışları raporlanmıştır.

• Güvenlik süreçlerinin sonlandırılması
• Payload self-deletion
• Configuration bilgilerinin şifreli/obfuscated tutulması
• Remote-management araçlarının kalıcı servis olarak kullanılması
• Bazı çalıştırma seçeneklerinde dosya adlarının değiştirilmeden şifrelenmesi

Bu davranışlar endpoint üzerinde yalnızca ransomware dosyasının hash'ini aramanın yeterli olmadığını gösterir. Security-control manipulation, service creation, remote-management yazılımları ve olağandışı administrative activity birlikte izlenmelidir.

Veri Sızdırma

BlackNevas double-extortion yaklaşımıyla ilişkilendirilmektedir. Bu modelde encryption öncesi veri toplanması ve kurumdan çıkarılması ek baskı unsuru yaratır.

Halcyon'ın yayımladığı intrusion bilgileri içerisinde Rclone kullanılarak MEGA ve PCloud gibi cloud-storage servislerine veri aktarımı raporlanmıştır.

Hedeflenen veri kaynakları arasında shared drive'lar ve kurumsal file server'lar yer alabilir.

Rclone, MEGA veya PCloud kullanımı tek başına BlackNevas göstergesi değildir. Bunlar meşru kullanım alanları olan araç ve servislerdir. Alarm üretiminde kullanıcı, hacim, kaynak sistem, zaman ve kurum politikası birlikte değerlendirilmelidir.

Backup Altyapısı

BlackNevas savunma modeli açısından backup yalnızca recovery kontrolü olarak görülmemelidir.

Kamuya açık araştırmalarda backup credential'larının hedeflenmesine ilişkin davranışlar raporlanmıştır. Bu nedenle backup yönetiminin production Active Directory ve günlük administrator hesaplarıyla aşırı bağımlı olması ransomware etkisini büyütebilir.

• ayrı backup admin hesapları,
• MFA,
• ayrı management plane,
• credential separation,
• immutable/offline recovery copy,
• deletion monitoring,
• backup console authentication monitoring,
• düzenli restore testing.

İlgili rehber: C12 — Ransomware Backup'ları Nasıl Hedefler? (aşağıdaki İlgili Rehberler bölümünde)

Şifreleme ve Etki

BlackNevas file encryption tasarımı Trigona ile teknik benzerlikler taşır.

AhnLab, SentinelOne ve diğer teknik araştırmalarda BlackNevas'ın simetrik AES şifrelemesini RSA public-key cryptography ile birlikte kullandığı gösterilmiştir. SentinelOne analizinde dosya şifreleme için AES-256 ve RSA-4112 yapısı raporlanmaktadır.

Ransomware farklı hız ve kapsam ihtiyaçları için partial ve full encryption seçeneklerini desteklemektedir.

Gözlemlenen dosya artifact'ları: .-encrypted, .ENCRYPTED, .-erased, trial-recovery. prefix, how_to_decrypt.txt

AhnLab'ın analiz ettiği örneklerde dosya için oluşturulan AES anahtarının RSA public key ile korunarak dosyanın sonuna eklendiği ve local sistemde pratik bir decryption anahtarı bırakılmadığı raporlanmıştır.

Bu profil, BlackNevas tarafından şifrelenmiş her dosyanın hiçbir koşulda decrypt edilemeyeceği garantisini vermez. Ransomware varyantları, implementation hataları veya gelecekte ortaya çıkabilecek anahtar materyali nedeniyle decryption durumu zaman içinde değişebilir. Güncel ücretsiz decryptor durumunu yalnızca doğrulanmış kaynaklardan kontrol edin: Ransomware Decryptor Kaynakları — /araclar

Şifrelemenin Ötesinde Etki

BlackNevas örneklerinde yalnızca encryption değil, hedef veriyi geri döndürülemez şekilde overwrite etmeye yönelik seçenekler de raporlanmıştır.

SentinelOne ve Halcyon analizleri bazı payload sürümlerinde erase/wipe işlevlerinin bulunduğunu göstermektedir. Bu seçeneklerin kullanılması hedeflenen verinin recovery olasılığını daha da azaltabilir.

Bu capability'nin varlığı her BlackNevas olayında kullanıldığı anlamına gelmez.

VMware ESXi Riski

BlackNevas'ın ayrı ESXi odaklı payload'lara sahip olması, virtualization altyapısı kullanan kurumlar açısından önemli bir risk unsurudur.

Public research, ESXi varyantlarının VMware datastore alanlarını hedefleyebildiğini ve sanal makine disk/snapshot dosyalarının etki alanında bulunduğunu göstermektedir.

• ESXi management erişimi
• SSH kullanım durumu
• privileged hypervisor hesapları
• MFA veya compensating access controls
• management network segmentation
• backup'ın hypervisor credential'larından bağımsızlığı
• olağandışı VM shutdown faaliyetleri
• datastore üzerindeki toplu file changes

BlackNevas ile İlişkilendirilen Zafiyet

Bu durum BlackNevas'ın bütün operasyonlarının bu zafiyet üzerinden başladığı anlamına gelmez.

Detection Açısından Öne Çıkan Davranışlar

• Olağandışı RDP / remote authentication
• MS-SQL brute-force activity
• DCSync
• LSASS access
• Yeni local administrator account
• Beklenmeyen RMM installation
• PsExec / PAExec
• Rclone ve yüksek hacimli outbound traffic
• Veeam/backup credential access
• ESXi administrative access
• Security process termination
• Toplu file rename/encryption

Tek bir IOC yerine davranış zincirlerinin korelasyonu, değişen BlackNevas payload'larına karşı daha dayanıklı detection sağlar.

Kamuya Açık Kaynaklarda Hâlâ Belirsiz Olan Noktalar

BlackNevas hakkında teknik bilgi seviyesi birçok yeni ransomware operasyonuna göre yüksek olsa da bazı alanlarda kamuya açık bilgiler sınırlı veya kaynaklar arasında farklıdır.

• Operasyonun iç organizasyon yapısı tam olarak doğrulanmış değildir.
• Leak-site/partner altyapısının zaman içindeki mimarisi konusunda kaynak farklılıkları vardır.
• Her intrusion için aynı initial-access yönteminin kullanıldığı söylenemez.
• Kamuya açık victim listing'leri bağımsız compromise doğrulaması olarak değerlendirilmemelidir.
• Bir ülkede gözlemlenen claim sayısı gerçek saldırı prevalansını göstermez.
• BlackNevas'ın her olayında bütün raporlanan araç ve TTP'lerin kullanıldığı varsayılamaz.

Türkiye Gözlemleriyle İlişkisi

BlackNevas'ın Türkiye ile ilişkili kamuya açık gözlemleri, "Türkiye Ransomware Nabzı" metodolojisi altında ayrı olarak değerlendirilir.

Bir Türkiye kuruluşunun BlackNevas veya herhangi başka bir ransomware grubunun leak kanalında listelenmesi, tek başına olayın doğrulandığı anlamına gelmez.

fidyeyazilim.com Türkiye'deki kurban isimlerini varsayılan olarak yayımlamaz. Türkiye Ransomware Nabzı: /turkiye

MITRE ATT&CK

Bu ATT&CK eşleştirmeleri kamuya açık BlackNevas teknik araştırmalarında raporlanan davranışları temsil eder. Her olayda bütün tekniklerin kullanıldığı anlamına gelmez.

Kurumlar Neyi Kontrol Etmeli?

Kaynaklar ve İleri Okuma

• SentinelOne — BlackNevas Ransomware: In-Depth Analysis, Detection, and Mitigation (30 Nisan 2025, güncelleme 1 Mayıs 2025) — özgün teknik ransomware araştırması
• AhnLab ASEC — Trigona Rebranding Suspicions and Global Threats, and BlackNevas Ransomware Analysis (10 Eylül 2025) — özgün malware analizi
• Broadcom / Symantec — BlackNevas Ransomware (11 Eylül 2025) — vendor koruma bülteni / teknik özet
• Halcyon — BlackNevas Threat Group Profile (profil güncellemesi 27 Temmuz 2026) — güncel tehdit grubu ve intrusion TTP araştırması

İlgili Rehberler