Fidye Yazılımı Nedir? Kurumlar İçin Teknik Rehber

Fidye yazılımı veya yaygın kullanılan İngilizce adıyla ransomware, bir kurumun sistemlerini, verilerini veya iş süreçlerini kullanılamaz hale getirerek ya da hassas verileri ele geçirip yayımlamakla tehdit ederek para talep eden saldırıların genel adıdır.

Ancak modern ransomware saldırılarını yalnızca "dosyaları şifreleyen zararlı yazılım" olarak düşünmek önemli bir hatadır.

Kurumsal ortamlardaki birçok ransomware operasyonu, son aşamada çalışan bir zararlı yazılımdan önce günler hatta bazı vakalarda daha uzun sürebilen bir saldırgan faaliyetinin sonucudur. Saldırgan sisteme erişir, ortamı keşfeder, daha yüksek yetkiler elde etmeye çalışır, kritik sistemleri belirler, ağ içerisinde hareket eder, güvenlik kontrollerini aşmaya çalışır ve çoğu zaman verileri dışarı çıkardıktan sonra sistemleri şifreler.

Bu nedenle ransomware esasen bir zararlı yazılım probleminden çok kurumsal dayanıklılık problemidir.

Modern Ransomware Saldırısı Nasıl Gerçekleşir?

Her olay farklıdır ancak tipik bir insan kontrollü ransomware operasyonunda aşağıdaki aşamalardan birkaçı veya tamamı görülebilir:

1. 01İlk erişim
2. 02Kalıcılık sağlama
3. 03Kimlik bilgilerinin ele geçirilmesi
4. 04Yetki yükseltme
5. 05Ağ ve Active Directory keşfi
6. 06Yatay hareket
7. 07Kritik sistemlerin belirlenmesi
8. 08Güvenlik ve kurtarma mekanizmalarının zayıflatılması
9. 09Veri sızdırma
10. 10Şifreleme veya başka bir yıkıcı etki
11. 11Fidye ve veri yayımlama tehdidi

Dolayısıyla dosyaların şifrelenmesi çoğu zaman saldırının başlangıcı değil, görünür hale geldiği son aşamadır.

İlk Erişim Nasıl Sağlanır?

Ransomware operatörlerinin tek bir giriş yöntemi yoktur.

Yaygın erişim yolları arasında:

• ele geçirilmiş kullanıcı hesapları,
• internetten erişilebilir VPN ve uzaktan erişim sistemleri,
• açık veya yanlış yapılandırılmış servisler,
• istismar edilen güvenlik açıkları,
• oltalama saldırıları,
• daha önce sisteme yerleşmiş zararlı yazılımlar,
• üçüncü taraf veya hizmet sağlayıcı erişimleri

bulunabilir.

Özellikle internetten erişilebilen sistemler yalnızca "port açık mı?" şeklinde değerlendirilmemelidir. Ürünün güncelliği, MFA kullanımı, kimlik doğrulama politikaları, loglama, yönetim arayüzü erişimi ve bilinen istismar faaliyetleri birlikte değerlendirilmelidir.

Ele Geçirilmiş Kimlik Bilgileri Neden Bu Kadar Önemlidir?

Bir saldırganın her zaman sisteme zararlı yazılım yüklemesi gerekmez.

Meşru bir kullanıcı hesabının parolasını veya aktif oturumunu ele geçiren saldırgan, normal kullanıcı davranışına benzeyen faaliyetler gerçekleştirebilir.

Örneğin saldırgan:

• VPN üzerinden bağlanabilir,
• RDP kullanabilir,
• dosya paylaşımlarına erişebilir,
• yönetim araçlarını kullanabilir,
• mevcut yönetici hesaplarından yararlanabilir.

Bu faaliyetlerin önemli bir bölümü kurum içerisinde zaten kullanılan meşru araçlarla gerçekleştirilebildiğinden tespit edilmesi klasik zararlı yazılım davranışından daha zor olabilir.

Active Directory Neden Kritik?

Windows tabanlı kurumsal ortamlarda Active Directory, ransomware operatörü açısından son derece değerlidir.

Saldırgan açısından AD şu soruların cevaplarını sağlayabilir:

• Hangi kullanıcılar var?
• Kimler yönetici?
• Hangi makineler kritik?
• Hangi hesapların yüksek yetkileri var?
• Hangi sistemlere erişilebilir?
• Hangi servis hesapları kullanılabilir?
• Ortamın tamamına erişmek için hangi yol izlenebilir?

Yüksek yetkili bir domain hesabının ele geçirilmesi saldırganın hareket alanını dramatik şekilde genişletebilir.

Bu nedenle ransomware hazırlığı değerlendirilirken yalnızca endpoint güvenliği değil, kimlik altyapısı ve ayrıcalıklı erişim modeli de incelenmelidir.

Yatay Hareket Nedir?

İlk ele geçirilen cihaz çoğu zaman saldırganın gerçek hedefi değildir.

Saldırgan bir istemci sistemden başlayarak sunuculara, yönetim sistemlerine, sanallaştırma altyapısına, dosya sunucularına veya backup sistemlerine ulaşmaya çalışabilir.

Bunun için:

• RDP,
• SMB,
• PowerShell,
• WMI,
• uzaktan yönetim araçları,
• mevcut yönetici araçları,
• ele geçirilmiş hesaplar

gibi yöntemlerden yararlanılabilir.

Bu nedenle ağ segmentasyonu yalnızca VLAN oluşturmak değildir. Segmentler arasında hangi sistemlerin hangi protokollerle konuşabileceği de kontrol edilmelidir.

Ransomware Operatörleri Neden Backup Sistemlerini Hedefler?

Çünkü güvenilir bir backup, saldırganın en önemli baskı araçlarından birini ortadan kaldırabilir.

Bu nedenle saldırganlar:

• shadow copy'leri,
• snapshot'ları,
• backup kataloglarını,
• online backup depolarını,
• backup yönetim sistemlerini,
• hypervisor snapshot'larını,
• bulut yedeklerini

hedef alabilir.

MITRE ATT&CK bu davranışları Inhibit System Recovery — T1490 altında takip eder.

Bu yüzden "backup alıyoruz" sorusu tek başına yeterli değildir.

Asıl sorular şunlardır:

• Saldırgan backup'a erişebilir mi?
• Backup yöneticisi ile domain yöneticisi aynı güvenlik alanında mı?
• Silme işlemleri korunuyor mu?
• Değiştirilemez veya izole bir kopya var mı?
• Restore gerçekten test edildi mi?
• Geri dönülen verinin temiz ve güvenilir olduğu doğrulanabiliyor mu?

Veri Sızdırma ve Double Extortion

Modern ransomware saldırılarında saldırganların yalnızca şifreleme yaptığı varsayılmamalıdır.

Birçok operasyon önce veri çalmaya çalışır.

Daha sonra saldırgan:

"Ödeme yapılmazsa verilerinizi yayımlarız."

şeklinde ikinci bir baskı mekanizması oluşturabilir.

Böylece kurum backup üzerinden sistemlerini geri yükleyebilse bile:

• kişisel veri,
• ticari sır,
• müşteri bilgisi,
• sözleşme,
• finansal veri,
• fikri mülkiyet

gibi bilgilerin sızdırılması ayrı bir risk yaratır.

Bu nedenle başarılı restore, olayın bütün etkilerinin sona erdiği anlamına gelmez.

EDR Ransomware'i Durdurmaz mı?

EDR önemli bir kontrol katmanıdır ancak tek başına garanti değildir.

Başarısızlığın nedeni ürünün kendisi olmayabilir.

Örneğin:

• sensör kritik sistemde kurulu olmayabilir,
• politika yalnızca alarm üretiyor olabilir,
• istisnalar fazla geniş olabilir,
• saldırgan meşru araçlar kullanıyor olabilir,
• saldırgan geçerli hesapla hareket ediyor olabilir,
• bazı sunucular yönetilmiyor olabilir,
• uyarılar zamanında ele alınmamış olabilir.

Bu nedenle değerlendirilmesi gereken şey yalnızca "EDR var mı?" değil, EDR gerçekten hangi saldırgan davranışlarını görebiliyor ve engelleyebiliyor? sorusudur.

MFA Varsa Güvende miyiz?

Hayır.

MFA güçlü ve gerekli bir güvenlik kontrolüdür. Özellikle phishing-resistant MFA kullanımı ele geçirilmiş parola üzerinden gerçekleştirilen saldırı yollarını önemli ölçüde azaltabilir.

Ancak MFA:

• zaten ele geçirilmiş bir endpoint'i,
• çalınmış aktif oturumları,
• MFA uygulanmayan servis hesaplarını,
• iç ağdaki aşırı yetkileri,
• yanlış ağ segmentasyonunu,
• ele geçirilmiş yönetici sistemlerini

tek başına çözmez.

Bu yüzden MFA bir ransomware stratejisinin önemli bir parçasıdır ancak stratejinin tamamı değildir.

Ransomware'e Karşı Savunma Nasıl Kurulmalı?

Tek bir ürün yerine savunma katmanları düşünülmelidir.

Kimlik Güvenliği

• ayrıcalıklı hesapların sınırlandırılması,
• MFA,
• phishing-resistant MFA,
• servis hesaplarının yönetimi,
• yerel admin kontrolü,
• ayrı yönetim hesapları.

Endpoint Güvenliği

• EDR kapsamı,
• sensör sağlığı,
• güncel politikalar,
• uygulama kontrolü,
• merkezi görünürlük.

Ağ Güvenliği

• segmentasyon,
• gereksiz yönetim protokollerinin sınırlandırılması,
• internetten erişilebilen servislerin azaltılması,
• east-west trafik kontrolü.

Backup

• izole veya offline kopyalar,
• immutability,
• ayrı yönetim kimlikleri,
• silme koruması,
• düzenli restore testleri.

Görünürlük

• AD logları,
• VPN,
• firewall,
• EDR,
• sunucular,
• backup,
• hypervisor,
• kritik uygulamalar.

Olay Müdahale

• tanımlı roller,
• iletişim planı,
• izolasyon prosedürü,
• kanıt koruma,
• kriz yönetimi,
• recovery planı.

En Önemli Soru

Ransomware hazırlığını değerlendirirken:

"Antivirüsümüz var mı?"

yerine şu soru sorulmalıdır:

Bir saldırgan ilk erişimi elde ederse, ortam içerisinde ne kadar ilerleyebilir, bunu ne kadar erken görebiliriz ve kritik servisleri güvenilir biçimde ne kadar hızlı geri döndürebiliriz?

Ransomware dayanıklılığı esas olarak bu sorunun cevabıdır.