Ransomware Sonrası Dosyalar Geri Getirilebilir mi?

Bir ransomware olayından sonra ilk sorulardan biri şudur:

Şifrelenmiş dosyaları geri getirebilir miyiz?

Cevap:

Bazen evet. Ancak yöntem ransomware varyantına, backup durumuna, storage mimarisine ve saldırganın recovery sistemlerine ne kadar zarar verdiğine bağlıdır.

En önemli nokta:

Recovery yalnızca decryptor aramak değildir.

Bir kurum için kullanılabilir recovery kaynağı:

• backup,
• snapshot,
• replication,
• application copy,
• cloud version history,
• offline data,
• public decryptor

olabilir.

İlk Yapılmaması Gereken Şey Nedir?

Şifrelenmiş dosyaları hemen:

• silmeyin,
• rename etmeyin,
• üzerine yazmayın,
• rastgele araçlarla değiştirmeyin.

Mümkünse orijinal encrypted veriyi koruyun ve recovery denemelerini kopya üzerinde gerçekleştirin.

Çünkü bugün decrypt edilemeyen bir ransomware için gelecekte:

• key ele geçirilebilir,
• implementation flaw bulunabilir,
• decryptor yayımlanabilir.

1. Backup'tan Recovery

En güvenilir seçeneklerden biri sağlıklı backup'tır.

Ancak backup'ın yalnızca mevcut olması yeterli değildir.

Kontrol edin:

• saldırıdan önceki temiz restore point var mı?
• backup gerçekten okunabiliyor mu?
• ransomware repository'ye erişti mi?
• backup account compromise oldu mu?
• restore test edildi mi?
• gerekli application dependency'leri mevcut mu?

En Yeni Backup Her Zaman En İyisi midir?

Hayır.

Saldırganın ortamda ne kadar süredir bulunduğu bilinmiyorsa son backup:

• persistence,
• webshell,
• malicious configuration,
• compromised account

içerebilir.

Recovery point seçimi zaman çizelgesiyle birlikte düşünülmelidir.

2. Immutable veya Offline Backup

Ransomware dayanıklılığı açısından değerli recovery kaynaklarından biridir.

Ancak “immutable” kelimesi tek başına yeterli değildir.

Şunlar da önemlidir:

• yönetim account'u güvenli mi?
• retention değiştirilebilir mi?
• repository gerçekten ayrılmış mı?
• admin compromise olursa immutability bypass edilebilir mi?
• clean restore prosedürü var mı?

3. Snapshot'lar

Storage veya hypervisor snapshot'ları recovery sağlayabilir.

Ancak snapshot:

backup ile aynı şey değildir.

Snapshot aynı management plane içinde bulunduğunda saldırgan:

• hypervisor admin,
• storage admin

yetkisi elde etmişse snapshot'ları da silebilir.

Bu nedenle snapshot yararlıdır fakat tek recovery planı olmamalıdır.

4. Shadow Copies

Windows Volume Shadow Copy bazı olaylarda faydalı olabilir.

Fakat ransomware operatörleri local recovery seçeneklerini azaltmak amacıyla shadow copy'leri hedefleyebilir.

Shadow copy varsa değerlendirilebilir.

Ancak kurumsal ransomware recovery stratejisi bunun üzerine kurulamaz.

5. Public Decryptor

Bazı ransomware aileleri için ücretsiz decryptor yayımlanabilir.

Bunun nedenleri arasında:

• encryption implementation hatası,
• key'in ele geçirilmesi,
• law-enforcement operasyonu,
• saldırgan altyapısından anahtar elde edilmesi

bulunabilir.

Kontrol edilmesi gereken güvenilir kaynaklar:

• No More Ransom
• Emsisoft
• Kaspersky
• Avast

fidyeyazilim.com bu kaynaklara:

/araclar

üzerinden yönlendirme yapar.

Bir Aile İçin Decryptor Varsa Benim Dosyalarım Açılır mı?

Mutlaka değil.

Aynı ransomware ismi altında:

• farklı varyant,
• farklı campaign,
• farklı key-generation yöntemi,
• farklı encryption implementation

bulunabilir.

Örneğin geçmişte bir varyant için decryptor yayımlanmış olması güncel varyantın decrypt edilebildiği anlamına gelmez.

6. Application-Level Recovery

Bazen recovery kaynağı klasik backup değildir.

Örneğin:

• SQL transaction backup,
• application export,
• SaaS version history,
• SharePoint versioning,
• cloud object versioning,
• mail archive,
• source repository

kritik verinin bir bölümünü geri getirebilir.

Recovery sırasında yalnızca backup ekibine değil, application owner'lara da danışılmalıdır.

7. Diğer Sistemlerdeki Kopyalar

Kritik verinin kopyaları bazen:

• kullanıcı endpoint'inde,
• e-mail attachment'ında,
• başka file server'da,
• partner sisteminde,
• cloud synchronization alanında

bulunabilir.

Bu yöntem ideal değildir ama büyük olaylarda veri yeniden oluşturma stratejisinin parçası olabilir.

8. Forensic File Recovery İşe Yarar mı?

Bazen.

Ama beklenti gerçekçi tutulmalıdır.

Modern ransomware:

• dosyanın tamamını veya önemli bölümünü overwrite edebilir,
• SSD/TRIM nedeniyle eski blokları hızla kaybettirebilir,
• network storage üzerinde çalışabilir,
• virtual disk'i değiştirebilir.

Dolayısıyla:

undelete programı çalıştırıp dosyaları geri getirme

modern ransomware olaylarında güvenilir ana recovery stratejisi değildir.

Bazı dosya türleri veya belirli encryption yöntemlerinde kısmi recovery mümkün olabilir.

Bu vaka bazında değerlendirilmelidir.

Partial Encryption Ne Anlama Gelir?

Bazı ransomware aileleri hız kazanmak için büyük dosyaların yalnızca belirli bölümlerini şifreler.

Bu:

dosya tamamen kurtarılabilir

anlamına gelmez.

Örneğin bir:

• VMDK,
• database,
• ZIP,
• video

dosyasının kritik metadata veya structure alanı şifrelenmişse dosya kullanılamaz hale gelebilir.

Buna rağmen partial-encryption modeli bazı durumlarda specialist recovery çalışmaları için fırsat yaratabilir.

Recovery Sırasında En Büyük Risk Nedir?

Temizlenmemiş ortama restore yapmaktır.

Örneğin:

1. 01backup restore edilir,
2. 02eski compromised network'e bağlanır,
3. 03saldırgan erişimi devam eder,
4. 04sistem yeniden şifrelenir.

Bu nedenle recovery:

• containment,
• credential reset,
• clean administration,
• network segmentation

ile birlikte yapılmalıdır.

Dosyalar Açıldıysa Olay Bitti mi?

Hayır.

Recovery sonrasında hâlâ cevaplanması gereken sorular vardır:

• saldırgan nasıl girdi?
• hangi account'ları aldı?
• data exfiltration oldu mu?
• persistence kaldı mı?
• backup compromise oldu mu?
• başka sistemler etkilendi mi?

Kısa Cevap

Ransomware ile şifrelenen dosyalar geri getirilebilir mi?

Bazı durumlarda evet. En güvenilir recovery kaynakları doğrulanmış backup ve izole recovery kopyalarıdır. Bazı ransomware varyantları için public decryptor bulunabilir; snapshot, application version history veya sınırlı forensic recovery de yardımcı olabilir. Ancak her ransomware olayında recovery mümkün değildir ve şifrelenmiş orijinal verinin korunması önemlidir.