Ransomware (Fidyazılımı) Nedir? İşletmeler Sistemlerini Ve Verilerini Nasıl Korur?

Ransomware (Fidyazılımı) Nasıl Çalışır? Bulaşma Vektörleri ve Kriz Yönetim Rehberi

Ransomware, bulaştığı sistemdeki dosya sistemlerini, veri tabanlarını veya sunucu imajlarını karmaşık kriptografik algoritmalarla şifreleyen ve erişim anahtarı karşılığında fidye talep eden en zararlı yazılım türüdür. Günümüz siber korsanları, sadece verileri kilitli tutmakla kalmayıp Çifte Şantaj (Double Extortion) ve Üçlü Şantaj (Triple Extortion) yöntemleriyle verileri sızdırma veya doğrudan müşterileri tehdit etme yoluna gitmektedir.

Ransomware İçeride Nasıl İlerler? (Saldırı Aşamaları)

Bir fidyazılımı saldırısı sisteminize ulaştığı an doğrudan verileri kilitlemez. Süreç genellikle şu aşamalardan oluşur:

• Erişim ve İnceleme (Initial Access): Saldırganlar ağa sızdıktan sonra haftalarca fark edilmeden sistemde kalabilir. Veri tabanlarını, aktif dizini (Active Directory) ve en önemlisi yedekleme sunucularını haritalandırırlar.
• Yedeklerin Ve Güvenlik Yazılımlarının Devre Dışı Bırakılması: Bulaşma başlamadan önce sistemdeki gölge kopyalar (Volume Shadow Copies) silinir, antivirüs servisleri durdurulur ve ağdaki yedekleme ünitelerinin bağlantısı kesilmeye çalışılır.
• Veri Sızdırma (Exfiltration): Şifreleme anahtarı çalıştırılmadan önce hassas veriler korsanların komuta kontrol (C2) sunucularına aktarılır.
• Toplu Şifreleme (Encryption): RSA-2048 veya AES-256 gibi kırılması imkansız algoritmalarla tüm uzantılar değiştirilir ve her klasöre fidye notu (.txt / .html) bırakılır.

En Yaygın Bulaşma Vektörleri

Fidyazılımının sisteminize girmesine neden olan başlıca teknik açıklar şunlardır:

• Açık RDP ve Zayıf Credential Yapısı: İnternete doğrudan açık 3389 (RDP) portları, kaba kuvvet (brute-force) saldırılarıyla kolayca ele geçirilir.
• Sıfırıncı Gün (Zero-Day) ve Unpatched Zafiyetler: Firewall, VPN veya sunucu işletim sistemlerinde kapatılmamış güvenlik açıkları.
• Makro İçeren Malicious Dosyalar: E-posta ekinde gelen ve çalıştırıldığı an arka planda PowerShell komutları koşturan yükleyiciler (Loaders).

Fidyazılımı Saldırısı Anında Yapılması Gerekenler (Acil Durum Planı)

Sisteminizin kilitlendiğini fark ettiğiniz an yapmanız gereken ilk adımlar şunlardır:

1. Ağ İzolasyonu: Bulaşmanın gerçekleştiği cihazın ethernet kablosunu çekin, Wi-Fi kartını devre dışı bırakın. Ana switch veya VLAN bağlantılarını derhal kesin.
2. Güç Kapatmayın (RAM İncelemesi): Cihazları fişten çekmek yerine açık tutarak ağdan izole edin. Adli bilişim uzmanları RAM üzerinden şifreleme anahtarlarını veya saldırgan izlerini tespit edebilir.
3. C2 İletişimini Engelleyin: Firewall üzerinden bilinen dış IP çıkışlarını ve DNS sorgularını bloklayın.
4. Fidye Notlarını ve Örnek Şifreli Dosyaları Saklayın: "ID Ransomware" gibi platformlar üzerinden hangi Ransomware türevinin (LockBit, BlackCat, Phobos vb.) saldırı yaptığını teşhis etmek için bu veriler gereklidir.

Fidyazılımından Korunmada İleri Seviye Teknik Önlemler

• Air-Gapped (Ağdan İzole) Yedekleme: Yedeğinizi ağa sürekli bağlı tutmak yerine, yazma işlemi bittikten sonra bağlantısı kesilen çeçrimdışı (Immutable/Air-Gapped) depolama alanlarında saklayın.
• EDR ve XDR Kullanımı: Geleneksel antivirüsler yerine, süreçlerin davranışlarını izleyen (örneğin aynı anda 100 dosyanın uzantısını değiştirmeye çalışan bir süreci anında öldüren) EDR yazılımları tercih edin.
• Zero-Trust ve Ağ Segmentasyonu: Şirket içi ağları birbirinden ayırın. Muhasebe departmanının sistemindeki bir zararlının, üretim veya web sunucularına erişmesini engelleyin.