Fidye Yazılımları ve Şifreleme Zararlıları

Ransomware, verilere veya sistemlere erişimi engelleyen ve erişimi geri vermek karşılığında genellikle kripto para biçiminde ödeme talep eden kötü amaçlı yazılımdır. Belirleyici Characteristic şantajdır: kurbanın kendi verileri, kurbana karşı bir koz haline gelir. Modern Ransomware operasyonları, yılda milyarlarca dolar gelir elde eden Sophisticated suç işletmeleridir. 2021'deki Colonial Pipeline saldırısı, US Doğu Kıyısı genelinde yakıt tedarikini aksattı; 2020'deki Universal Health Services saldırısı 400 hastaneyi etkiledi. Ransomware, teknik Sophisticated'i önemli ticari Impact ile birleştirdiği için kuruluşların bugün karşı karşıya olduğu en ciddi Threat'ler arasındadır.

Ransomware saldırıları öngörülebilir bir sıra izler. Initial access: kimlik avı email'i, RDP brute-force saldırısı veya kamuya açık bir güvenlik açığından yararlanma. Persistence: backdoor yükleme ve güvenlik araçlarını Disable etme. Lateral movement: bulaşmanın kapsamını en üst düzeye çıkarmak ve yedekleme sistemlerini ele geçirmek için ağ boyunca yayılma. Data exfiltration: şifrelemeden önce hassas verileri çalma (çifte şantaj). Encryption: erişilebilen tüm sistemlerdeki dosyaları aynı anda şifreleme. Fidye talebi: ödeme talimatlarını içeren ve ödeme yapılmazsa çalınan verilerin yayımlanacağı tehdidini belirten fidye notu bırakma. Her aşamayı anlamak, her adımda savunma fırsatlarını ortaya çıkarır.

CryptoLocker (2013), RSA-2048 açık anahtar şifrelemesini Bitcoin ödemesiyle birleştirerek modern Ransomware'in öncülüğünü yaptı; bu, saldırganın elinde bulunan özel anahtar olmadan şifre çözmeyi imkânsız hale getirdi. Kimlik avı email ekleri aracılığıyla dağıtıldı ve eşlenmiş ağ sürücülerine yayıldı. CryptoLocker 2014'te etkisiz hale getirildi ancak bir dizi ardıla ilham verdi: WannaCry (2017) bir worm olarak yayıldı, NotPetya (2017) Ransomware kılığına girdi ancak Ukrayna'yı hedefleyen yıkıcı bir silici yazılımdı, Ryuk (2018-2020) manuel olarak operatörlerce yürütülen saldırılarla kuruluşları hedef aldı ve REvil (2020-2021) RaaS çifte şantaj modelinin öncülüğünü yaptı.

Hizmet Olarak Ransomware (RaaS), Ransomware geliştiricilerinin araçlarını ve altyapılarını gerçek saldırıları gerçekleştiren iş ortaklarına kiraladığı bir suç iş modelidir. İş ortağı fidyenin %70-80'ini alır; geliştirici geri kalanını alır. Bu model, Ransomware saldırıları için gereken teknik eşiği önemli ölçüde düşürerek daha az becerili suçluların Sophisticated Ransomware Deploy etmesini sağladı. Dikkat çeken RaaS operasyonları arasında REvil, LockBit, BlackCat/ALPHV ve Conti bulunur. Kolluk kuvvetlerinin operatörleri etkisiz hale getirmesi çoğu zaman parçalanmış grupların yeni bir adla ortaya çıkıp operasyonlarını sürdürmesine yol açar; bu da RaaS'i operasyonları durdurma girişimlerine karşı dayanıklı hale getirir.

Tek şantaj, files öğelerini şifreler ve şifre çözme anahtarı karşılığında ödeme talep eder. Çifte şantaj (2019'da Maze tarafından öncülüğü yapılan yöntem), şifrelemeden önce verileri dışarı aktarmayı ve fidye ödenmezse bunları bir sızıntı sitesinde yayımlamakla tehdit etmeyi de içerir — bu yöntem, iyi backup sahibi kurbanlara karşı bile etkilidir. Üçlü şantaj ise üçüncü bir baskı unsuru ekler: müzakere sırasında çalışmayı engellemek için kurbanın altyapısına eş zamanlı DDoS saldırısı düzenlemek. Bazı gruplar baskıyı artırmak için kurbanın müşterileriyle, iş ortaklarıyla ve düzenleyici kurumlarla da iletişime geçer. Bu çoklu baskı yaklaşımları, yalnızca backup kullanarak kurtarmayı fidye yazılımına karşı tek başına yeterli bir yanıt stratejisi olmaktan çıkarır.

Sofistike fidye yazılımı operatörleri, iyi backup'ların önlerindeki başlıca engel olduğunu bildikleri için şifrelemeyi başlatmadan önce özellikle backup altyapısını hedef alır. Taktikler arasında Windows Volume Shadow Copies'i silmek (vssadmin delete shadows), backup yazılımı veritabanlarını silmek, backup aracılarını bozmak ve ele geçirilmiş kimlik bilgileri üzerinden ağ backup sunucularına erişmek bulunur. Bu nedenle değiştirilemez backup'lar — belirlenmiş bir saklama süresi boyunca kimliği doğrulanmış bir yönetici tarafından bile değiştirilemeyen veya silinemeyen backup'lar — hayati önem taşır. Değiştirilemez nesne depolama (AWS S3 Object Lock, Azure Immutable Blob) ve çevrimdışı saklanan Tape backup'ları son derece etkilidir.

3-2-1 backup kuralı, fidye yazılımına dayanıklılık için temel backup stratejisidir: verilerin 3 kopyasını (üretim + 2 backup), 2 farklı ortam türünde (ör. disk ve Tape) ve 1 kopyayı tesis dışında (birincil sistemlerden coğrafi olarak ayrı) tutun. Fidye yazılımına dayanıklı bir sürüm dördüncü bir unsur ekler: en az bir kopya çevrimdışı veya değiştirilemez olmalıdır. Üretim ağı tarafından erişilebilen backup'lar şifrelemeye açıktır. Tesis dışı/çevrimdışı olma gerekliliği, birincil environment'ın tamamen ele geçirilmesi durumunda bile kurtarma için erişilebilir temiz bir kopya bulunmasını sağlar.

Fidye ödeme kararı, karmaşık değerlendirmeler gerektirir. Ödeme yapmak şifre çözmeyi garanti etmez (bazı fidye yazılımı grupları ödeme alındıktan sonra ortadan kaybolur), suç örgütlerini veya yaptırım listesinde bulunan grupları finanse edebilir (US'de OFAC, yaptırım uygulanan kuruluşlara ödeme yapılmasını yasaklar) ve kurbanın ödeme yapacağını göstererek onu tekrar hedef haline getirebilir. Bununla birlikte, kullanılabilir backup'ı olmayan kuruluşlar uzun süreli kesintiler nedeniyle işletmenin varlığını tehdit eden risklerle karşılaşabilir. FBI genel olarak ödeme yapılmamasını önerir, ancak işletmelerin karşı karşıya kaldığı zor durumu kabul eder. Herhangi bir ödeme değerlendirmesinden önce tüm alternatifleri incelemek için hukuk danışmanına, kolluk kuvvetlerine (FBI kurbanlara yönelik kaynaklar sunar) ve siber güvenlik uzmanlarına danışın.

Backup'ların ötesinde, fidye yazılımına özgü teknik kontroller şunları içerir: toplu file şifreleme işlemlerini izleyen ve etkilenen uç noktaları otomatik olarak yalıtabilen fidye yazılımı algılamalı EDR; dokunulduklarında anında uyarı veren file paylaşımlarına yerleştirilmiş honeypot file'ları (fidye yazılımı bunları gerçek file'larla birlikte şifreler); yetkisiz uygulamaların korunan klasörlere yazmasını engelleyen controlled folder access (Windows Defender özelliği); ve bilinmeyen Processes'lerin çalıştırılmasını engelleyerek fidye yazılımının çalışabilme kapasitesini önemli ölçüde sınırlayan uygulama allowlist'i. Makroları devre dışı bırakın, RDP'nin internete açık olmasını engelleyin ve tüm uzaktan erişimlerde MFA kullanımını zorunlu kılın.

Fidye yazılımı saldırısı gerçekleştiğinde ödeme yapmadan kurtarma seçenekleri şunları içerir: doğrulanmış temiz backup'ları geri yüklemek (en güvenilir yol), NoMoreRansom.org üzerinde bir şifre çözücünün mevcut olup olmadığını kontrol etmek (kolluk kuvvetleri ve güvenlik tedarikçileri, bazı fidye yazılımı aileleri için altyapının ele geçirilmesinden sonra şifre çözücüler yayımlar), fidye yazılımı silmediyse Volume Shadow Copies'ten file'ları kurtarmak ve bazı şifreleme uygulamalarında araştırmacıların, şifre çözmeyi mümkün kılan rastgele sayı üretimi zayıflıkları tespit etmiş olmasından yararlanmak. Kurtarmayı denemeden önce etkilenen sistemlerin her zaman anlık görüntüsünü veya imajını alın — şimdi korunan veriler, hemen kurtarılamasa bile daha sonra kurtarılabilir.

Kuruluşların saldırı gerçekleşmeden önce fidye yazılımına özgü bir olay müdahale planı olmalıdır. Plan şunları içermelidir: eskalasyon iletişim bilgileri (hukuk, üst düzey yöneticiler, siber sigorta sağlayıcısı, kolluk kuvvetleri irtibatı), sınırlama ile çalışmaya devam etme arasındaki karar ağaçları, uygun olması durumunda fidye pazarlığı firmalarıyla önceden müzakere edilmiş ilişkiler, tahmini RTO'larla birlikte backup kurtarma prosedürleri, müşteriler, iş ortakları ve düzenleyici kurumlar için iletişim şablonları ve fidye ödeme hukukuna ilişkin hukuki rehberlik. Plan, masa başı tatbikatları yoluyla test edilmelidir. Personel planı bilmeli; planı bir saldırı sırasında keşfetmek, zaten kaotik olan bir duruma kritik dakikalar ekler.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: modern fidye yazılımı, ilk erişimden yanal harekete ve şifrelemeye kadar uzanan bir sonlandırma zincirini izler ve her aşamada savunma fırsatları sunar; 3-2-1 kuralını izleyen değiştirilemez ve çevrimdışı backup'lar, fidye yazılımı özellikle çevrimiçi backup sistemlerini hedef aldığı için en güvenilir kurtarma mekanizmasıdır; ayrıca çifte şantaj, şifrelemeden önce veri hırsızlığını da ekler ve bu da backup'ların artık kuruluşları fidye yazılımının tüm etkilerine karşı tek başına tam olarak koruyamadığı anlamına gelir. Sırada rootkit'leri, casus yazılımları ve tuş kaydedicileri inceleyeceğiz.