Cyber Security Academy · Ders

Fidye Yazılımı Nasıl Çalışır

Şifreleme, şantaj ve çifte şantaj.

Fidye Yazılımı Nasıl Çalışır, CoddyKit'te ücretsiz bir Cyber Security Academy dersidir. Bu, 4 dersinin 1. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Cyber Security Academy öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Cyber Security Academy kursu toplamda 4 dersten oluşur.

Fidye Yazılımı Nedir

Fidye yazılımı, genellikle dosyaları şifreleyerek verilere veya sistemlere erişimi engelleyen ve ardından geri yükleme karşılığında ödeme talep eden kötü amaçlı yazılımdır. Modern kampanyalar; bağlı ortakları, destek masaları ve müzakere kılavuzları bulunan organize suç işletmeleri tarafından yürütülür.

Mekanizmasını onu geliştirmek için değil, savunma amacıyla anlamak; saldırı zincirini birden çok noktada kırmanızı sağlar.

Saldırı Yaşam Döngüsü

Fidye yazılımı sisteme ulaştığı anda nadiren şifrelemeye başlar. Müdahale edebileceğiniz bir zinciri izler:

İlk erişim — oltalama, dışa açık RDP, güvenlik açığı bulunan VPN
Tutunma ve kalıcılık — arka kapı, zamanlanmış görev
Ayrıcalık yükseltme ve yanal hareket — daha fazla ana bilgisayara yayılma
Keşif ve dışarı sızdırma — verileri bulma ve çalma
Etki — toplu şifreleme ve fidye notu

Erken aşamadaki gizli kalma süresinde tespit yapmak, şifrelemeden sonraki kurtarma işleminden çok daha düşük maliyetlidir.

Yaygın İlk Erişim Yolları

Çoğu sızma, öngörülebilir az sayıdaki giriş noktasından biriyle başlar:

Kötü amaçlı ekler veya bağlantılar içeren oltalama saldırıları
Zayıf veya yeniden kullanılan parolalara sahip RDP gibi dışa açık uzaktan hizmetler
Yama uygulanmamış internete açık yazılımlar (VPN, e-posta, web uygulamaları)
Erişim komisyoncularından satın alınan geçerli kimlik bilgileri

Bu açıkları kapatmak, en etkili önleme yöntemidir ve bir sonraki derste ele alınacaktır.

Şifreleme nasıl kullanılır

Modern fidye yazılımları hibrit kriptografi kullanır. Verileri hızla şifrelemek için dosya veya ana bilgisayar başına hızlı bir simetrik anahtar (AES) üretir, ardından bu simetrik anahtarı saldırganın açık anahtarıyla (RSA veya eliptik eğri) şifreler.

Eşleşen özel anahtarı yalnızca saldırgan elinde bulundurduğu için mağdurlar, bu anahtar olmadan simetrik anahtarları kurtaramaz. Kötü geliştirilmiş varyantlar bazen anahtarları yeniden kullanır veya sızdırır; bu nedenle zaman zaman şifre çözücüler bulunabilir, ancak buna asla güvenmemelisiniz.

Önce yedekleri hedef almak

Sofistike saldırı ekipleri, yedeklerin kaçış yolunuz olduğunu bilir; bu nedenle şifrelemeden önce onları arar.

Yedek depolarını silmek veya şifrelemek
Windows Birim Gölge Kopyalarını silmek
Yedekleme yöneticisi kimlik bilgilerini hedef almak

Değiştirilemez, çevrimdışı veya ağdan yalıtılmış yedekler (sonraki derste ele alınacak) bu nedenle belirleyicidir: etki alanı yöneticisi ayrıcalıklarıyla bile bunlara erişilemez ve bunlar yok edilemez.

# attackers commonly run commands like this to remove local recovery points
# vssadmin delete shadows /all /quiet
# wbadmin delete catalog -quiet
# Detecting these commands is a strong early indicator

Tekli ve çifte şantaj

Tek başına şifreleme iyi yedeklere karşı işe yaramaz; bu nedenle saldırganlar baskı unsurlarını artırdı.

Tekli şantaj — şifrelemek ve şifre çözme anahtarı karşılığında ödeme istemek
Çifte şantaj — önce verileri dışarı aktarmak, ardından yayımlamakla tehdit etmek

Çifte şantaj, yedekten geri yüklemenin artık yeterli olmadığı anlamına gelir: veri ihlali zaten gerçekleşmiştir. Her fidye yazılımı vakasını, yasal ve bildirim yükümlülükleri bulunan olası bir veri ihlali olarak ele alın.

Üçlü şantaj ve baskı taktikleri

Şifreleme ve veri sızıntılarının ötesinde, saldırı ekipleri hızlı ödeme almak için baskıyı artırır:

Üçlü şantaj — mağdurun müşterilerini veya iş ortaklarını doğrudan tehdit etmek
Görüşmeler sırasında mağdura karşı DDoS saldırısı düzenlemek
İtibarın zarar görmesini artırmak için medya kuruluşlarıyla veya düzenleyici kurumlarla iletişime geçmek

Bu taktikler yalnızca sistemleri değil, işletmeyi hedef alır; bu nedenle müdahaleye yalnızca IT değil, hukuk, iletişim ve liderlik ekipleri de katılmalıdır.

Hizmet olarak fidye yazılımı

Ekosistem endüstrileşmiştir. RaaS operatörleri kötü amaçlı yazılımı ve sızıntı sitesini geliştirip sürdürür, ardından bunları sızma saldırılarını gerçekleştiren ve kârı paylaşan iş ortaklarına kiralar.

Savunma ekipleri açısından sonuçları:

Birçok farklı saldırgan aynı araç setini kullanır; bu nedenle ortak göstergeler yardımcı olur
İş ortaklarının beceri düzeyleri farklıdır; bazıları gürültülü davranır ve kolayca tespit edilebilir
Tek bir operatörü etkisiz hâle getirmek tehdidi ortadan kaldırmaz, yalnızca başka bir yere kaydırır

Ödeme yapmak neden risklidir

Ödeme yapmak kesin bir çözüm değildir ve kimi zaman yasal olarak kısıtlanmıştır.

Şifre çözücünün çalışacağına veya hiç sağlanacağına dair garanti yoktur
Şifre çözücüler çoğu zaman yavaştır veya dosyaları bozar
Çalınan veriler yine de sızdırılabilir veya yeniden satılabilir
Ödeme yapmak gelecekteki saldırıları finanse eder ve yaptırım mevzuatını ihlal edebilir
Sizi ödeme yapan biri olarak işaretler ve tekrar hedef alınmanıza yol açar

Savunulabilir yaklaşım, hazırlık sayesinde ödeme yapmadan kurtarma gerçekleştirebilmektir.

Sistemin yerleşik araçlarını kullanma

Tespit edilmekten kaçınmak için saldırı ekipleri, kolayca fark edilen kötü amaçlı yazılımlar bırakmak yerine meşru ve yerleşik araçları kötüye kullanır. Buna sistemin yerleşik araçlarını kullanma denir.

Uzaktan çalıştırma ve keşif için yerleşik yönetim araçları
Kontrol amacıyla yeniden kullanılan meşru uzaktan erişim yazılımları
Savunmaları devre dışı bırakmak ve yayılmak için yerleşik betik araçları

İkili dosyalar güvenilir olduğundan tespit, imzalardan davranışa kayar: beklenmeyen hesapların yönetim araçlarını olağandışı biçimde kullanması.

Zinciri kırmak

Her aşama savunma için bir fırsat sunar:

İlk erişim — MFA, yama uygulama, kimlik avına dayanıklılık
Yanal hareket — ağ bölümlendirmesi, en az ayrıcalık
Verileri dışarı aktarma — dışa giden trafiği izleme, DLP
Etki — şifrelemenin kalıcı olmasını önleyecek değiştirilemez yedekler

Her aşamada başarılı olmanız gerekmez; herhangi bir aşamayı kesintiye uğratmak operasyonu durdurabilir. Sonraki derslerde bu katmanlar oluşturulacaktır.

Hızlı kontrol: Çifte şantaj

Kurtarma kararı için yaşam döngüsünü uygulayın.

Özet: Fidye yazılımları nasıl çalışır

Artık bu işleyişi onlara karşı savunma oluşturabilecek kadar iyi anlıyorsunuz.

Fidye yazılımları bir yaşam döngüsünü izler: erişim, kalıcılık, yanal hareket, verileri dışarı aktarma ve ardından etki
Hibrit şifreleme kullanır ve önce yedekleri kasıtlı olarak yok eder
Çifte ve üçlü şantaj, veri sızıntılarını ve dış baskıyı ekleyerek olayı aynı zamanda bir veri ihlaline dönüştürür
RaaS saldırıları endüstrileştirir; sistemin yerleşik araçlarını kullanma imzalardan kaçınır
Ödeme yapmak risklidir; amaç ödeme yapmadan kurtarma gerçekleştirmektir

Sırada: saldırının hiç kök salmasını önlemek var.

Sıkça Sorulan Sorular

“Fidye Yazılımı Nasıl Çalışır” dersi ücretsiz mi?

Evet — “Fidye Yazılımı Nasıl Çalışır” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Cyber Security Academy kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Cyber Security Academy kursu toplamda 4 dersten oluşur.

“Fidye Yazılımı Nasıl Çalışır” dersinde ne öğreneceğim?

Şifreleme, şantaj ve çifte şantaj. Cyber Security Academy ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.

Cyber Security Academy öğrenmeye başlamak için deneyim gerekli mi?

Önceden deneyim gerekmez. CoddyKit'te Cyber Security Academy, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 1. dersidir.

“Fidye Yazılımı Nasıl Çalışır” dersi ne kadar sürer?

Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.

Bu Cyber Security Academy dersinde kod yazıp çalıştırabilir miyim?

Evet. Her Cyber Security Academy dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.

Bu kursun tüm dersleri

← Cyber Security Academy Sayfasına Dön