Fidye Yazılımı Saldırısı Sonrası İlk 24 Saat: Ne Yapmalı, Ne Yapmamalı?

Sabah ofise gelen bir çalışan, dosyalarının uzantısının değiştiğini ve masaüstünde "verileriniz şifrelendi" başlıklı bir metin dosyası olduğunu fark ediyor. Birkaç dakika içinde muhasebe programı açılmıyor, dosya sunucusundaki klasörler okunamıyor. Bu, her yöneticinin yaşamak istemediği ama hazırlıklı olması gereken andır.

Fidye yazılımını önlemek üzerine çok şey yazıldı. Biz de daha önce değiştirilemez yedeklemenin neden son savunma hattı olduğunu anlatmıştık. Bu yazı ise önleme değil, müdahale üzerine: saldırı gerçekleştikten sonraki ilk 24 saatte ne yapmalı, neyden kesinlikle kaçınmalı?

Aşağıdaki adımlar genel bir çerçevedir. Her olay farklıdır ve ciddi bir saldırıda deneyimli bir olay müdahale ekibiyle çalışmak her zaman en doğru yoldur.

İlk Saat: Paniği Yönetin, Yayılmayı Durdurun

Fidye yazılımı çoğu zaman tek bir bilgisayarda kalmaz. Ağdaki paylaşımlara, sunuculara ve erişebildiği yedeklere yayılmaya çalışır. İlk hedefiniz hasarın büyümesini durdurmaktır.

Etkilenen cihazları ağdan ayırın

Şifreleme belirtisi gösteren bilgisayar ve sunucuların ağ kablosunu çekin, Wi-Fi bağlantısını kapatın. Sanal sunucularda sanal ağ kartını bağlantısız hale getirmek ya da ilgili VLAN'ı firewall üzerinden izole etmek aynı işi görür. Gerekirse internet çıkışını ve şubeler arası VPN tünellerini geçici olarak kesin.

Cihazları körü körüne kapatmayın

İlk refleks genellikle bilgisayarı kapatmak olur. Ancak bellekteki bilgiler, yani çalışan süreçler, açık bağlantılar ve bazen şifreleme anahtarları, cihaz kapandığında kaybolur. Bu bilgiler saldırının nasıl gerçekleştiğini anlamak ve bazı durumlarda veriyi kurtarmak için değerlidir. Ağdan ayırmak yayılmayı durdurmak için çoğu zaman yeterlidir. Kapatma kararını, mümkünse olay müdahale uzmanıyla birlikte verin.

Bir olay sorumlusu belirleyin

Herkesin bir şey denediği bir ortamda kanıtlar bozulur ve kararlar çakışır. Tek bir koordinatör belirleyin. Teknik ekip, yönetim, hukuk ve iletişim bu kişi üzerinden ilerlesin. Saldırganların e-posta sistemine de erişmiş olabileceğini düşünerek iletişim için telefon ya da ayrı bir mesajlaşma kanalı kullanın.

Kanıtları Koruyun

Sistemleri bir an önce ayağa kaldırma baskısı büyüktür. Ama kanıtları silerek ilerlemek, saldırganın içeri nasıl girdiğini hiçbir zaman öğrenememek anlamına gelebilir. Giriş noktasını kapatmadan yapılan bir geri yükleme, birkaç gün içinde aynı saldırının tekrarlanmasıyla sonuçlanabilir.

• Fidye notunun ve ekran görüntülerinin fotoğrafını çekin.
• Firewall, VPN, e-posta ve sunucu loglarını dışa aktarın; bazı cihazlar logları kısa sürede döndürür.
• Etkilenen sanal sunucuların silinmeden önce anlık görüntüsünü (snapshot) ya da kopyasını alın.
• Şifrelenmiş disklerin üzerine yazmayın, biçimlendirmeyin.
• Olay zaman çizelgesi tutun: kim neyi, ne zaman fark etti, hangi adım ne zaman atıldı.

Bu kayıtlar hem teknik analiz hem de ileride yapılacak resmi bildirimler ve sigorta süreçleri için gereklidir.

Kapsamı Belirleyin

Hangi sistemlerin etkilendiğini bilmeden bir kurtarma planı yapılamaz. İlk birkaç saatte şu sorulara yanıt arayın:

• Hangi sunucular, bilgisayarlar ve paylaşımlar şifrelendi?
• Domain controller ve kimlik sistemleri etkilendi mi?
• Yedekleme sunucusu ve yedek depoları erişilebilir ve sağlam mı?
• Veri dışarı sızdırılmış olabilir mi? Son günlerde olağandışı yüksek çıkış trafiği var mı?
• Saldırının ilk başladığı nokta neresi olabilir: bir oltalama e-postası, açık bırakılmış bir uzak masaüstü portu, yaması eksik bir VPN cihazı?

Günümüz fidye yazılımı gruplarının önemli bir kısmı şifrelemeden önce veriyi kopyalayıp "ödemezseniz yayınlarız" tehdidiyle çifte şantaj uygular. Bu yüzden kapsam çalışması yalnızca "ne şifrelendi" değil, "ne çalınmış olabilir" sorusunu da içermelidir.

Fidyeyi Refleksle Ödemeyin

Saldırganlar baskı kurmak için geri sayım sayaçları ve artan fidye tutarları kullanır. Bu baskı altında ödeme yapmak cazip gelebilir. Ancak birkaç gerçeği bilmek gerekir:

• Ödeme yapmak, çalışan bir şifre çözücü alacağınızın garantisi değildir. Verilen araçlar yavaş, hatalı ya da eksik olabilir.
• Ödeme, sızdırılan verinin silineceği anlamına gelmez.
• Ödeme yapan kurumlar tekrar hedef alınma riskiyle karşı karşıya kalabilir.
• Ödemenin hukuki ve vergisel boyutları vardır; bu karar mutlaka hukuk danışmanıyla birlikte değerlendirilmelidir.

Sağlam ve erişilebilir yedekleriniz varsa, ödeme sorusu çoğu zaman gündeme bile gelmez. Bu yüzden ödeme tartışmasından önce yedeklerinizin durumunu netleştirin.

Yedeklerin Bütünlüğünü Doğrulayın

Kurtarmanın kalbi yedeklerdir. Ama saldırganlar bunu bilir ve şifrelemeden önce yedekleri silmeye ya da bozmaya çalışır. Geri yüklemeye başlamadan önce şunları kontrol edin:

• Yedekler değişmeden duruyor mu? Değiştirilemez (immutable) depolarda ya da nesne kilidiyle korunan S3 bucket'larında tutulan kopyalar, yönetici şifresi ele geçirilse bile silinemez. Bu kopyalar genellikle en güvenilir başlangıç noktasıdır.
• Hangi tarihli yedek temiz? Saldırganlar sistemde şifrelemeden günler, hatta haftalar önce bulunmuş olabilir. En son yedek de zararlı yazılım barındırabilir. Yedeği izole bir ortamda açıp tarayın.
• Yedekleme sunucusu güvende mi? Yedekleme sunucusu domain'e dahilse ve ele geçirilmişse, geri yüklemeyi temiz kurulmuş yeni bir yedekleme sunucusundan yapmak daha güvenlidir.

Yedeklerin bir kopyasının ana ağdan bağımsız, farklı bir lokasyonda ve değiştirilemez biçimde tutulması bu noktada büyük fark yaratır. Bu yaklaşımın temelini 3-2-1 yedekleme kuralı rehberimizde anlattık.

Geri Yükleme Sırasını Planlayın

Her şeyi aynı anda geri yüklemeye çalışmak hem ağı hem de ekibi tıkar. Önceden belirlenmiş bir öncelik sırası kurtarmayı hızlandırır. Tipik bir sıra şöyledir:

1. Altyapı ve kimlik: Temiz bir ağ segmenti, firewall kuralları, domain controller ve DNS.
2. İş için kritik uygulamalar: ERP, muhasebe, satış ve sipariş sistemleri, veritabanları.
3. İletişim: E-posta ve iç iletişim araçları.
4. Dosya paylaşımları: Önce aktif projeler ve son dönem klasörleri, ardından arşiv.
5. Kullanıcı bilgisayarları: Mümkünse temiz bir imajdan yeniden kurulum.

Geri yüklenen sistemleri doğrudan eski ağa bağlamayın. Önce izole bir ortamda doğrulayın, güvenlik yamalarını uygulayın, ardından üretime alın. Hangi sistemin ne kadar sürede ayağa kalkması gerektiğini önceden belirlemek için RPO ve RTO yazımıza göz atabilirsiniz.

Kimlik Bilgilerini Sıfırlayın

Fidye yazılımı saldırılarının büyük kısmı ele geçirilmiş kullanıcı hesaplarıyla ilerler. Sistemleri geri yüklemek yetmez; saldırganın elindeki anahtarları da geçersiz kılmanız gerekir.

• Tüm yönetici ve servis hesaplarının şifrelerini değiştirin.
• Active Directory kullanıyorsanız, uzman desteğiyle kerberos hesabının (krbtgt) şifresini de kontrollü biçimde sıfırlayın.
• VPN, uzak erişim, bulut paneli ve e-posta hesaplarında çok faktörlü doğrulamayı zorunlu hale getirin.
• Saldırı sırasında oluşturulmuş olabilecek yeni kullanıcı hesaplarını ve zamanlanmış görevleri arayın.
• Firewall ve sanallaştırma platformu gibi altyapı cihazlarının yönetim şifrelerini de unutmayın.

Bildirim Yükümlülüklerini Atlamayın

Fidye yazılımı saldırısı çoğu zaman aynı zamanda bir kişisel veri ihlalidir. Şifrelenen ya da sızdırılan sistemlerde müşteri, çalışan veya tedarikçi verisi varsa KVKK kapsamında yükümlülükler doğar.

Genel kural olarak veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmelidir. Etkilenen kişilere de makul en kısa sürede bilgi verilmesi gerekir. Bildirimin içeriği ve zamanlaması konusunda hukuk danışmanınızla çalışmanızı öneririz.

Bunun dışında şunları da değerlendirin:

• Siber sigorta poliçeniz varsa sigorta şirketini erken bilgilendirin; birçok poliçe belirli süreler ve prosedürler öngörür.
• Suç duyurusunda bulunmak için kolluk kuvvetleriyle iletişime geçin.
• Müşteri ve iş ortaklarına, doğrulanmış bilgilere dayanan açık bir açıklama hazırlayın.

Kaçınılması Gerekenler: Kısa Liste

• Şifrelenmiş diskleri biçimlendirmek ya da üzerine geri yükleme yapmak.
• İnternetten bulunan rastgele "şifre çözücü" araçları üretim sistemlerinde çalıştırmak.
• Giriş noktasını bulmadan sistemleri yeniden internete açmak.
• Saldırganlarla yetkisiz kişilerin iletişime geçmesi.
• Ele geçirilmiş olabilecek e-posta hesapları üzerinden olay hakkında yazışmak.
• Yaşananları kayıt altına almadan ilerlemek.

Sonrası: Öğrenilen Dersler

Sistemler ayağa kalktığında iş bitmiş sayılmaz. Birkaç hafta içinde tüm ekiple bir değerlendirme toplantısı yapın. Saldırgan nereden girdi, neden fark edilmedi, hangi adımlar işe yaradı, hangileri zaman kaybettirdi? Bu sorulara verilen yanıtlar somut aksiyonlara dönüşmeli: yama süreçleri, çok faktörlü doğrulama, ağ segmentasyonu, değiştirilemez yedek ve düzenli geri yükleme testleri.

Bu yazıdaki adımları bir sonraki olayı beklemeden kendi ortamınıza uyarlayıp yazılı bir olay müdahale planına dönüştürmek, gerçek bir saldırı anında saatler kazandırır.

Sık Sorulan Sorular

Fidye yazılımı bulaşan bilgisayarı hemen kapatmalı mıyım?

Genellikle hayır. Önce ağ bağlantısını kesin. Kapatmak bellekteki değerli kanıtları yok edebilir. Kapatma kararını mümkünse bir olay müdahale uzmanıyla birlikte verin.

En son yedeği geri yüklemek yeterli mi?

Her zaman değil. Saldırganlar sistemde günlerce bulunmuş olabilir ve son yedek de zararlı yazılım içerebilir. Yedeği izole bir ortamda doğrulayın ve gerekirse daha eski, temiz bir yedeği tercih edin.

KVKK bildirimi her fidye yazılımı olayında gerekir mi?

Etkilenen sistemlerde kişisel veri varsa ve bu verinin gizliliği, bütünlüğü ya da erişilebilirliği etkilendiyse bildirim yükümlülüğü büyük olasılıkla doğar. Durumu hukuk danışmanınızla değerlendirin ve 72 saatlik süreyi kaçırmayın.

Bulut yedekleri fidye yazılımından etkilenir mi?

Saldırgan yedekleme yazılımının yönetici hesabını ele geçirirse, sıradan bulut yedeklerini de silebilir. Değiştirilemez olarak işaretlenmiş kopyalar ise belirlenen süre boyunca silinemez ve değiştirilemez.

CloudRUX ile Kurtarmaya Hazır Olun

Altyapıyı herkes satın alabilir; fark, kriz anında karşınızda sistemleri bizzat yöneten, Türkçe konuşan bir mühendis bulunmasıdır. CloudRUX, yedeklerinizi Türkiye'deki veri merkezlerinde, değiştirilemez kopyalarla ve sabit aylık faturayla saklar. Yedekleme hizmetimizi (BaaS) ve S3 nesne depolama seçeneklerini inceleyebilir, mevcut yedekleme ve kurtarma planınızı birlikte gözden geçirmek için bizimle iletişime geçebilirsiniz.