Ransomware Müdahalesi
Fidye Yazılımı Sonrası Veri Kurtarma
Dosyalarınız kilitlendi ve bir ödeme notu bırakıldı. Mucize vaat etmiyoruz; neyin geri alınabileceğini kopya üzerinde inceleyip açıkça söylüyoruz.
- Gizlilik sözleşmesi (NDA)
- Onayınız olmadan işlem yok
- Bursa’da laboratuvar
Şu anda saldırı yaşıyorsanız: Etkilenen bilgisayar ve sunucuların ağ kablosunu çıkarın, kablosuz bağlantıyı kapatın, NAS ve yedek disklerini ağdan ayırın. Ekrandaki notun ve değişen dosya adlarının fotoğrafını çekin. Şifreli dosyaları silmeyin, yeniden adlandırmayın, sistemi formatlamayın. Cihazı kapatıp kapatmamak duruma göre değişen bir karardır; emin değilseniz önce bizi arayın.
Bursa’da muhasebe bürolarından üretim tesislerine kadar farklı ölçekte işletmelerin fidye yazılımıyla karşılaştığını görüyoruz. Senaryo genellikle benzer: Pazartesi sabahı ortak klasördeki belgeler açılmıyor, dosya adlarının sonuna tuhaf uzantılar eklenmiş, her klasörde bir “nasıl geri alırsınız” notu duruyor. Bu sayfada size umut pazarlamayacağız; neyin mümkün, neyin mümkün olmadığını olduğu gibi anlatacağız.
Beklentiyi doğru kurmak
Güncel fidye yazılımlarının çoğu, sağlam ve iyi uygulanmış şifreleme yöntemleri kullanır. Anahtar elde değilse şifreli bir dosyayı “kırmak” çoğu vakada gerçekçi bir seçenek değildir. Bu yüzden bizim işimiz, şifreyi çözmeye çalışmaktan çok, saldırının dokunmadığı ya da tam olarak bitiremediği yerleri bulmaktır. Bazı vakalarda verinin önemli bir bölümüne bu yollarla ulaşılabilir; bazılarında ise hiçbir alternatif kaynak kalmamış olabilir. Hangisiyle karşı karşıya olduğunuz, ancak sistem incelendikten sonra anlaşılır.
Verilere ulaşmak için baktığımız yerler
Saldırganın atladığı kopyalar
Windows’un önceki sürüm kopyaları, NAS cihazlarının anlık görüntüleri, bir köşede unutulmuş harici disk ya da bulut hizmetindeki dosya geçmişi… Saldırganlar bunları silmeye çalışır ama her zaman başaramaz.
Silinmiş özgün dosyalar
Bazı türler dosyanın şifreli bir kopyasını oluşturup ardından özgününü siler. Özgün dosyanın kapladığı alan henüz başka veriyle dolmadıysa, disk üzerinden geri getirilmesi mümkün olabilir.
Yarım kalan şifreleme
Hızlı ilerlemek isteyen bazı fidye yazılımları büyük dosyaların tamamını değil, yalnızca belirli parçalarını şifreler. Veritabanı ve sanal makine diski gibi büyük dosyalarda dokunulmamış bölümlerden kullanılabilir kayıtlar çıkarılabilir.
Yayımlanmış çözücüler
Bazı fidye yazılımı aileleri için güvenlik araştırmacıları ve kolluk birimleri tarafından çözücü araçlar yayımlanmıştır. Saldırının türünü belirledikten sonra böyle bir aracın olup olmadığını araştırır, varsa önce kopyalar üzerinde deneriz.
Sunucu, NAS ve sanal makine vakaları
İşletmelerde saldırı nadiren tek bir bilgisayarda kalır. Dosya sunucusu, sanallaştırma sunucusu ve ağdaki depolama cihazı aynı anda etkilenebilir. Sanal disk dosyalarının içindeki yapılar yer yer sağlam kalabildiği için bu dosyalar ayrıca ele alınır. Ayrıntılar için sunucu veri kurtarma ve NAS veri kurtarma sayfalarımıza bakabilirsiniz. Muhasebe ya da ERP verileriniz etkilendiyse veritabanı kurtarma hizmetimiz kısmi şifrelemeden kalan kayıtların ayrıştırılmasında devreye girer.
Çalışma sıramız
- Etkilenen disklerin mümkün olan en eksiksiz kopyası alınır; orijinaller dokunulmadan saklanır.
- Not, uzantılar ve şifreli dosya yapısı üzerinden saldırının hangi aileye ait olabileceği araştırılır.
- Kopya üzerinde; dosyaların önceki sürümleri, diskten silinmiş özgün hâlleri, unutulmuş yedek arşivleri ve şifrelemenin yarım bıraktığı veritabanı ya da sanal disk dosyaları aranır.
- Bulunan veriler önceliklerinize göre sınıflandırılır, açılarak kontrol edilir ve neyin geri geldiği size listelenir.
İlk incelemenin ardından bulduklarımızı, tahmini süreyi ve yazılı fiyat teklifini sizinle paylaşırız. Onay vermediğiniz hiçbir işleme başlanmaz. Saldırı sürecinde iş akışınızı ayakta tutmak için hangi verilerin önce gerektiğini (örneğin güncel cari kayıtlar, sözleşmeler veya üretim planları) bize bildirmeniz, çalışmayı bu önceliklere göre sıralamamızı sağlar. Tek bir bilgisayarla sınırlı vakalar birkaç günde sonuçlanabilirken, çok sayıda sunucunun etkilendiği durumlarda süreç belirgin şekilde uzayabilir.
Hukuki ve KVKK tarafında dikkat edilecekler
Bir fidye saldırısı aynı zamanda bir siber suç olayıdır ve sistemlerinizdeki kişisel verilerin üçüncü kişilerin eline geçmiş olma ihtimalini de doğurur. Bu durumda 6698 sayılı Kanun çerçevesinde ilgili kişilere ve Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü gündeme gelebilir; bildirim için öngörülen süreler oldukça kısa tutulmuştur. Yükümlülüğün sizin için doğup doğmadığını ve nasıl yerine getirileceğini mutlaka hukuk danışmanınızla değerlendirin. Biz bu konularda hukuki görüş vermeyiz; teknik tarafta kayıtları, zaman bilgilerini ve şüpheli dosyaları bozmadan koruyarak olası başvurularınıza yardımcı olacak bulguları paylaşabiliriz. Veri gizliliği yaklaşımımızı veri kurtarmada KVKK ve gizlilik yazımızda anlattık.
Fidyenin ödenip ödenmemesi de teknik olduğu kadar hukuki ve ticari bir karardır. Ödeme yapılması anahtarın gönderileceğini ya da gönderilen anahtarın düzgün çalışacağını garanti etmez. Böyle bir seçeneği düşünüyorsanız kararı avukatınızla ve ilgili makamlarla görüşmeden vermemenizi öneririz.
Saldırı sonrası en çok sorulanlar
Şifreli dosyaları saklamalı mıyım, yoksa silip yeniden mi başlamalıyım?
Saklayın. İleride bir çözücü yayımlanabilir ya da dosyaların bir kısmı kısmi şifreleme nedeniyle kurtarılabilir. Şifreli dosyaları ayrı bir diske kopyalayıp orijinallerini olduğu gibi bırakmak en güvenli yoldur.
Ağdaki yedek diskimiz de şifrelendi, başka umut var mı?
Olabilir. Yedek dosyalarının silinmiş eski sürümleri, cihazın anlık görüntüleri veya bilgisayarların kendi disklerinde kalan özgün dosya izleri incelenebilir. Ne bulunacağını önceden söylemek mümkün değildir; bu nedenle yedek cihazını da kapatıp olduğu gibi korumanızı öneririz.
Saldırganın sisteme nereden girdiğini öğrenebilir miyiz?
Kayıtlar ve sistem izleri korunmuşsa giriş yolu hakkında fikir veren bulgulara ulaşmak çoğu zaman mümkündür. Bu inceleme, aynı açığın kapatılması için de önemlidir. Kapsamını ve size sunulacak çıktının biçimini işe başlamadan önce birlikte belirleriz.
Kurtarılan dosyaları aynı sunucuya hemen geri yükleyebilir miyim?
Sistem temizlenmeden ve giriş yolu kapatılmadan geri yükleme yapmak, verilerin yeniden şifrelenmesine yol açabilir. Önce altyapının güvenli hâle getirilmesini, ardından geri yüklemeyi öneririz.
Bir daha yaşamamak için nereden başlamalıyız?
Ağdan ayrı tutulan ve düzenli olarak geri yükleme testi yapılan yedekler en sağlam savunmadır. Sık gördüğümüz eksikleri işletmelerin yedekleme hataları yazımızda, kurumlara yönelik desteğimizi kurumsal veri kurtarma sayfasında bulabilirsiniz.