Dosyalarınızın uzantısı bir anda değişti, hiçbiri açılmıyor ve masaüstünde “Dosyalarınız şifrelendi” diye başlayan bir not duruyor. Bu, bir fidye yazılımı (ransomware) saldırısıdır. Şu an verdiğiniz kararlar, saldırının diğer bilgisayarlara yayılıp yayılmayacağını, yedeklerinizin kurtulup kurtulmayacağını ve sonradan yapılacak incelemenin ne kadar sağlıklı olacağını belirler. Aşağıdaki adımları sırayla uygulayın.
Önemli: İlk iş, etkilenen cihazı ağdan ayırmaktır. Ethernet kablosunu çekin, Wi-Fi’yi kapatın. Fidye ödemeyin, saldırganlarla iletişime geçmeyin ve hiçbir dosyayı silmeyin.
İlk 10 dakika: adım adım
1. dakika: Cihazı ağdan ayırın
Fidye yazılımları ağdaki paylaşılan klasörlere, NAS cihazlarına ve diğer bilgisayarlara yayılmaya çalışır. Ağ kablosunu çıkarın, Wi-Fi ve Bluetooth’u kapatın. Bilgisayara takılı USB disk veya yedek diski varsa çıkarın. Birden fazla cihaz etkilenmiş görünüyorsa, işletmenizdeki ağ anahtarının (switch) veya modemin bağlantısını kesmek de bir seçenektir.
2-3. dakika: Kapatma kararını bilinçli verin
Burada tek doğru cevap yoktur. Şifreleme hâlâ sürüyorsa, yani dosyaların gözünüzün önünde değiştiğini görüyorsanız, cihazı kapatmak henüz şifrelenmemiş dosyaları koruyabilir. Şifreleme tamamlanmış görünüyorsa, cihazı ağdan ayrılmış hâlde açık bırakmak, bellekte kalabilecek izlerin sonraki incelemede değerlendirilmesine imkân tanır. Emin değilseniz cihazı ağdan ayırıp dokunmadan bırakın ve uzman görüşü alın.
4-5. dakika: Fidye notunu ve ekranı belgeleyin
Fidye notunun ve şifrelenmiş dosya uzantılarının cep telefonunuzla fotoğrafını çekin. Notta yer alan e-posta adresleri, kimlik numaraları ve bağlantılar, yazılımın türünü belirlemek için çok değerlidir. Notu ve şifreli dosyaları silmeyin; bazı fidye yazılımı türleri için güvenlik araştırmacılarının yayınladığı çözücüler bulunur ve bunlar orijinal şifreli dosyalara ihtiyaç duyar.
6-7. dakika: Yedeklerinizi koruyun
Yedekleriniz nerede? Ağa sürekli bağlı bir NAS veya paylaşılan bir disk varsa onu da ağdan ayırın. Çevrim dışı tuttuğunuz bir yedek diski kesinlikle etkilenen bilgisayara takmayın. Bulut yedeklemeniz varsa, eşitlemenin şifreli dosyaları buluta taşımaması için eşitlemeyi durdurun; birçok bulut hizmeti eski sürümleri belirli bir süre saklar.
8-9. dakika: Kimlik bilgilerini temiz bir cihazdan değiştirin
Saldırganlar çoğu zaman sisteme ele geçirilmiş bir şifreyle girer. Etkilenmemiş bir cihazdan e-posta, uzak masaüstü, VPN ve yönetici hesaplarınızın şifrelerini değiştirin. Etkilenen bilgisayardan hiçbir hesaba giriş yapmayın.
10. dakika: Destek isteyin ve kayıt tutun
Ne zaman fark ettiğinizi, hangi cihazların etkilendiğini ve hangi adımları attığınızı saat bilgisiyle not edin. Ardından veri kurtarma ve adli bilişim konusunda deneyimli bir ekiple iletişime geçin. Saldırıyı emniyetin siber suçlarla mücadele birimlerine bildirmeyi de değerlendirin.
Kesinlikle yapmamanız gerekenler
- Hemen fidye ödemek: Ödeme, çözücü anahtarın verileceğinin veya çalışacağının garantisi değildir. Üstelik sizi yeniden hedef hâline getirebilir.
- Diski formatlamak veya Windows’u yeniden kurmak: Kurtarma ve inceleme için gereken izler tamamen kaybolur.
- Şifreli dosyaları silmek veya yeniden adlandırmak: İleride bir çözücü bulunsa bile dosyalar kullanılamaz hâle gelebilir.
- İnternetten bulunan rastgele “çözücü” programları çalıştırmak: Bunların bir kısmı ikinci bir zararlı yazılımdır.
- Yedek diski etkilenen sisteme takmak: Son sağlam kopyanız da şifrelenebilir.
Gerçekçi beklentiler: veriler geri gelir mi?
Modern fidye yazılımları güçlü şifreleme algoritmaları kullanır ve anahtar olmadan bu şifreyi kırmak genellikle mümkün değildir. Bunu açıkça söylemek istiyoruz. Ancak bu, her şeyin kaybolduğu anlamına da gelmez. Kurtarma ihtimali olan durumlar şunlardır:
- Yazılımın türü için güvenlik toplulukları tarafından yayınlanmış bir çözücü bulunması
- Şifreleme sırasında oluşturulan geçici kopyaların veya orijinal dosyaların silinmiş ama üzerine yazılmamış kalıntılarının diskte durması
- Büyük dosyaların, özellikle veritabanı ve sanal disk dosyalarının yalnızca bir kısmının şifrelenmiş olması
- Gölge kopyaların, bulut sürüm geçmişinin veya gözden kaçmış bir yedeğin sağlam kalmış olması
Laboratuvarımızda önce etkilenen disklerin imajı alınır, tüm inceleme bu kopyalar üzerinde yapılır. Yazılımın türü belirlenir, olası kurtarma yolları değerlendirilir ve size dürüst bir tablo sunulur. Ayrıntılar için fidye yazılımı sonrası veri kurtarma sayfamıza bakabilirsiniz. Şifrelenen veriler bir muhasebe programı veya SQL veritabanıysa veritabanı kurtarma hizmetimiz de devreye girebilir.
Saldırgan sisteme nasıl girdi?
Verileri geri almak kadar önemli bir soru daha vardır: Saldırı nereden geldi ve saldırgan hâlâ sistemde mi? Giriş noktası kapatılmadan yedeklerden geri dönmek, birkaç gün sonra aynı tablonun tekrarlanmasına yol açabilir. En sık karşılaşılan giriş yolları şunlardır:
- İnternete açık bırakılmış uzak masaüstü (RDP) bağlantıları ve zayıf şifreler
- Fatura, kargo veya resmî yazı görünümündeki e-posta ekleri
- Güncellenmemiş VPN cihazları, sunucu yazılımları ve eklentiler
- Daha önce sızdırılmış ve değiştirilmemiş kullanıcı hesapları
Adli bilişim geçmişimiz sayesinde, kurtarma çalışmasına ek olarak olay kayıtlarını ve diskteki izleri inceleyerek saldırının nasıl gerçekleştiğine dair bulguları raporlayabiliyoruz. Bu bulgular hem güvenlik açığını kapatmak hem de olası hukuki süreçler için önemlidir.
İşletmeler için ek sorumluluklar
Saldırı müşteri, çalışan veya hasta bilgileri gibi kişisel verileri etkilediyse, bu durum KVKK kapsamında bir veri ihlali olabilir. Kişisel Verileri Koruma Kurulu, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde bildirim yapılmasını beklemektedir. Bu nedenle saldırının kapsamını erken belirlemek ve yapılanları belgelemek önemlidir. Kurumsal yapılarda olay müdahalesi ve sözleşmeli destek için kurumsal veri kurtarma sayfamızı inceleyebilirsiniz.
Saldırıdan sonra en kalıcı ders genellikle yedekleme üzerinedir. Ağdan ayrı tutulan ve düzenli test edilen bir yedek, fidye yazılımına karşı en güçlü korumadır. Nasıl kurulacağını işletmeler için 3-2-1 yedekleme rehberi yazımızda anlattık.
Sık sorulan sorular
Fidye ödersem dosyalarım kesin geri gelir mi?
Hayır. Ödeme yapılan pek çok vakada anahtar hiç gelmeyebilir ya da gelen anahtar dosyaların bir kısmını açamayabilir. Ödeme kararını, olası tüm kurtarma yolları değerlendirilmeden vermemenizi öneririz.
Antivirüs programı fidye yazılımını temizlerse dosyalarım açılır mı?
Hayır. Antivirüs zararlı yazılımı kaldırabilir ama şifrelenmiş dosyaları çözemez. Üstelik temizleme işlemi, incelemede işe yarayacak izleri de silebilir.
Şifrelenmiş diskleri size nasıl ulaştırabilirim?
Diskleri veya cihazı kapalı hâlde, ağa bağlamadan getirebilir ya da Bursa dışındaysanız kargo ile gönderebilirsiniz. Talep etmeniz hâlinde gizlilik sözleşmesi imzalıyoruz.