Ransomware · Adli Bilişim · Bursa
Fidye Yazılımı (Ransomware) Sonrası Veri Kurtarma
Dosyalarınız şifrelendiyse önce sakin kalın. Neyin geri getirilebileceğini dürüstçe analiz ediyor, ilk müdahalede size yol gösteriyoruz.
- Gizlilik sözleşmesi (NDA)
- Onayınız olmadan işlem yok
- Bursa’da laboratuvar
Sabah bilgisayarı açtığınızda dosya uzantılarının değiştiğini, belgelerin açılmadığını ve masaüstünde bir “fidye notu” bulunduğunu görmek, özellikle bir işletme için son derece sarsıcı bir deneyimdir. Fidye yazılımları (ransomware), dosyaları güçlü şifreleme algoritmalarıyla kilitleyip çözüm anahtarı karşılığında para talep eden zararlı yazılımlardır. BAMER Bursa olarak 2015’ten bu yana veri kurtarma ve adli bilişim alanında çalışıyoruz ve bu sayfada size umut satmak yerine gerçekçi bir tablo çizmek istiyoruz.
Açık konuşalım: Modern fidye yazılımlarının kullandığı şifreleme, anahtar olmadan çoğu zaman matematiksel olarak çözülemez. Ancak bu, verilerin tamamen kaybedildiği anlamına gelmez. Pek çok vakada saldırganların gözden kaçırdığı kopyalar, yarım kalmış şifreleme işlemleri veya yapısal zayıflıklar sayesinde verilerin önemli bir kısmına yeniden ulaşılabiliyor. Hangi yolun mümkün olduğu, ancak sistemi inceledikten sonra netleşir.
Fidye Yazılımı Saldırısının Belirtileri
Saldırı bazen bir anda, bazen de saatlere yayılarak fark edilir. Aşağıdaki durumlardan biriyle karşılaştıysanız sisteminiz büyük olasılıkla bir fidye yazılımından etkilenmiştir:
- Dosyaların uzantıları tanımadığınız ifadelerle değişmiş (ör. belge.xlsx.locked, rapor.docx.[rastgele karakterler])
- Klasörlerde “README”, “HOW_TO_DECRYPT” veya “DOSYALARINIZI_KURTARIN” gibi adlarla metin ya da HTML dosyaları belirmiş
- Masaüstü arka planı fidye mesajıyla değiştirilmiş
- Muhasebe programı veya veritabanı açılmıyor, sunucudaki paylaşımlı klasörlere erişilemiyor
- Sanal makineler başlamıyor, NAS cihazındaki dosyalar okunamıyor
- Yedekleme yazılımı hata veriyor ya da yedek klasörleri boş görünüyor
Fidye Yazılımları Nasıl Çalışır, Kurtarma Neden Mümkün Olabilir?
Saldırganlar genellikle açık bırakılmış uzak masaüstü (RDP) bağlantıları, oltalama e-postaları, güncellenmemiş yazılımlardaki güvenlik açıkları veya ele geçirilmiş parolalar üzerinden sisteme sızar. Çoğu zaman şifreleme başlamadan önce ağda günlerce dolaşır, yedekleri bulup silmeye ve hassas verileri dışarı çıkarmaya çalışır. Ardından dosyalar, her biri için farklı anahtarlar üretilerek şifrelenir.
Buna rağmen veri kurtarma ihtimalini artıran bazı durumlar sık görülür:
- Gölge kopyalar (Volume Shadow Copy): Windows’un otomatik oluşturduğu anlık görüntüler saldırgan tarafından silinmemişse dosyaların önceki sürümlerine ulaşılabilir.
- Erişilemeyen veya gözden kaçan yedekler: Ağdan ayrı tutulan harici diskler, bulut sürümleri ya da silinmiş ama üzerine yazılmamış yedek dosyaları kurtarılabilir.
- Kısmi şifreleme: Bazı fidye yazılımları hız kazanmak için büyük dosyaların yalnızca başını ya da belirli bölümlerini şifreler. Özellikle veritabanı ve sanal disk dosyalarında şifrelenmemiş alanlardan anlamlı veri çıkarılabilir.
- Silinen orijinaller: Bazı türler önce şifreli kopyayı oluşturup sonra orijinal dosyayı siler. Orijinal dosyanın disk üzerindeki izleri, üzerine yazılmadıysa geri getirilebilir.
- Sanal disk yapıları: VMDK veya VHDX gibi sanal disk dosyalarının içindeki dosya sistemi yer yer sağlam kalabilir; bu yapılar analiz edilerek içerideki dosyalar ayrıştırılabilir.
- Bilinen çözücüler: Bazı fidye yazılımı ailelerindeki hatalar veya kolluk operasyonlarıyla ele geçirilen anahtarlar sayesinde ücretsiz çözücüler yayımlanmıştır. Europol ve güvenlik şirketlerinin desteklediği No More Ransom projesi bu araçların toplandığı bilinen bir kaynaktır.
İlk yapılacaklar: Etkilenen cihazların ağ kablosunu çekin, Wi-Fi bağlantısını kesin; NAS ve harici diskleri ayırın. Fidye notunun ve ekrandaki mesajların fotoğrafını çekin. Bilgi işlem sorumlunuzu ve gerekiyorsa hukuk danışmanınızı bilgilendirin. Cihazı kapatıp kapatmama kararı duruma göre değişir: şifreleme hâlâ sürüyorsa kapatmak hasarı sınırlayabilir, ancak bellekteki iz ve anahtar kalıntıları adli inceleme için değerli olabilir. Emin değilseniz bizi arayarak karar vermeden önce danışın.
Yapılmaması gerekenler: Şifreli dosyaları silmeyin veya yeniden adlandırmayın, diski formatlamayın, işletim sistemini yeniden kurmayın. İnternetten bulduğunuz rastgele “çözücü” programları çalıştırmayın; yanlış araç dosyaları kalıcı olarak bozabilir. Yedek diskleri, temiz olduklarından emin olmadan etkilenen sisteme bağlamayın.
Fidye Ödemeli mi?
Fidye ödenmesini önermiyoruz. Ödeme, anahtarın gerçekten verileceğini garanti etmez; verilen anahtar bazen hatalı çalışır, sızdırılan verilerin yayımlanmayacağına dair de bir güvence yoktur. Ayrıca ödeme suç ekonomisini besler ve aynı kurumun yeniden hedef alınma riskini artırabilir. Bununla birlikte nihai karar sizin kurumunuza aittir. Böyle bir değerlendirme yapıyorsanız, hukuki yükümlülükleri ve olası sonuçları mutlaka avukatınızla ve ilgili makamlarla görüşmenizi tavsiye ederiz. Biz bu süreçte teknik tarafta size alternatiflerin neler olduğunu açıkça ortaya koyarız.
Nasıl Çalışıyoruz?
Fidye yazılımı vakalarında amacımız iki yönlüdür: mümkün olan en fazla veriyi geri kazanmak ve olayın nasıl gerçekleştiğini anlamanıza yardımcı olmak. Adli bilişim geçmişimiz, delilleri bozmadan çalışmayı alışkanlık hâline getirmemizi sağladı.
- İmaj alma: Etkilenen disklerin mümkün olduğunca sektör sektör kopyası alınır; tüm analizler bu kopya üzerinde yapılır, orijinal ortam korunur.
- Tür tespiti: Fidye notu, dosya uzantıları ve şifreli dosyaların yapısı incelenerek fidye yazılımı ailesi belirlenmeye çalışılır; bilinen bir çözücü olup olmadığı araştırılır.
- Alternatif kaynak taraması: Gölge kopyalar, silinmiş orijinal dosyalar, eski yedekler ve kısmen şifrelenmiş büyük dosyalar taranır.
- Yapısal onarım: Veritabanı ve sanal disk dosyalarında şifrelenmemiş bölümlerden veri ayrıştırılır, kullanılabilir hâle getirilir.
- Raporlama: Hangi verilerin kurtarılabildiği ve talep ederseniz saldırının izlerine ilişkin bulgular yazılı olarak paylaşılır.
Adli Bilişim ve KVKK Boyutu
Fidye saldırısı yalnızca teknik bir arıza değildir; çoğu zaman bir siber suçtur ve kişisel verilerin ele geçirilmesi ihtimalini de beraberinde getirir. Saldırganın sisteme hangi yoldan girdiği, hangi hesapları kullandığı ve verileri dışarı aktarıp aktarmadığı gibi sorular, hem güvenlik açığını kapatmak hem de olası hukuki süreçler için önemlidir. Kayıtları (log), zaman damgalarını ve şüpheli dosyaları koruyarak yapılan bir inceleme, savcılığa yapılacak şikâyette veya sigorta başvurusunda size dayanak sağlayabilir.
Genel bir hatırlatma olarak: 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumluları, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi durumunda bunu ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür. Kurul kararına göre bu bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması beklenir. Kendi durumunuza özgü yükümlülükler için hukuk danışmanınızdan destek almanızı öneririz; kurumsal hizmetlerimiz kapsamında teknik tespit tarafında yardımcı olabiliriz.
Süreç ve Süre
Tek bir bilgisayarda gölge kopya veya silinmiş orijinal dosyalardan kurtarma yapılabiliyorsa işlem birkaç gün içinde tamamlanabilir. Çok sayıda sunucunun, sanal makinenin ve büyük veritabanlarının etkilendiği kurumsal vakalarda ise analiz ve kurtarma daha uzun sürebilir. Ön inceleme sonrasında size neyin mümkün olduğunu, tahmini süreyi ve yazılı fiyat teklifini iletiriz; onayınız olmadan herhangi bir işlem yapılmaz. Bursa dışındaysanız disklerinizi kargo ile de gönderebilirsiniz.
- 1
Cihazı ulaştırın
Laboratuvarımıza elden getirin veya kargoyla gönderin.
- 2
Arıza tespiti
Cihazınız incelenir, arızanın türü ve kurtarma ihtimali belirlenir.
- 3
Teklif ve onay
Size net bir fiyat teklifi sunulur; onayınız olmadan işlem yapılmaz.
- 4
Kurtarma
Mümkün olduğunda önce birebir kopya alınır, işlemler kopya üzerinde yapılır.
- 5
Teslim ve imha
Verileriniz teslim edilir, laboratuvardaki kopyalar güvenli şekilde silinir.
Sık Sorulan Sorular
Şifrelenen dosyalarımın hepsini geri alabilir misiniz?
Bunu inceleme yapmadan söylemek mümkün değildir. Güncel fidye yazılımlarının şifrelemesi anahtarsız çoğu zaman çözülemez. Kurtarma şansı; gölge kopyaların, yedeklerin, silinmiş orijinallerin veya kısmen şifrelenmiş dosyaların varlığına bağlıdır. Ön inceleme sonunda size gerçekçi bir tablo sunarız.
İnternette fidye yazılımım için bir çözücü buldum, deneyebilir miyim?
Çözücüyü doğrudan orijinal dosyalar üzerinde çalıştırmayın. Yanlış türe ait bir araç dosyaları geri dönüşsüz bozabilir, güvenilmeyen kaynaklardan indirilen “çözücüler” ise ek zararlı yazılım içerebilir. Önce dosyaların bir kopyasını alın; mümkünse uzman desteğiyle ilerleyin.
Bilgisayarı kapatmalı mıyım, açık mı bırakmalıyım?
Önceliğiniz ağ bağlantısını kesmektir. Şifreleme devam ediyorsa ve dosya sayısı hızla artıyorsa kapatmak hasarı sınırlayabilir. Adli inceleme planlıyorsanız bellek görüntüsü alınması değerli olabilir. Kararsızsanız bizi arayın, durumunuza göre yönlendirelim.
NAS cihazım da şifrelendi, yine de kurtarma mümkün mü?
NAS cihazlarında kullanılan dosya sistemleri ve anlık görüntü (snapshot) özellikleri bazı vakalarda kurtarma imkânı sunar. Disklerin sırasını bozmadan cihazı kapatıp bize ulaştırmanız önerilir. Ayrıntılar için NAS veri kurtarma sayfamıza göz atabilirsiniz.
Verilerimin gizliliği nasıl korunuyor?
Veriler yalnızca kurtarma amacıyla işlenir, talep ederseniz gizlilik sözleşmesi (NDA) imzalanır. Teslimden sonra laboratuvardaki kopyalar güvenli biçimde silinir.
İlgili Hizmetler ve Rehberler
Saldırı anında neler yapmanız gerektiğini adım adım anlattığımız fidye yazılımına yakalandığınızda ilk 10 dakika rehberine göz atabilirsiniz. Şifrelenen muhasebe veya ERP verileriniz için veritabanı kurtarma, sunucu ve sanal makineler için sunucu veri kurtarma sayfalarımız size yol gösterecektir. Bir sonraki saldırıya hazırlıklı olmak için 3-2-1 yedekleme rehberimizi okumanızı öneririz.