Fidye Yazılımı (Cryptolocker) Sonrası Veri Kurtarma

Sabah bilgisayarı açtığınızda dosyalarınızın uzantısı değişmiş, hiçbiri açılmıyor ve masaüstünde fidye talep eden bir not duruyor. Bu, fidye yazılımı (ransomware, halk arasında “Cryptolocker”) saldırısıdır. Panik içinde yapılan hamleler kurtarma ihtimalini azaltabilir; bu sayfada ilk saatlerde ne yapmanız gerektiğini ve bizim ne yapabileceğimizi dürüstçe anlatıyoruz.

Fidye yazılımı nasıl bulaşır?

En yaygın yol, gerçek bir kurumdan geliyormuş gibi görünen e-postalardır: GSM veya internet faturası, kargo teslim bildirimi, sipariş onayı ya da icra/tebligat gibi acil görünen mesajlar. Bağlantıya tıklandığında veya ek açıldığında yazılım çalışır, belgeleri, fotoğrafları, veritabanlarını ve ağdaki paylaşımları şifreler. Uzak masaüstü (RDP) bağlantısı internete açık sunucular ve güncellenmemiş NAS cihazları da sık hedeflenir.

Şifrelenen dosyalar genellikle .encrypted, .enc, .xtbl, .cerber, .ccc, .aaa gibi uzantılar veya rastgele harflerden oluşan eklerle görünür; her klasöre fidye notu bırakılır.

Fidye yazılımı sonrası veriler kurtarılabilir mi? Dürüst cevap

Güncel fidye yazılımlarının çoğu güçlü şifreleme algoritmaları kullanır ve anahtar olmadan şifrenin “kırılması” pratikte mümkün değildir. Bu konuda kesin kurtarma vaat eden kişi ve firmalara karşı dikkatli olun. Bununla birlikte, birçok vakada verilerin önemli bir kısmına aşağıdaki yollardan ulaşmak mümkün olabilir:

• Bilinen ve çözücüsü yayınlanmış türler: Bazı eski veya hatalı yazılmış türlerin şifre çözücüleri güvenlik araştırmacıları tarafından yayınlanmıştır. Önce türü tespit ederiz.
• Silinen orijinal dosyalar: Bazı türler dosyanın şifreli kopyasını oluşturup orijinali yalnızca siler. Silinen orijinaller, üzerine yazılmadıysa diskten kurtarılabilir.
• Kısmi şifreleme: Hız için büyük dosyaların yalnızca bir bölümünü şifreleyen türlerde veritabanı, sanal makine ve video dosyalarının büyük kısmı geri kazanılabilir.
• Gölge kopyalar ve eski yedekler: Silinmemiş birim gölge kopyaları, NAS anlık görüntüleri (snapshot) veya bağlantısı kesik eski yedek diskler incelenir.

Analiz sonucunda hangi yolun sizin durumunuzda işe yarayabileceğini ve kurtarma ihtimalini net olarak bildiririz. Hiçbir yol mümkün değilse bunu açıkça söyler, ücret talep etmeyiz.

NAS ve sunucularda fidye yazılımı

QNAP, Synology ve benzeri NAS cihazları, internete açık yönetim arayüzleri veya güncellenmemiş yazılımları üzerinden doğrudan hedef alınabilir. Bu tür saldırılarda bazen dosyalar sıkıştırılarak parolalı arşivlere taşınır, bazen de disk düzeyinde şifreleme yapılır. Cihazı kapatın, diskleri sırasını bozmadan çıkarın ve RAID ve NAS kurtarma sayfamızdaki adımları izleyin.

Analizde neler yapıyoruz?

1. Tür tespiti: Fidye notu, dosya uzantısı ve şifreli dosya örnekleri incelenerek saldırının türü ve sürümü belirlenir.
2. Çözücü kontrolü: Bu tür için güvenlik araştırmacılarınca yayınlanmış bir çözücü olup olmadığı araştırılır.
3. Disk incelemesi: Diskin tam kopyası alınarak silinmiş orijinal dosyalar, gölge kopyalar ve kısmen şifrelenmiş dosyalar aranır.
4. Yedek ortamları: NAS anlık görüntüleri, bağlantısı kesik yedek diskler ve eski kopyalar değerlendirilir.
5. Rapor: Hangi verilerin hangi yolla kurtarılabileceği ve fiyat yazılı olarak bildirilir.

Analiz için şifrelenmiş cihazın diskini (veya NAS disklerinin tamamını sıralarıyla) getirmeniz en iyisidir. Bilgisayar hâlâ çalışıyorsa, kanıtların ve izlerin korunması için onu yeniden kurmadan veya temizlemeden önce bizimle görüşün.

Fidye ödemeli miyim?

Bu kararı vermeden önce mutlaka bir uzmanla görüşün. Fidye ödemek, anahtarın gerçekten verileceğini veya verilen anahtarın çalışacağını garanti etmez; ayrıca suç örgütlerinin finansmanına katkı anlamına gelir ve bazı durumlarda hukuki riskler doğurur. Önce türün tespit edilmesi ve alternatif yolların değerlendirilmesi gerekir.

Kurumsal sistemlerde dikkat edilmesi gerekenler

Şirket ağlarında fidye yazılımı çoğu zaman tek bir bilgisayarla sınırlı kalmaz; dosya sunucuları, paylaşılan klasörler ve bağlı yedekleme cihazları da etkilenir. Etkilenen tüm cihazların listesini çıkarın, hiçbirini “temizlemek” için yeniden kurmayın ve yedekleme sistemlerinin durumunu kontrol edin. Saldırının nasıl gerçekleştiğini anlamak ve tekrarlanmasını önlemek için bilgi güvenliği uzmanınızla birlikte çalışmanızı öneririz; bizim rolümüz, verilerin kurtarılabilecek kısmını geri kazanmaktır.

Bir daha yaşamamak için

• 3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 kopya ağdan ve bilgisayardan bağımsız (çevrim dışı)
• İşletim sistemi, NAS ve yazılım güncellemelerini aksatmayın; RDP’yi internete doğrudan açmayın
• Beklemediğiniz ekleri ve bağlantıları açmayın; fatura ve kargo e-postalarını gönderen adresinden doğrulayın

Sık sorulan sorular