Yeni Kaspersky raporu, “dosya şifrelemesine dayanmayan fidye saldırıları” yolunun giderek yaygınlaştığına dikkat çekiyor
Kaspersky Global Acil Durum Müdahale Ekibi (GERT), Payload fidye yazılımı ailesinin yeni ve gelişmiş bir atak prosedürünü tahlil eden yeni bir rapor yayımladı. Orta Doğu’daki bir üretim şirketine yönelik olay müdahalesi sırasında tespit edilen atak, siber cürümlerde yaşanan kıymetli bir değişime işaret ediyor. Saldırganlar, klâsik bir fidye yazılımı şifreleyicisi kullanmadan şirketin ağı üzerinde tam denetim sağladı; bilgisayarların kilitlenmesini, fidye notlarının görüntülenmesini ve masaüstü duvar kâğıtlarının değiştirilmesini sağladı.
Bu olay, Kaspersky’nin bu yılın başlarında yayımladığı State of Ransomware 2026 (Fidye Yazılımlarının Durumu 2026) raporunda dikkat çekilen trendlerden birini ortaya koyuyor: Saldırganlar klâsik evrak şifreleme usullerinden giderek uzaklaşıyor. Bunun yerine “dosya şifrelemesine dayanmayan fidye saldırıları” sistemlerine yönelerek, mağdurlardan ödeme almak için kriptografik anahtarlara güvenmek yerine operasyonların direkt kesintiye uğratılmasına ve çalınan hassas bilgilerin dark web’de yayımlanmasına odaklanıyor.
İlk Sızma: Ön Kapıdan Sessizce İçeri Girdiler
Saldırganlar ağa sızmak için karmaşık ziyanlı yazılımlar kullanmak yerine, direkt yönetici (admin) yetkilerini ele geçirerek birinci savunma sınırlarını aştı. Muhtemelen oltalama (phishing) yoluyla yüksek ayrıcalıklı kullanıcı kimlik bilgilerini temin eden failler; standart uzak erişim ve VPN giriş noktaları üzerinden kurumsal ağa direkt giriş yaptı. Saldırganların güvenlik izleme sistemlerine rutin misyonlarını yürüten yetkili BT çalışanı üzere görünmesi sebebiyle bu süreç hiçbir pürüze takılmadan ilerledi.
Saldırının Gelişimi: Ağın Kendi Kuralları Silaha Dönüştürüldü
Saldırganlar, saldırıyı ilerletmek için şirketin sağlam idare araçlarını kullandı. Kurumsal ağın temel bileşenlerinden biri olan Active Directory’yi gaye alarak berbat maksatlı bir Grup İlkesi Nesnesi (Group Policy Object – GPO) kuralı oluşturdular.
GPO’lar, ağ yöneticilerinin binlerce çalışan bilgisayarındaki ayarları anında yapılandırmasını sağlayan araçlardır. Grup İlkesi, yasal ve yüksek ayrıcalıklı bir idare sistemi olduğundan, ele geçirilmiş ayrıcalıklı hesaplar üzerinden gerçekleştirilen berbat emelli değişiklikler legal BT faaliyetleriyle emsal görünebilir. Saldırganlar tüm saldırıyı “PAYLOAD” ismini verdikleri berbat emelli bir GPO kuralının içine yerleştirerek sessizce ilerledi. Kural, sistemlerin güncellenen siyasetleri işlemesiyle birlikte mahallî yönetici hesaplarını devre dışı bıraktı, fidye notlarını dağıttı ve tüm bilgisayarların masaüstü duvar kâğıdı ile kilit ekranını ele geçirerek fidye bildirisini gösterdi.
Verilerin dark web’e sızdırılması
Saldırganlar, çalışmalarını şirketin değerli verilerini ele geçirmeye odakladı. Bilgi hırsızlığı tamamlandıktan ve yönetici hesaplarına yönelik erişim kısıtlamaları devreye alındıktan sonra, ele geçirilen datalar şantaj teşebbüsünün son etabı olarak dark web’de yayımlandı.
Kaspersky Global Acil Durum Müdahale Ekibi güvenlik uzmanı Elsayed Elrefaei, atakla ilgili şu değerlendirmede bulundu: “PAYLOAD’ın arkasındaki yollar, siber hatalıların kullandığı taktiklerde yeni bir gelişmeye işaret ediyor. Saldırganlar merkezi ağ kurallarının denetimini ele geçirdiğinde, berbat hedefli Grup İlkesi etkin olduğu sürece sadece klâsik uç nokta berbat hedefli yazılım taraması kâfi olmayabilir. Kuruluşlar, berbat maksatlı siyasetleri kaynağında engellemeye, yönetici kimlik bilgilerini sıkı biçimde müdafaaya ve savunma yaklaşımını sadece berbat gayeli yazılım taramasına değil, davranışların izlenmesine dayandırmaya öncelik vermeli.”
Kaspersky, misal tehditlere karşı korunmak için aşağıdaki güvenlik tedbirlerini öneriyor:
- Ağ yöneticileri, tüm GPO oluşturma ve değişikliklerini yakından izlemeli. Kurumsal ağın köküne yeni bir kural bağlandığı anda tetiklenecek güvenlik ihtarları yapılandırılmalı.
- Ağın idare sistemlerine ve VPN giriş noktalarına erişimde yüksek güvenlikli, kimlik avına sağlam çok faktörlü kimlik doğrulama kullanılmalı. Örneğin fiziksel güvenlik anahtarları tercih edilebilir.
- Yönetici yetkileri için katı sonlar uygulanmalı. Genel BT yöneticilerinin tüm iş istasyonlarına ve sunuculara tıpkı anda erişim sağlayan “ana anahtarlara” sahip olmasına müsaade verilmemeli. Son derece yüksek ayrıcalıklara sahip “Domain Admin” hesapları sırf özel ve izole sistemlerle sınırlandırılmalı.
Kaynak: (BYZHA) Beyaz Haber Ajansı
