fidye yazılımı artık yedeklerinizi de hedef alıyor
arkadaşlar, şu an en sıcak konu: fidye yazılımı (ransomware) çeteleri artık dosyalarınızı kilitlemekle yetinmiyor. yedeklerinizi de bulup siliyorlar. yani kısacası, siz “tamam, yedekten restore ederim” derken, onlar zaten yedeklerin başına varmışlar. çok kötü bir durum bu.
neler oluyor?
ransomware saldırganları son zamanlarda strateji değiştirdi. eski zamanlarda sadece “dosyalarınızı şifrelerim, para verirseniz anahtarı veririm” diyorlardı. ama artık daha akılıca hareket ediyorlar:
- yedek sistemlerini hedef alıyorlar - nas’ınız, backup sunucunuz, cloud backup’larınız, hepsi
- recovery seçeneklerini ortadan kaldırıyorlar - böylece “yedekten restore ederim” diyemiyorsunuz
- baskı arttırıyorlar - “git paranı hazırla, yoksa verilerini satarız” diyebiliyorlar
spoiler: bu taktik çalışıyor ve çok etkili. kurumlar panik yapıyor, fidye ödüyorlar.
peki neden bu kadar etkili?
çünkü çoğu organizasyon yedeklemeyi yanlış yapıyor. örneğin:
- bağlantılı yedekler: nas’ınız şirket ağına bağlı, fidye yazılımı oraya da sıçrıyor
- değiştirilebilir yedekler: saldırgan yedekleri silip değiştiriyor, restore ettiğinizde de enfekte dosya geri geliyor
- düzenli test etmeyen yedekler: “yedek var” dersiniz ama aslında bozuk, kritik anda işe yaramaz
kaseya’nın uyarısı şu: eğer yedekleriniz saldırganın erişebileceği yerde ise, yedek değil, oyuncak
yapmanız gerekenler (acil):
1. yedeklerinizi izole edin
# nas'ınızı ağdan ayırın veya en azından kısıtlayın
# sadece belirli saatlerde, belirli sunuculardan erişim sağlayın
# vpn/firewall kurallarıyla erişimi sınırlandırın
2. yedekleri immutable (değiştirilemez) yapın
# nas/backup yazılımında "worm" modu açın (write-once-read-many)
# bir kez yazıldıktan sonra silinmesin/değiştirilmesin
# aws s3'te object lock açın
# azure'da immutable storage kullanın
3. düzenli test edin
# en az ayda bir kez restore testi yapın
# sadece "yedek var" diye geçmeyin
# gerçekten restore edip çalıştığını kontrol edin
# bkz: backup testini yapmayanlar ağlar
4. multi-tier backup stratejisi
- Tier 1: günlük backup (hızlı restore için)
- Tier 2: haftalık backup (dış depolama)
- Tier 3: aylık backup (off-site, offline)
5. şifreleme ve kimlik doğrulama
# yedekleri şifreleyin (AES-256 falan)
# backup sunucusuna güçlü şifreler koyun
# multi-factor authentication aktif edin
# ssh anahtarlarını düzenli değiştirin
etkilenen sistemler
| Sistem | Durum |
|---|---|
| NAS (Synology, QNAP, vb.) | ⚠️ Yüksek risk |
| Windows Server Backup | ⚠️ Yüksek risk |
| Linux Backup Sistemleri | ⚠️ Yüksek risk |
| Cloud Backups (AWS, Azure) | 🟡 Risk var ama konfigürasyona bağlı |
| Offline Backups | ✅ En güvenli |
geçici çözümler (hemen)
eğer bütçeniz yoksa:
- en önemli dosyaları external hard drive’a kopyalayın - ve bunu bilgisayardan ayırın, dolaptan çıkarmayın
- nas’ınızı ağdan ayırın - sadece yedek zamanında bağlayın, sonra çıkarın
- windows shadow copy’yi aktif edin - en azından dosya versiyonları kalabilir
- linux’ta cron ile offline backup yapın - usb disk’e, tape’e, ne bulursanız
eğer bütçeniz varsa:
- profesyonel backup çözümü alın (veeam, commvault, acronis falan)
- immutable storage satın alın
- offline backup sistemini kurun
- backup yazılımını uzaktan izletin (monitoring)
bonus: ransomware’e yakalandıysanız
# 1. ağı derhal kesin
sudo ifconfig eth0 down # linux
# ipconfig /release # windows
# 2. yedekten restore etmeyi başlatın
# (eğer yedek temizse)
# 3. cisa/ulakbim'e bildirin
# https://www.ulakbim.gov.tr/
# 4. polis karakolu/siber suçlar şubesi'ne bildirin
# (şikayet tutanağı alın)
# 5. fidye ödemeyin (uluslararası tavsiye)
# para verseniz bile dosyaları vermeyebilirler
sonuç
arkadaşlar, yedek almak yeterli değil. yedek almak, izole etmek, test etmek ve offline tutmak gerekiyor. eğer bunu yapmıyorsanız, saldırganın erişemeyeceği bir yedek yok demektir.
“ben yedek alıyorum” diyenler çoğu kez fidye çetesinin kurbanı oluyor. çünkü yedek = rahat, rahat = test etmeme, test etmeme = işe yaramayan yedek.
edit: cisa da uyarı yayınlamış bu konuda. dünya çapında ransomware saldırıları artış gösteriyor ve hepsi bu taktik kullanıyor.
edit2: eğer nas’ınızda ransomware varsa, nas’ın fabrika ayarlarına sıfırlamadan önce disk’i çıkartıp başka bir bilgisayara bağlayarak analiz ettirmeyi düşünün. forensik yapılabilir.
kaynaklar
- BleepingComputer - Ransomware has a new target. Is your backup ready?
- CISA - Ransomware Alerts
- Kaseya - Backup Best Practices
- ULAKBIM - Siber Güvenlik Merkezi
Bu içerik yapay zeka tarafından oluşturulmuştur.