Fidye yazılımı nedir, yedekle nasıl korunursunuz?

Fidye yazılımı (ransomware), bilgisayardaki ve ağdaki dosyaları şifreleyip açmak için para isteyen zararlı yazılımdır. Şifrelenen dosyalar yerinde durur ama açılmaz: Excel tabloları, muhasebe veritabanı, taranmış faturalar okunamaz hale gelir. Ekranda ya da klasörlerde ödemenin nasıl yapılacağını anlatan bir not belirir.

Fidye ödemek dosyaların açılacağını garanti etmez. Güncel ve sağlam bir yedeği olan şirket, dosyalarını geri almak için ödeme yapmak zorunda kalmaz. Bu yazıda yedeği fidye yazılımına dayanıklı kurmanın yollarını ve saldırı anında yapılacakları anlatıyoruz.

Fidye yazılımı nasıl bulaşır?

ABD siber güvenlik ajansı CISA'nın fidye yazılımı rehberi başlıca giriş yollarını şöyle sıralıyor:

• E-posta ekleri ve bağlantıları: Fatura, kargo bildirimi, icra takibi gibi görünen e-postalardaki ekler ve bağlantılar.
• İnternete açık sistemlerdeki açıklar: Güncellenmemiş VPN cihazları, güvenlik duvarları, sunucu yazılımları ve internete açık bırakılmış uzak masaüstü bağlantıları.
• Çalınmış ya da tahmin edilen parolalar: Başka bir siteden sızan parolanın şirket hesabında da kullanılması, zayıf yönetici parolaları.
• Daha önce bulaşmış başka bir zararlı yazılım: Fark edilmeden çalışan bir zararlı program, saldırgana ağın kapısını açabilir.
• Dış hizmet sağlayıcılar: Şirketinizin sistemlerine uzaktan erişen bir firmanın hesabı üzerinden giriş.

Bulaştığını nasıl anlarsınız?

Fidye yazılımı çoğu zaman ancak dosyalar şifrelendikten sonra fark edilir. Şu belirtilerden biri görülürse vakit kaybetmeden aşağıdaki ilk adımlara geçin:

• Dosya adlarının sonuna tanımadığınız bir uzantı eklenmiş.
• Word, Excel ve PDF dosyaları açılmıyor ya da bozuk görünüyor.
• Klasörlerde aynı adlı yeni bir metin ya da web sayfası dosyası belirmiş ve içinde ödeme talimatı var.
• Sunucu ya da NAS cihazı mesai dışında uzun süre yoğun disk etkinliği gösteriyor.
• Antivirüs programı kendiliğinden kapanmış ya da ayarları değişmiş.

Saldırgan neden yedekleri de hedef alır?

Sağlam yedeği olan şirket dosyalarını geri almak için ödeme yapmaz; saldırganlar da bu yüzden yedekleri hedef alır. CISA'nın rehberine göre birçok fidye yazılımı türü erişebildiği yedekleri bulup siler ya da şifreler. Saldırganın kolayca ulaştığı yedekler şunlardır:

• bilgisayara sürekli takılı duran harici disk,
• ağda paylaşılan yedek klasörü,
• sunucuyla aynı yönetici parolasıyla açılan NAS cihazı,
• bilgisayarla eşitlenen OneDrive ya da Google Drive klasörü.

Bazı saldırganlar dosyaları şifrelemeden önce kopyalar ve ödeme yapılmazsa yayımlamakla tehdit eder; buna çifte şantaj denir. Yedek, dosyalarınızı geri getirir ama çalınan verinin yayımlanmasını engellemez. Bu yüzden yedeklemenin yanında güncelleme, parola ve e-posta güvenliği de gerekir.

Fidye yazılımına dayanıklı yedeğin beş özelliği

1. Ağdan ayrı en az bir kopya. CISA, kritik verinin çevrim dışı ve şifreli yedeğinin tutulmasını öneriyor. Bu, fişten çekilmiş bir disk ya da saldırganın ele geçirdiği bilgisayardan silemeyeceği bir bulut kopyası olabilir.
2. Sürüm geçmişi. Şifrelenen dosya bir sonraki yedekte buluta gider, ama eski sürümler saklandığı için saldırıdan önceki güne dönülebilir. Sürüm geçmişi, saldırının fark edilmesine kadar geçen süreden uzun olmalıdır: saldırı iki hafta sonra fark edildiyse yedi günlük geçmiş işe yaramaz.
3. Ayrı kimlik bilgileri. Yedekleme hesabının parolası Windows yönetici parolasından farklı olmalı ve mümkünse iki adımlı doğrulama açık olmalıdır. Bilgisayarı ele geçiren saldırgan yedekleme hesabını açamamalıdır.
4. Uyarılar. Yedek alınamadığında ya da bir gecede olağan dışı sayıda dosya değiştiğinde birinin haberi olmalıdır. Bazı hizmetler bu tür ani değişiklikleri işaretler.
5. Denenmiş geri yükleme. Yedeğin açıldığı ve ne kadar sürede geri yüklendiği önceden bilinmelidir.

Kopyaların kaç tane ve nerede tutulacağını 3-2-1 yedekleme kuralı yazısında anlattık.

Sürüm geçmişi kaç gün olmalı?

Saldırganlar ağa girdikten sonra dosyaları şifrelemeden önce bir süre bekleyebilir; bu sürede yedeklerin yerini öğrenir ve parolaları toplarlar. Sürüm geçmişini seçerken iki soruyu düşünün: bir saldırıyı ne kadar sürede fark edersiniz ve bir dosyanın bozulduğunu ne kadar sonra anlayabilirsiniz? Her gün kullanılan dosyalar için en az 30 günlük geçmiş makul bir başlangıçtır. Ay sonunda kapanış yapılan muhasebe verisi ya da ayda bir açılan arşiv klasörleri için daha uzun bir geçmiş daha güvenlidir. Geçmiş uzadıkça yedeğin kapladığı alan da artar; kapasiteyi buna göre seçin ve kullandığınız hizmette sürüm geçmişinin kaç gün tutulduğunu sorun.

Saldırı anında ilk adımlar

1. Etkilenen cihazları ağdan ayırın. Ağ kablosunu çekin, kablosuz bağlantıyı kapatın. Çok sayıda cihaz etkilendiyse ağ anahtarı (switch) düzeyinde ağı kapatın. CISA, cihazları kapatmayı ancak ağdan ayırmak mümkün değilse öneriyor.
2. Yedekleri koruyun. Yedek diskini etkilenen bir bilgisayara takmayın. Yedekleme hesabınızın parolasını temiz bir cihazdan değiştirin.
3. Hangi sistemlerin etkilendiğini ve saldırının ne zaman başladığını belirleyin. Geri yükleme tarihi buna göre seçilir: saldırıdan sonraki yedekler şifreli dosyalar içerir.
4. Destek alın. BT hizmet sağlayıcınızı ve gerekiyorsa bir olay müdahale firmasını arayın. Kişisel veriler etkilendiyse KVKK'ya bildirim yükümlülüğü doğabilir; Kurul bu bildirimi 72 saat içinde bekliyor.
5. Temizledikten sonra geri yükleyin. Saldırganın bıraktığı zararlı yazılım temizlenmeden geri yüklenen dosyalar yeniden şifrelenebilir. Cihazlar çoğu zaman sıfırdan kurulur, sonra saldırıdan önceki son temiz yedek geri yüklenir.
6. Önce kritik sistemler. Muhasebe, e-posta ve ortak dosyalar gibi işi durduran sistemler önce gelir. Bu sırayı olaydan önce belirlemek için felaket kurtarma planı yazısına bakabilirsiniz.

Örnek senaryo

Aşağıdaki örnek gerçek bir olay değildir; bir planın nasıl işlediğini göstermek için kurgulandı.

12 kişilik bir ithalat firmasında pazartesi sabahı muhasebe sunucusundaki dosyalar açılmıyor. Sunucuya bağlı ağ sürücüsü olarak görünen NAS cihazındaki yedekler de şifrelenmiş. Firma her gece buluta yedek alıyor ve yedekleme hesabının parolası sunucudaki hiçbir yerde kayıtlı değil.

Teknik destek, sunucu kayıtlarından saldırının cumartesi gecesi başladığını buluyor. Sunucu sıfırdan kuruluyor ve cuma gecesi alınan bulut yedeği geri yükleniyor. Yedek cuma gecesi alındığı ve firma cumartesi çalışmadığı için kayıt kaybı olmuyor. Kayıp, sunucunun yeniden kurulmasıyla geçen bir buçuk iş günü oluyor: muhasebe salı öğleden sonra yeniden çalışıyor.

Kontrol listesi

• Yedeklerden biri ağdan ayrı ya da saldırganın silemeyeceği bir yerde mi?
• Sürüm geçmişi kaç gün geriye gidiyor?
• Yedekleme hesabının parolası ayrı mı, iki adımlı doğrulama açık mı?
• Uzak masaüstü internete kapalı mı, yalnız VPN üzerinden mi açılıyor?
• Windows, sunucu yazılımları ve ağ cihazları güncel mi?
• Çalışanlar şüpheli bir e-postayı kime bildireceklerini biliyor mu?
• Son geri yükleme denemesi ne zaman yapıldı?

724 Backup'ta yedeklerin nasıl şifrelendiğini ve hesap güvenliğini Güvenlik ve KVKK sayfasında anlattık.