Fidye yazılımı davranış örüntüsü

Fidye yazılımı öteki ailelerden bir yönüyle ayrılır. Uzun süre gizli kalmaya çalışmaz. Şifreleme başladığı anda kurban durumu anlar. Bu yüzden hız, gizlilikten daha önemli hale gelir.

Zincir tarama ile başlar. Yerel diskler, bağlı sürücüler ve ağ paylaşımları gezilir. Ardından süzgeç işler. Belge, tablo, görsel ve yedek uzantıları hedeflenir; sistem dosyaları atlanır.

Sistem dosyalarını atlamak bilinçli bir seçimdir. Makine çalışmaya devam etmeli ki kurban fidye notunu okuyabilsin. Tamamen çöken bir sistem, saldırgana ödeme getirmez.

Zincir beş halkadan oluşur ve sıra sabittir. Önce erişilebilir sürücüler taranır, sonra hedef dosya türleri süzülür, ardından kurtarma noktaları olan gölge kopyalar silinir.

Dördüncü halkada dosyalar şifrelenir ve uzantısı değişir. Son halkada her dizine bir fidye notu bırakılır. Bu sırayı bilmek, günlük kayıtlarında hangi halkanın hangi izi bıraktığını tanımayı kolaylaştırır.

; tipik dizi
ornek.exe ReadFile   D:\muhasebe\2026.xlsx
ornek.exe WriteFile  D:\muhasebe\2026.xlsx.kilit
ornek.exe DeleteFile D:\muhasebe\2026.xlsx
ornek.exe WriteFile  D:\muhasebe\OKU-BENI.txt

Bu dört satır aynı dosyayı takip eder. Önce okunur, sonra kilitli uzantıyla yeniden yazılır, ardından asıl dosya silinir ve son olarak dizine bir not bırakılır. Aynı dosya adının bu sırayla üç kez geçmesi, şifreleme döngüsünün en belirgin günlük izidir.

Üçüncü halka yedek silmedir. Windows gölge kopyaları kurtarma noktası tutar. Şifrelemeden önce bunlar silinir. Aynı biçimde yedekleme servisleri durdurulur ve yedek dosyaları hedef listesine eklenir.

Bu adım analizde çok belirleyicidir. Gölge kopya silen komutu görmek, niyeti tartışmasız hale getirir. Sıradan hiçbir yazılım kurtarma noktalarını sessizce silmez.

Şifreleme tarafında yaygın düzen melez bir yapıdır. Her dosya hızlı bir simetrik algoritmayla şifrelenir. O dosyanın anahtarı ise saldırganın açık anahtarıyla kapatılır ve dosyanın sonuna eklenir.

Bu düzen kurtarmayı zorlaştırır. Algoritmayı bilmek yetmez, özel anahtar gerekir. Kurtarma umudu ancak anahtar üretimi zayıfsa ya da anahtar diskte unutulmuşsa doğar.

Son halka nottur. Her dizine aynı dosya bırakılır. İçinde kurban kimliği, ödeme yolu ve iletişim adresi durur. Not biçimi aileye özgüdür ve olayları tek kampanyaya bağlamaya yarar.

Sızdırma da zincire eklenmiş olabilir. Son yıllarda yaygın düzen, şifrelemeden önce veriyi dışarı çıkarmaktır. Kurban yedekten dönse bile veri saldırganın elinde kalır ve ikinci bir baskı aracı doğar.

Şifreleme hızını artıran seçimler de görülür. Büyük dosyaların yalnız ilk bloğu şifrelenir. Dosya kullanılamaz hale gelir ama işlem kat kat hızlanır. Bu kısmi yaklaşım, uzantı değişimi kadar belirgin bir izdir.

Yayılma adımı da incelenir. Ağ paylaşımlarını gezen kod, erişebildiği her makineye uzanır. Kimlik bilgisi toplayan bir aşama varsa, tek makinede başlayan olay tüm alana yayılır.

Analizde kurtarma olasılığını da ararsın. Anahtar üretimi zayıfsa, anahtar diskte kaldıysa ya da aynı anahtar her kurbanda kullanıldıysa çözücü yazılabilir. Bu ihtimal her örnekte ayrıca sınanır.

Fidye olaylarında hız her şeydir. Şifreleme başladıktan sonra her dakika dosya kaybıdır. Bu yüzden erken halkalara odaklanırsın. Gölge kopya silme ve toplu dosya yeniden adlandırma, durdurma için en iyi iki tetikleyicidir.

Analiz raporunda bu zinciri sırayla yazarsın. Her halka için kanıt satırı verirsin. Böylece savunma ekibi hangi aşamada durdurma şansı olduğunu görür.

Bu beş halkayı ayrı ayrı tanımak olay müdahalesinde hangi anda durdurmanın hâlâ mümkün olduğunu gösterir. Gölge kopya silindiyse pencere daralmıştır ama kapanmamıştır.