Saldırının Genel Çerçevesi
VolkLocker olarak bilinen fidye yazılımı, 2025 Ağustos ayında yeniden ortaya çıktı ve hem Windows hem de Linux platformlarını hedef alıyor. Golang ile geliştirilen bu RaaS (Ransomware-as-a-Service) varyantı, operatörlerin bitcoin adresi, Telegram bot token ID’si, sohbet ID’si ve şifreleme parametreleri gibi bilgileri sağlamasını gerektiriyor. Saldırı, ayrıcalık yükseltme, sistem keşfi ve sanallaştırma ortamlarının tespiti gibi adımlarla ilerliyor.
Saldırı Zinciri ve Teknik Detaylar
VolkLocker, AES-256 Galois/Counter Mode (GCM) şifrelemesi kullanıyor ve şifrelenen dosyalara .locked veya .cvolk uzantısı ekliyor. Ancak analizlerde, şifreleme anahtarlarının ikili dosyalarda sabit kodlandığı ve aynı zamanda %TEMP% klasöründe açık metin olarak saklandığı tespit edildi. Bu kritik hata, kurbanların dosyalarını fidye ödemeden geri alabilmesini mümkün kılıyor. Ayrıca, fidye yazılımı Windows Kayıt Defteri değişiklikleri yaparak analiz araçlarını engelliyor, hacim gölge kopyalarını siliyor ve Microsoft Defender gibi antivirüs süreçlerini sonlandırıyor.
Hangi Sistemler Risk Altında?
VolkLocker, hem Windows hem de Linux sistemlerini hedef alması nedeniyle geniş bir kullanıcı kitlesini etkiliyor. Özellikle kurumsal ağlarda, kritik altyapılarda ve kamu kurumlarında fidye yazılımı tehdidini artırıyor. Fidye yazılımı operatörleri, Telegram üzerinden komut ve kontrol işlemlerini yönetiyor; bu da saldırının hızlı ve otomatik şekilde yayılmasını sağlıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- EDR ve SIEM çözümlerinde VolkLocker’a özgü davranışları tespit edecek kurallar oluşturun.
- Şüpheli süreçlerin ve Windows Kayıt Defteri değişikliklerinin izlenmesini sağlayın.
- Hacim gölge kopyalarının otomatik olarak silinmesini engellemek için yedekleme politikalarını güçlendirin.
- Telegram tabanlı C2 iletişimlerini tespit etmek için ağ trafiği analizini artırın.
- Fidye yazılımı saldırılarına karşı çok faktörlü kimlik doğrulama (MFA) ve ağ segmentasyonu uygulayın.
- Dosya bütünlüğü izleme (FIM) araçları ile kritik dosyaların değişikliklerini takip edin.
- Olay müdahale (incident response) planlarını fidye yazılımı senaryolarına göre güncelleyin.
- Çalışanlara yönelik e-posta güvenliği farkındalık eğitimlerini düzenli olarak gerçekleştirin.
Teknik Özet
- Kullanılan Zararlılar: VolkLocker fidye yazılımı, Golang ile yazılmış RaaS varyantı.
- Hedef Sistemler: Windows ve Linux işletim sistemleri.
- Saldırı Zinciri: Ayrıcalık yükseltme → Sistem keşfi (MAC adresi kontrolü, sürücü listesi) → Dosya şifreleme (AES-256 GCM) → Analiz engelleme (Kayıt Defteri değişiklikleri, antivirüs süreç sonlandırma) → Zamanlayıcı ile dosya silme tehdidi.
- Kritik Hata: Şifreleme anahtarlarının sabit kodlanması ve açık metin olarak %TEMP% klasöründe saklanması.
- Önerilen Savunma: Güncel EDR ve SIEM kullanımı, ağ segmentasyonu, MFA, düzenli yedekleme ve dosya bütünlüğü izleme.
VolkLocker fidye yazılımı, Telegram tabanlı otomasyon ve uygun fiyatlı RaaS modeli ile tehdit aktörleri arasında yaygınlaşıyor. Bu durum, fidye yazılımı saldırılarında yeni savunma ve tespit yöntemlerinin geliştirilmesini zorunlu kılıyor. Siber güvenlik ekiplerinin, fidye yazılımı tehditlerine karşı kapsamlı önlemler alması kritik önem taşıyor.