Ransom Busters adıyla hareket eden bir grubun, fidye yazılımı saldırısı yaşamış kuruluşlara doğrudan e-posta göndererek ulaştığı ve saldırganların sunucularındaki çalıntı verileri silme vaadiyle 20 bin ile 60 bin dolar arasında ücret talep ettiği ortaya çıktı.
Son incelemelere göre grup, kendisini üçüncü taraf bir kurtarma desteği gibi sunuyor; ancak bu yöntem, fidye yazılımı olayları kamuoyuna yansıdıktan sonra devreye giren meşru danışmanlık girişimlerinden belirgin biçimde ayrılıyor. Araştırmacılar, bu e-postaların özellikle şirketlerin CEO’su ya da BT yöneticileriyle iletişim kurulmasını istediğini ve mesajlarda RaaS altyapısını işleten grupların yönetim panellerinde açık bulunup bu sistemlere sızıldığının iddia edildiğini aktardı.
GuidePoint Research and Intelligence Team, bu kişilerin son dönemde DragonForce, Settra ve Anubis gibi gruplarla bağlantılı olaylarda görüldüğünü, saldırganın birden fazla fidye yazılımı-as-a-service operasyonunda affiliate olarak çalışmış olabileceğini belirtti. E-postalarda, saldırganların üç yıldan uzun süredir bu sunuculara erişim sağladığını iddia ettiği, kurban şirkete ait verileri eriştikleri sunuculardan birinde bulduklarını söyledikleri ve dosyalara yeniden erişim sağlanması ile fidye yazılımı grubunun tuttuğu tüm yedeklerin silinmesi için ödeme talep ettikleri görüldü.
İki olayda da aynı araçlar ve aynı izler
Araştırmacılar, Ransom Busters’ın izinin sürüldüğü iki ayrı olayda dikkat çekici benzerlikler buldu. İncelenen vakalarda iç ağ keşfi için SoftPerfect Network Scanner kullanıldığı, veri dışarı aktarma aşamasında AWS üzerinden bulut depolamaya s5cmd ile transfer yapıldığı ve PowerShell betiğiyle kurulan Remotely adlı uzaktan izleme ve yönetim aracından yararlanıldığı görüldü.
Ortak başka ayrıntılar da var. İki sızmada da yerel bir arka kapı hesabı oluşturulmuş, bunun için “Numlock!123” parolası kullanılmış ve her iki olayda da saldırganın kontrol ettiği DESKTOP-BBETH6K adlı ana makine adı tespit edilmiş durumda. Bu örtüşmeler, faaliyetin farklı kişilerin değil, büyük olasılıkla tek bir operatörün ya da esasen bir affiliate’ın işi olabileceğine işaret ediyor.
GuidePoint, bu yöntemin gerçek bir kurumsal kurtarma şirketi tarafından yürütülüyor olma ihtimalinin son derece düşük olduğunu vurguladı. Şirketin değerlendirmesine göre böyle bir faaliyet, ABD Bilgisayar Dolandırıcılığı ve Kötüye Kullanım Yasası’nın ihlali anlamına geliyor. GRIT’ten kıdemli danışman Justin Timothy, operatörlerin ya erişimlerinin gerçek kaynağını gizlediğini ya da yasa dışı sınırlar içinde hareket etmediğini söyledi. Timothy, grup baskı altına alındığında neden ücret talep ettiğini ise garip bir gerekçeyle açıkladığını aktardı: Ücretsiz yardımın, saldırganın altyapısına erişimlerini riske atabileceğini savunmuşlar.
Timothy’ye göre fidye yazılımı kurbanları açısından mesaj açık: Suç aktörlerine güvenilemez ve daha sınırlı bir şantaj ödemesi koparmak için aldatıcı yöntemler kullanabilirler. Onun ifadesiyle “Ransom Busters” ya da büyük olasılıkla bu kimliği sürdüren fidye yazılımı affiliate’ı, maddi kazanç uğruna kendi suç ortaklarını bile satabilecek bir çizgiye gelmiş durumda. Timothy ayrıca, herhangi bir suçlu tarafa yapılan ödemenin çalıntı verilerin silineceğine dair garanti vermediğini, veri sızdırılması için “sihirli bir çözüm” olmadığını ve kendini iyi niyetli kurtarıcı gibi gösteren bu yapının bir aldatmaca olarak görülmesi gerektiğini söyledi.
UNC6671 cephesi büyürken fidye pazarı da parçalanıyor
Aynı dönemde GuidePoint, UNC6671 olarak izlenen ve Cordial Spider ile O-UNC-045 adıyla da bilinen başka bir yapının Nisan ayından bu yana finansal hizmetler, hukuk ve başka sektörleri hedef alan adversary-in-the-middle operasyonunu da ayrıntılandırdı. Bu kampanya Falcon, Helix, Pink, Redact ve BlackFile gibi farklı şantaj markaları üzerinden yürütülüyor.
GRIT, bu davranışların ShinyHunters benzeri SaaS odaklı hedeflemelerle örtüştüğünü ve fırsatçı fidye yazılımı dağıtımından uzaklaşıp, büyük kurumsal hedeflere bilinçli şekilde yönelen “big game hunting” modeline dönüştüğünü ifade etti. Beş veri şantaj markasına bağlanan 15 Bitcoin cüzdanında aynı dönem içinde 8 milyon doların üzerinde ödeme yapıldığı, ortalama şantaj tutarının ise 600 bin dolar seviyesinde olduğu belirtildi.
Kampanya boyunca 76 farklı kuruluşa yayılan 78 benzersiz oltalama alt alan adı tespit edildi. Bu hedeflerin 15 sektör arasında dağıldığı, bunların yüzde 40’ının hedge fonlar, girişim sermayesi, özel sermaye, varlık yönetimi ve diğer finansal hizmet firmalarıyla ilişkili olduğu kaydedildi.
Okta’nın daha önce ayrıntılandırdığı yapıya göre UNC6671, Work Panel adlı özel bir konsol işletiyor. Bu konsol, rol bazlı erişim kontrolü, ticari B2B veri API’leri üzerinden entegre hedef keşfi, otomatik altyapı kurulumunu ve Okta ile Microsoft 365 gibi kimlik sağlayıcılarını taklit eden phishing şablonlarıyla gerçek zamanlı kimlik bilgisi yönlendirmesini bir araya getiriyor. GuidePoint, bunun vishing tabanlı kimlik bilgisi hırsızlığının endüstriyelleşmesinde kayda değer bir evrim olduğunu söylüyor.
GRIT’in değerlendirmesinde, görev dağılımı da bilinçli bir organizasyon tasarımına işaret ediyor. Arayanlar yalnızca bir sonraki hedefin telefon numarasını biliyor; yöneticiler canlı oturum kuyruğunu görüyor ama başka ayrıntılara erişemiyor; altyapı ise ayrı bir yönetici grubunun kontrolünde tutuluyor. Araştırmacılar, bunun kiralık iş gücüyle yürütülen suç operasyonlarında içeriden sızma riskini azaltmak için kurulmuş kasıtlı bir düzen olduğunu düşünüyor. Public underground kanallardan işe alınan ve başarılı yakalama başına ödeme alan arayanların, kendi çalışmalarının ürününe erişmesi de özellikle engelleniyor.
Yeni fidye aileleri, eski taktikler ve yükselen ödeme tutarları
Son aylarda fidye yazılımı ekosistemine Tengu, CRPx0, Majinahanashi, Elite Enterprise, BARADAI, Aur0ra, Lalia, QV Ransomware, Friends, Doommageddon, PicMo ve Orova gibi yeni gruplar da eklendi. Tengu ve CRPx0, ağırlıklı olarak ABD ve Türkiye’deki kuruluşları hedef alırken Majinahanashi’nin daha çok İsviçre, İtalya, Almanya, Bulgaristan ve Hindistan’a yöneldiği bildirildi. Majinahanashi’ye ait veri sızıntı sitesinde “DECISION REQUIRES CLARITY” sloganı yer alıyor.
Güvenlik araştırmacısı Rakesh Krishnan, Majinahanashi’nin orta seviye bir fidye ailesi olduğunu, ağ kontrolü ve girdi/çıktı önceliklendirmesi gibi alanlarda ilginç teknik seçimler yaptığını, ancak son derece gelişmiş anti-analiz yöntemleri ya da özgün kriptografi kullanmadığını söyledi. Krishnan’a göre yapı, klasik çift şantajı daha dikkatle mühendislik edilmiş ve performans odaklı bazı modern tekniklerle birleştiriyor.
Check Point’in State of Ransomware Q2 2026 raporunda, veri sızıntı sitelerinde listelenen kuruluş sayısının 2.139’a çıktığı yer aldı. İlk 10 grubun toplam payı bir önceki çeyrekte yüzde 71 iken yüzde 57,6’ya geriledi. Buna karşın aktif grup sayısı 71’den 93’e yükseldi. Bu tablo, pazarın giderek daha parçalı bir yapıya dönüştüğünü gösteriyor.
CYFIRMA da geçen ay yayımladığı değerlendirmede, modern fidye kampanyalarının giderek şifreleme sonrası şantajdan önce konumlanmış erişim operasyonlarına kaydığını bildirdi. Kurumlar, kimlik bilgisi toplama, keşif, yetki yükseltme ve ortam hazırlığına daha fazla odaklanıyor. Aynı raporda, fidye gruplarının işbirliği platformlarını, meşru bulut servislerini, imzalı ikili dosyaları ve uzaktan yönetim araçlarını kötüye kullanarak saldırı trafiğini normal kurumsal kullanımın arasına gizlediği aktarıldı.
Temmuz 2026 boyunca toplam 873 fidye kurbanı duyuruldu. Bu sayı bir önceki ay 722 idi. Yıl içinde tek bir ayda kaydedilen en yüksek rakam ise Mart 2026’daki 909 vaka oldu. En aktif gruplar arasında The Gentlemen, Qilin ve CRPx0 yer aldı; bu gruplar sırasıyla 138, 133 ve 46 kurban açıkladı.
CRPx0’ın başlangıçta bir RaaS operasyonu olduğu düşünülse de, grubun daha önce OnlyFans hesapları vaat eden oltalama tuzakları üzerinden dağıtılan bir locker ile ilişkilendirilmesi bu tabloyu değiştirdi. Bitdefender’a göre grubun en dikkat çekici yanı, white-label operasyonlara ısrarla destek vermesi. CRPx0, RaaS alıcılarına fidye kampanyalarını kendi adlarıyla yönetebilecekleri kaynaklar sunuyor ve yüzde 100 kâr paylaşımı modeli pazarlıyor; yani alıcıların tüm geliri kendilerinde tutmasına izin veriyor.
Bitdefender, grubun aynı anda Hacking-as-a-Service programını da pazarladığını belirtti. Bu programın içinde veri ihlali, ağ ihlali ve işletmeleri bozmayı amaçlayan başka hizmetler yer alıyor. Grup ayrıca sahte CAPTCHA sayfalarına gömülü ClickFix komutları kullanıyor ve klipper yüküyle kripto para hırsızlığı yapıyor.
Buna karşılık Akira, Temmuz 2026’da yalnızca 22 kurban açıkladı; buna rağmen tespit edilmemek için savunma kaçınma taktiklerini sürdürüyor. Huntress’in yakın tarihli bir olayda aktardığına göre Akira affiliate’ı, SonicWall VPN üzerinden ilk erişimi elde ettikten sonra güvenlik araçlarını devre dışı bırakmak için kurban sistemini Ağ Destekli Güvenli Mod’a yeniden başlattı.
Güvenlik araştırmacısı James Northey, bu olayda Güvenli Mod’un fidye yazılımını da bozduğunu söyledi. Daha sade bellek ortamında çalışan Akira süreç ağacı, başlatıldıktan saniyeler sonra sanal bellek yetersizliği hatasına düştü. Anti-EDR girişimi geri tepti ve şifreleme gerçekleşmedi, ancak saldırgan kimlik bilgilerini ve dosya paylaşımlarını çoktan dışarı çıkarmıştı. Northey’ye göre şifreleme olmasa bile saldırgan, sızdırılan bilgilerle tehdit ederek şantaj yapabiliyor.
Veeam’e ait Coveware’in Q2 2026 analizinde de ortalama fidye ödemesinin çeyrekten çeyreğe yüzde 176 artarak 680.081 dolardan 1.880.612 dolara çıktığı, buna karşılık medyan ödemenin yüzde 50 düşerek 150 bin dolara indiği belirtildi. Coveware, bu geniş farkın temel olarak veri sızdırma içeren, geleneksel şifreleme vakalarından ayrışan birkaç yüksek tutarlı ödeme nedeniyle oluştuğunu söyledi. Şirket, artışın başlıca nedenlerinden birinin hukuk firmalarını hedef alan Silent Ransom, diğer adıyla Luna Moth kampanyası olduğunu aktardı.