REvil adlı fidye yazılımı grubunun önde gelen liderleri, Almanya’da 130’dan fazla kurumsal hedefe yönelik saldırıların sorumlusu olarak tespit edildi. Bu saldırılar, 2019 yılının ortalarından itibaren aktif hale gelen ve özellikle finans, sağlık ve üretim sektörlerini etkileyen karmaşık fidye yazılımı kampanyalarının parçası olarak kayda geçti.
Saldırı Zinciri ve Teknik Detaylar
Grubun temsilcilerinden biri olan UNKN takma adlı tehdit aktörü, Haziran 2019’da XSS siber suç forumunda REvil fidye yazılımını tanıtarak operasyonların başlangıcını duyurdu. Saldırılar genellikle kimlik avı e-postaları ve RDP (Remote Desktop Protocol) zafiyetleri üzerinden gerçekleştirildi. Ayrıca, CVE-2019-0708 gibi kritik uzaktan kod yürütme açıkları da istismar edildi.
Teknik olarak, saldırı zinciri şu adımlardan oluşuyor:
- Başlangıçta hedef sistemlere kimlik avı e-postaları veya zayıf RDP erişimleriyle sızma,
- Makro içeren kötü amaçlı dosyalarla zararlı yazılımın yüklenmesi,
- AsyncRAT ve MCP istemcisi gibi araçlarla komuta kontrol (C2) iletişiminin sağlanması,
- Veri şifreleme ve fidye notu bırakılması.
Hangi Sistemler Risk Altında?
Özellikle Almanya merkezli finans kurumları, sağlık kuruluşları ve üretim tesisleri hedef alındı. Bu sektörlerde kullanılan eski sistemler ve yetersiz ağ segmentasyonu, saldırıların başarı şansını artırdı. Ayrıca, bulut altyapılarında zayıf IAM (Identity and Access Management) politikaları da risk faktörü olarak öne çıktı.
Siber Güvenlik Ekipleri İçin Öneriler
Bu tür fidye yazılımı saldırılarına karşı kurumların aşağıdaki önlemleri alması kritik önem taşıyor:
- EDR (Endpoint Detection and Response) çözümlerini etkinleştirerek anormal davranışları tespit etmek,
- RDP erişimlerini sıfır güven (Zero Trust) prensipleriyle sınırlandırmak ve MFA (Multi-Factor Authentication) kullanmak,
- Phishing saldırılarına karşı gelişmiş e-posta güvenliği filtreleri uygulamak,
- Güncel yamaları düzenli olarak uygulamak ve CVE bazlı açıkları kapatmak,
- Ağ segmentasyonu ile kritik sistemlerin izole edilmesini sağlamak,
- SIEM (Security Information and Event Management) sistemleriyle logları merkezi olarak izlemek ve analiz etmek,
- Olay müdahale (incident response) planlarını güncel tutmak ve tatbikatlar yapmak.
Teknik Özet
- Kullanılan zararlılar: REvil fidye yazılımı, AsyncRAT, MCP istemcisi
- Hedef sektörler: Finans, sağlık, üretim
- Kullanılan zafiyetler: CVE-2019-0708 (BlueKeep) ve RDP zafiyetleri
- Saldırı zinciri: Phishing → Makro ile zararlı yükleme → C2 iletişimi → Veri şifreleme
- Temel savunma: Güncel yamalar, MFA, EDR, ağ segmentasyonu