Fidye yazılımı saldırısına uğradınız: ilk 24 saatte ne yapmalı?

Fidye yazılımı, bilgisayardaki dosyaları şifreleyip açılmasını engelleyen ve karşılığında ödeme isteyen bir zararlı yazılım türüdür. Küçük işletmelerde en sık görülen senaryo şudur: sabah gelinir, muhasebe programı açılmaz, dosya adlarının değiştiği fark edilir ve masaüstünde bir ödeme notu bulunur.

Bu noktada atılan ilk adımlar, verinin geri gelip gelmeyeceğini büyük ölçüde belirler. Aşağıdaki sıra, panik hâlinde yapılan ve durumu kötüleştiren müdahaleleri önlemek için hazırlandı.

İlk saatte yapılacaklar

1. 1Etkilenen makineyi ağdan ayırın. Ağ kablosunu çekin, Wi-Fi’yi kapatın. Fidye yazılımları ağdaki diğer bilgisayarlara ve sunucuya yayılır; yayılmayı durdurmak ilk önceliktir.
2. 2Bilgisayarı kapatmayın, uyku moduna almayın. Bazı türlerde şifreleme anahtarı bellekte bulunabilir; makineyi kapatmak bu ihtimali ortadan kaldırır.
3. 3Yedekleme diskini takmayın. Takılı bir harici disk varsa çıkarın. En sık yapılan hata, kurtarmak için yedeği bağlayıp onun da şifrelenmesidir.
4. 4Diğer bilgisayarları ve sunucuyu kontrol edin. Aynı ağdaki paylaşılan klasörlere bakın; tek makineyle sınırlı mı yoksa yayılmış mı, bunu bilmeniz gerekir.
5. 5Ekran görüntüsü alın. Fidye notunun ve şifrelenmiş dosya uzantısının fotoğrafını çekin; zararlının türünü belirlemede işe yarar.
6. 6Uzman desteği alın. Bu aşamadan sonrası deneme yanılmayla ilerlenecek bir süreç değildir.

Fidye ödenmeli mi?

Ödeme önerilmez ve bunun duygusal değil pratik gerekçeleri vardır. Ödeme yapan işletmelerin bir kısmı çalışan bir çözüm anahtarı hiç alamaz; alanların bir kısmında da anahtar dosyaların yalnızca bir bölümünü açar. Ayrıca ödeme yapan işletme, ödeme yapmaya yatkın hedef olarak işaretlenir ve tekrar hedef alınma ihtimali artar. Öncelik her zaman yedekten dönüştür.

Yedeğim yoksa veri kurtarılabilir mi?

Dürüst cevap: bazen. Şifrelenmiş dosyaların şifresini kırmak pratikte mümkün değildir. Ancak bazı fidye yazılımı türlerinde şifreleme sırasında orijinal dosyanın silinmiş kopyası diskte kalır ve bu kopyalar kurtarılabilir. Ayrıca gölge kopyalar veya kısmen etkilenmemiş bölümler bulunabilir. Bu ihtimalin korunması için diskin üzerine yeni veri yazılmaması kritiktir — bu yüzden makineyi kullanmayı hemen bırakmak gerekir.

Asıl mesele: bu duruma hiç düşmemek

Fidye yazılımına karşı tek gerçek güvence, test edilmiş bir yedektir. Yedekleme konusunda yaygın kabul gören yaklaşım 3-2-1 kuralıdır ve mantığı basittir.

• 3 kopya: Verinin aslı ve en az iki yedeği bulunsun.
• 2 farklı ortam: Yedekler tek tip ortamda durmasın (örneğin bir harici disk, bir bulut).
• 1 kopya dışarıda ve bağlantısız: En az bir yedek fiziksel olarak ayrı yerde ve sürekli bağlı olmasın.

Son madde, fidye yazılımı özelinde en kritik olanıdır. Sürekli bağlı duran bir yedek diski, saldırı anında ana veriyle birlikte şifrelenir; yani yedeğiniz varmış gibi görünürken aslında yoktur. Bağlantısız veya sürüm geçmişi tutan bir yedek bu riski ortadan kaldırır.

Önleyici tarafta ne yapılmalı?

• Uç nokta güvenlik yazılımını merkezî olarak yönetin; her makinenin korumalı olduğunu tek ekrandan görün. ESET Silver Partner olarak bu kurulumu yapıyoruz.
• İşletim sistemi ve uygulama güncellemelerini erteleyip biriktirmeyin.
• Kullanıcıları yönetici yetkisiyle çalıştırmayın; günlük kullanım standart hesapla yapılsın.
• Sunucuya dışarıdan uzak masaüstü erişimini açıkta bırakmayın; VPN arkasına alın.
• Personele e-posta ekleri konusunda kısa bir farkındalık eğitimi verin — bulaşmaların büyük kısmı buradan başlar.
• Yedeklemeyi otomatik hâle getirin ve bildirimleri birinin gerçekten okuduğundan emin olun.

Sisteminizde bu maddelerin hangilerinin eksik olduğundan emin değilseniz yerinde bakalım. Veri kurtarma, gerekmemesi için çalıştığımız bir hizmettir.