Booba Project Ransomware Grubu Kimdir?
Booba Project, 2026 yazında ortaya çıkan ve kısa sürede düzenli kurban ilanı yapmaya başlayan bir fidye yazılımı grubudur. Araştırmacı kayıtlarına göre grup ilk kez 24 Haziran 2026'da görüldü. DrDisk Lab'ın sızıntı sitesi izlemesindeki ilk kayıt da aynı tarihe ait. Bu nedenle elimizdeki veri, grubun kamuoyuna çıktığı günden itibaren kesintisiz bir kaydı yansıtıyor; izleme kapsamı sonradan başlamadığı için başlangıç dönemindeki faaliyet eksik kalmış değil.
Grubun kökeni, arkasındaki kişiler ya da daha önce başka bir isimle faaliyet gösterip göstermediği hakkında kamuoyunda doğrulanmış bir bilgi yok. Aynı belirsizlik iş modeli için de geçerli. Grubun RaaS (Ransomware-as-a-Service, yani yazılımın saldırıyı fiilen yürüten iş ortaklarına, diğer adıyla affiliate'lere kiralandığı hizmet modeli) olarak mı yoksa kapalı bir ekip olarak mı çalıştığını gösteren bir iş ortağı ilanı ya da sızıntı yoktur. Fidye notunda grup kendini "Booba team" olarak tanıtıyor ve "veri şifre çözme hizmetleri" sunan bir ekip gibi konumlanıyor. Bu ifade tek bir merkezden yönetilen bir yapıya işaret edebilir. Ancak tek başına bir kanıt değildir ve bu yorum bir değerlendirme olarak okunmalıdır.
Grubun önemi, genç olmasına rağmen hedef seçimindeki tutarlılıktan geliyor. Sağlık ve kamu kurumları, operasyonun ilk dört ayında belirgin bir öncelik olarak öne çıkıyor.
Saldırı Hacmi ve Seyri
DrDisk Lab izleme verisinde Booba Project'e ait toplam 37 saldırı kaydı bulunuyor. Kayıtların tamamı 2026 yılına ait. İlk kayıt 24 Haziran 2026, son kayıt ise 20 Ekim 2026 tarihlidir.
| Ay | Saldırı sayısı | Değerlendirme |
|---|---|---|
| Temmuz 2026 | 12 | İlk tam ayda yüksek hacim |
| Ağustos 2026 | 4 | Belirgin düşüş |
| Eylül 2026 | 8 | Toparlanma |
| Ekim 2026 | 13 | 20 Ekim 2026 itibarıyla en yüksek ay |
Bu seyirden üç sonuç çıkıyor:
- Açılıştaki yüksek hacim birikmiş kurbanlardan gelebilir. Temmuz 2026'daki 12 kayıt, sızıntı sitesi yayına girmeden önce ele geçirilen kurbanların toplu olarak yayımlanmasından kaynaklanmış olabilir. Yeni gruplarda sık görülen bu örüntünün burada da yaşandığı değerlendirilmektedir.
- Ekim 2026 en yüksek ay oldu. Ağustos'taki düşüşten sonra hacim yeniden arttı ve ayın 20'si itibarıyla Ekim, izleme dönemindeki en kalabalık ay haline geldi. Kurumlar bu değerlendirmeyi yaparken ayın son on gününün henüz veriye yansımadığını hesaba katmalı.
- İlanlar toplu yapılıyor. Son kurbanlar listesinde 20 Ekim 2026 tarihli altı kayıt var: üç sağlık kuruluşu, iki belediye ve bir üniversite araştırma vakfı. Tek günde yapılan toplu ilan, grubun kurbanları müzakere süresi dolduktan sonra gruplar halinde yayımladığına işaret ediyor. Kayıt tarihi saldırı tarihi değildir. Bu kurumlara yönelik saldırıların ilan tarihinden haftalar önce gerçekleşmiş olabileceği değerlendirilmektedir.
Hedef Profili: Sağlık, Kamu ve Hizmet
Sektörler
| Sektör | Saldırı sayısı |
|---|---|
| Sağlık | 10 |
| Hizmet | 7 |
| Kamu | 5 |
| Eğitim | 3 |
| Teknoloji | 3 |
| Üretim | 2 |
| Gıda | 1 |
| Finans | 1 |
Sektör tablosundaki kayıtların toplamı toplam saldırı sayısının altında kalıyor, çünkü bazı kurbanlar bir sektörle eşleştirilemedi. Sınıflandırılmış kayıtlarda sağlık açık farkla ilk sırada. Sağlık, kamu ve eğitim birlikte bu kayıtların yarısından fazlasını oluşturuyor. Bu üç sektörün ortak özellikleri şunlar:
- Hizmet kesintisine tahammülleri düşük.
- Hassas kişisel veri tutuyorlar: hasta kayıtları, vatandaş bilgileri, öğrenci ve araştırma verileri.
- BT bütçeleri ve ekipleri çoğu zaman sınırlı.
Son kurbanların ölçeği de dikkat çekiyor. Listede küçük ve orta ölçekli kurumların ağırlıkta olduğu görülüyor: aile hekimliği ve pediatri klinikleri, nöropsikiyatri merkezi, küçük belediyeler. Bu tablo, grubun büyük kurumsal hedefler yerine savunması görece zayıf, ama veri hassasiyeti yüksek kurumları tercih ettiği yönünde değerlendirilmektedir. Üretim ve finansın düşük payı da bu yorumu destekliyor. Grup, üretim hattını durdurarak baskı kuran bir model yerine kişisel verinin ifşa edilmesi tehdidine dayanıyor gibi görünüyor.
Ülkeler
| Ülke | Saldırı sayısı |
|---|---|
| ABD | 25 |
| İspanya | 2 |
| Rusya | 2 |
| Brezilya | 1 |
| Kanada | 1 |
| İsviçre | 1 |
| Birleşik Krallık | 1 |
| İtalya | 1 |
| Moldova | 1 |
| Meksika | 1 |
37 kaydın 25'i ABD'deki kurumlara ait. Bu yoğunlaşma, ABD sağlık sektöründeki veri ihlali bildirim rejiminin oluşturduğu baskıdan yararlanma stratejisiyle uyumlu. Kurban ilanı, kurumun düzenleyici ve hukuki riskini doğrudan artırıyor.
Daha alışılmadık olan, Rusya'da iki ve Moldova'da bir kurbanın bulunması. Rusça konuşulan ortamlardan çıkan pek çok grup, Bağımsız Devletler Topluluğu ülkelerini hedef dışı bırakan kurallar uygular. Booba Project'in bu ülkelerde de kurban ilan etmesi, grubun böyle bir kısıtlama uygulamadığına ya da farklı bir coğrafi kökene sahip olabileceğine işaret ediyor. Bu konu kesinlik taşımıyor ve yalnızca bir değerlendirme olarak aktarılmıştır.
Saldırı Yöntemi: Bilinenler ve Boşluklar
İzleme profilimizde Booba Project için henüz eşlenmiş bir taktik, istismar edilen bir açık (CVE), araç veya IOC kaydı yok. Grup için yazılmış bir YARA kuralı da bulunmuyor. Dört aylık bir grup için bu durum olağan sayılır. Yine de savunma tarafında önemli bir boşluk oluşturuyor: kurumlar bu gruba özgü teknik göstergelere dayanarak tespit kuramıyor ve genel davranış tabanlı kontrollere güvenmek zorunda kalıyor.
Teknik profil eksik olsa da fidye notu bir saldırı aşamasını açıkça doğruluyor. Grup, verileri "sistem kilitlenmeden önce" ağdan çıkardığını yazıyor. Bu ifade operasyonun sırasını gösteriyor:
- Ağa erişim sağlanıyor.
- Değerli veriler tespit edilip dışarı aktarılıyor.
- Şifreleme en son aşamada yapılıyor.
Savunma açısından bunun anlamı şu: veri sızdırma aşaması, şifreleme başlamadan önce müdahale edilebilecek son pencere.
İlk erişim yöntemi bilinmiyor. Hedef listesindeki küçük klinikler ve belediyeler, internete açık uzaktan erişim servisleri ve yaması geciktirilmiş uç cihazlar üzerinden ele geçirilen kurumların tipik profiline uyuyor. Erişimin doğrudan grup tarafından mı sağlandığı, yoksa ele geçirdiği ağ erişimlerini satan bir ilk erişim aracısından (IAB, Initial Access Broker) mı satın alındığı yönünde bir veri yok. Bu nedenle bu konudaki her yorum değerlendirme düzeyinde kalıyor.
Gasp Modeli ve Fidye Notu
Booba Project çifte gasp modeli uyguluyor. Çifte gasp, verilerin şifrelenmesinin yanı sıra çalınan verilerin yayımlanmasıyla da tehdit edilmesi anlamına geliyor. Kurbanlar, grubun sızıntı sitesinde (DLS, Data Leak Site, yani ödeme yapmayan kurbanların ve verilerinin yayımlandığı karanlık ağ sitesi) ilan ediliyor. Grubun izlenen üç sızıntı sitesinden ikisi 21 Ekim 2026 itibarıyla erişilebilir durumdaydı. Birden fazla adres kullanılması, kapatma girişimlerine ve kesintilere karşı yedeklilik sağlama amacı taşıyor olabilir.
Fidye notunun dili, grubun psikolojik stratejisini açık ediyor:
- Kurumsal hitap. Not "Dear Valued Partners" (Değerli Ortaklarımız) diye başlıyor ve grubu bir "hizmet sağlayıcı" olarak sunuyor. Bu dil, gaspı ticari bir işlem gibi göstererek kurbanın karar sürecini olağanlaştırmayı amaçlıyor.
- Güven vaadi. Grup, "anlaşmaya uygun olarak" çalışan bir şifre çözücü vereceğini ve ödeme öncesinde test imkânı sunacağını taahhüt ediyor. Bu vaat, ödemenin işe yaramayacağı endişesini gidermeye yönelik.
- "Silence Keepers" listesi. Not, kurbanı grubun blogundaki "Sessizliği Koruyanlar" listesine yönlendiriyor. Adlandırma, ödeme yapan ya da sessiz kalmayı seçen kurumları örnek gösteren bir sosyal kanıt ve baskı aracı olarak değerlendirilmektedir.
Veri bloğunda müzakere kaydı bulunmadığından talep edilen tutarlar, indirim davranışı veya ödeme oranları hakkında bir şey söylemek mümkün değil. Bir noktanın altı çizilmeli: şifre çözücü testi ve "anlaşma" vaadi, çalınan verinin silineceğine dair hiçbir güvence vermez. Ödeme, verinin başka bir yerde kullanılmayacağını garanti etmez. DrDisk Lab fidye ödenmesini önermez.
Diğer Gruplarla İlişki
| Grup | İlişki türü | Benzerlik / ortak kurban | Grubun toplam saldırısı |
|---|---|---|---|
| Insomnia | Ortak kurban ve hedef benzerliği | 1 ortak kurum; %94 benzerlik | 53 |
| Pear | Hedef benzerliği | %93 | 127 |
| Genesis | Hedef benzerliği | %93 | 121 |
| Termite | Hedef benzerliği | %92 | 81 |
| INC Ransom | Hedef benzerliği | %91 | 976 |
| Dunghill | Ortak kurban | 1 ortak kurum | — |
Tablodaki en dikkat çekici sinyal Insomnia. Hem bir ortak kurban paylaşılıyor hem de hedef profili en yüksek benzerliğe sahip. İki grubun aynı kurumu ilan etmesinin birkaç olası açıklaması var:
- aynı ilk erişimin farklı gruplara satılması,
- bir iş ortağının gruplar arasında geçiş yapması,
- verinin yeniden kullanılması.
Mükerrer kayıt sayısı sıfır. Yani iki grup aynı ilanı kopyalamamış, aynı kurumu ayrı ayrı ilan etmiş. Tek bir ortak kurban yeniden markalama sonucuna varmak için yeterli değil. Ancak Insomnia ile Booba Project arasında iş ortağı ya da erişim kaynağı paylaşımı olasılığının izlenmesi gerektiği değerlendirilmektedir.
Diğer benzerlikler daha temkinli yorumlanmalı. ABD sağlık ve kamu sektörüne yoğunlaşan çok sayıda grup, doğal olarak birbirine benzer hedef profilleri üretir. INC Ransom'ın 976 kayıtla bu listedeki en büyük grup olması, Booba Project'in kendi başına yeni bir hedef kitlesi açmadığını gösteriyor. Grup, olgun grupların uzun süredir işlediği bir alana giriyor. Bu tablo, deneyimli iş ortaklarının yeni bir markaya geçmiş olabileceği senaryosuyla uyumlu, fakat bunu kanıtlamıyor.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
21 Ekim 2026 itibarıyla izleme verimizde Türkiye'den bir Booba Project kurbanı bulunmuyor. Bu durum düşük öncelik anlamına gelmiyor. Grup ABD dışında İspanya, İtalya, İsviçre, Moldova ve Rusya gibi farklı ülkelerde de kurban ilan etti ve coğrafi bir kısıtlama uyguladığına dair işaret yok. Türkiye'deki özel hastaneler, poliklinikler, belediyeler ve eğitim kurumları, grubun tercih ettiği profile birebir uyuyor.
Önceliklendirilmiş kontroller ve veriyle bağlantıları:
| Öncelik | Kontrol | Neden bu grup için öncelikli |
|---|---|---|
| 1 | Büyük hacimli dış veri aktarımının izlenmesi ve uyarıya bağlanması | Fidye notu verinin şifrelemeden önce çıkarıldığını doğruluyor; bu, müdahale için en erken fırsat |
| 2 | Uzaktan erişimde çok faktörlü doğrulama | İlk erişim yöntemi bilinmiyor; küçük kurum profilindeki hedefler için en temel giriş noktası uzaktan erişim |
| 3 | İnternete açık cihazlarda yama önceliği | Gruba özgü bir CVE bilinmediği için tüm açık uç sistemlerin güncel tutulması gerekiyor |
| 4 | Değiştirilemez ve ağdan ayrık yedek | Sağlık ve kamu hizmetlerinin kesintiye toleransı düşük; hızlı geri dönüş fidye baskısını azaltır |
| 5 | Ağ bölümlendirmesi | Hasta ve vatandaş verisinin tutulduğu sistemlerin genel ağdan ayrılması, sızdırılabilecek veri hacmini sınırlar |
| 6 | Yasal bildirim ve olay müdahale planı | Hedef sektörler yoğun kişisel veri işliyor; ihlal anında bildirim süreleri kısa |
Saldırı gerçekleşirse bildirim yükümlülükleri ayrı bir başlık olarak ele alınmalı. Kişisel veri ihlalleri, KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirilmelidir. Siber olayların USOM'a bildirilmesi de bilgi paylaşımı ve koordinasyon açısından önemlidir. Saldırıya uğrayan kurumlar için profesyonel olay müdahalesi ve DrDisk Lab'ın ücretsiz ön analizi, kanıtların korunması ve kurtarma seçeneklerinin değerlendirilmesi için ilk adım olabilir.
Sonuç
Booba Project'te asıl dikkat edilmesi gereken nokta, hacim artarken teknik görünürlüğün sıfırda kalması. Grup ilk dört ayında belirgin bir sektör tercihi oluşturdu ve Ekim 2026'yı en yoğun ayı haline getirdi. Buna karşın ilk erişim yöntemi, araçları ve istismar ettiği açıklar hâlâ kamuya açık kayıtlarda yer almıyor. Bu dengesizlik, savunmanın gruba özgü göstergelere değil, verinin dışarı çıktığı aşamayı yakalayan davranış tabanlı kontrollere dayanması gerektiğini gösteriyor.
Önümüzdeki dönemde izlenecek iki gösterge şunlar:
- Insomnia ile örtüşmenin ortak kurbanlar üzerinden derinleşip derinleşmediği,
- grubun ABD dışındaki kurban sayısının artıp artmadığı.
İlki grubun soyağacına, ikincisi Türkiye gibi pazarlar için risk düzeyine dair en net sinyali verecek.
