L Group Ransomware Grubu Kimdir?
L Group, kurbanlarını kendi sızıntı sitesinde ilan eden ve kamuoyunda hakkında çok az teknik bilgi bulunan bir fidye yazılımı (ransomware) grubudur. Araştırmacı kayıtlarına göre grup ilk kez 17 Şubat 2025 tarihinde görülmüştür. DrDisk Lab izleme verisindeki ilk kayıt da aynı güne denk geliyor. Dolayısıyla grubun ortaya çıkışı ile izleme kapsamımızın başlangıcı arasında boşluk yoktur.
Grubun nasıl bir model işlettiği kamuya açık kaynaklarda doğrulanmış değildir. Grubun RaaS (Ransomware-as-a-Service) modeliyle çalıştığını gösteren bir bulgu yok. Bu modelde yazılımı geliştiren çekirdek ekip, saldırıları yürüten iş ortaklarına (affiliate) altyapı kiralar ve fidyeden pay alır. Kapalı bir ekip olarak çalıştığını gösteren bir bulgu da yok. Bilinen bir üst grubu, kardeş markası ya da isim değişikliği geçmişi de kayıtlarda yer almıyor. Bu belirsizlik, aşağıda ele alınan J grubuyla olan yüksek kurban örtüşmesini daha da önemli kılıyor. L Group'u anlamak için elimizdeki en güçlü ipucu teknik iz değil, ilan davranışıdır.
Saldırı Hacmi ve Zaman İçindeki Seyir
İzleme verimizde L Group'a ait toplam 28 kurban ilanı bulunuyor. Aktif yıllar 2025 ile 2026 olarak görünse de aylık dağılım dikkat çekici bir tablo ortaya koyuyor: 28 ilanın tamamı Ağustos 2026'da kaydedilmiş.
| Gösterge | Değer |
|---|---|
| Araştırmacı kaydına göre ilk görülme | 17 Şubat 2025 |
| İzleme verimizdeki ilk kayıt | 17 Şubat 2025 |
| Ağustos 2026'da kaydedilen ilan | 28 |
| İzleme verimizdeki son ilan | 23 Ağustos 2026 |
| Araştırmacı kaydına göre son görülme | 22 Ağustos 2026 |
| Toplam kurban ilanı | 28 |
Grubun ilk kez Şubat 2025'te görülmesi ile ilanların tümünün Ağustos 2026'da yoğunlaşması arasındaki fark, iki olasılığa işaret ediyor. Birincisi, grup uzun süre görünür bir ilan faaliyeti yürütmemiş ve kurban listesini kısa bir dönemde toplu olarak yayımlamış olabilir. İkincisi, sızıntı sitesindeki önceki ilanlar kaldırılmış ya da izleme kapsamına girmemiş olabilir. Son kurban kayıtları birinci olasılığı destekliyor: listelenen son sekiz ilanın altısı aynı gün, 7 Ağustos 2026'da yayımlanmış. Tek günde bu kadar ilan yayımlanması, saldırıların o gün gerçekleştiği anlamına gelmez. Daha çok birikmiş kurban verisinin tek seferde sahaya sürüldüğünü gösterir.
Bu durumun pratik sonucu şudur: Sızıntı sitesindeki ilan tarihi, gerçek saldırı tarihinden haftalar hatta aylar sonra olabilir. L Group'un listesinde adı geçen bir kuruluşta saldırı çok daha önce gerçekleşmiş olabilir. Bu da log saklama sürelerinin olay incelemesi için yeterli olup olmadığını doğrudan etkiler.
Hedef Profili: Sektörler ve Ülkeler
Sektör dağılımı
| Sektör | Kurban ilanı |
|---|---|
| Hizmet | 6 |
| Perakende | 6 |
| Teknoloji | 3 |
| Gıda | 2 |
| Eğitim | 2 |
| Üretim | 2 |
| Enerji | 1 |
| Kamu | 1 |
Hizmet ve perakende 6'şar kayıtla ilk iki sırayı paylaşıyor. Teknoloji 3 kayıtla bu iki sektörün yarısında kalıyor. Kayıtların bir kısmı ise sektörü belirlenemeyen ya da "diğer" olarak sınıflanan kuruluşlara ait. Dağılım belirli bir sektörde uzmanlaşmayı değil, geniş ve fırsatçı bir hedeflemeyi gösteriyor. Hizmet ve perakende kuruluşları genellikle orta ölçekli olur, BT ekipleri dardır ve müşteri verisi taşırlar. Bu kuruluşlar, sızdırılan veri üzerinden baskı kurmaya dayalı bir gasp modeli için elverişli hedeflerdir.
Kamu ve enerji sektörlerinin listede birer kayıtla yer alması da önemli. Bu kayıtlar sayıca küçük olsa da grubun kritik altyapı ya da devlet kurumlarını hedef dışında tutan bir kuralı olmadığını gösteriyor. Kamu kaydı Arjantin'de bir yerel yönetim kurumuna ait.
Ülke dağılımı
| Ülke | Kurban ilanı |
|---|---|
| ABD | 9 |
| Arjantin | 2 |
| Avustralya | 2 |
| Brezilya | 2 |
| Kanada | 2 |
| Almanya | 2 |
| Çin | 1 |
| Fransa | 1 |
| Macaristan | 1 |
| Hindistan | 1 |
ABD 9 kayıtla açık ara ilk sırada. Ondan sonra gelen ülkelerin hiçbiri 2 kaydı aşmıyor. Tablodaki ülkelere ek olarak son kurbanlar arasında Lüksemburg ve Vietnam da yer alıyor. ABD'deki yoğunlaşma fidye yazılımı ekosisteminin genelinde görülen bir eğilimdir. L Group'u ayırt eden asıl özellik, kalan kayıtların beş kıtaya yayılmış olması: Latin Amerika, Avrupa, Asya-Pasifik ve Kuzey Amerika aynı listede yer alıyor. Bu kadar dağınık bir coğrafya, hedeflerin bölgesel bir plana göre değil, erişim fırsatına göre seçildiğini düşündürüyor. İnternete açık zafiyetli sistemlerin taranması ya da ilk erişim aracılarından (IAB) erişim satın alınması bu tür dağılımlar üretir. İlk erişim aracıları, ele geçirdikleri ağ erişimlerini başka saldırganlara satan aktörlerdir.
İzleme verimizde L Group'a ait Türkiye kaynaklı bir kurban ilanı bulunmuyor. Ancak hedeflemenin coğrafi değil fırsatçı olduğu değerlendirildiğinden, bu durum Türk kuruluşları için bir güvence olarak okunmamalıdır.
Saldırı Yöntemi Hakkında Bilinenler
L Group'a ait taktik, teknik ve prosedür (TTP), istismar edilen açık (CVE), kullanılan araç ya da YARA kuralı bilgisi profil kayıtlarımızda bulunmuyor. Kamuya açık teknik analiz de sınırlı. Bu nedenle grubun ilk erişimi nasıl sağladığı, ağ içinde nasıl yayıldığı ve şifrelemeyi hangi aşamada devreye aldığı konusunda doğrulanmış bir anlatı sunmak mümkün değil.
Bu boşluk savunma tarafı için somut bir anlam taşıyor. İmza tabanlı tespitlerin dayanacağı bilinen bir dosya özeti ya da gösterge yok. Dolayısıyla erken uyarı, grubun kendisine özgü izlerden değil, saldırı zincirinin genel davranışlarından gelmek zorunda. Bu davranışlar şunlardır: alışılmadık saatlerde uzaktan erişim, yetki yükseltme girişimleri, yedekleme sistemlerine erişim ve dışarıya yönelik olağandışı veri akışı. J grubuyla olan örtüşme (aşağıda ele alınıyor), L Group'un kendi saldırı altyapısını kullanmak yerine başka bir aktörün elde ettiği veriyi yayımlıyor olabileceği ihtimalini de gündeme getiriyor. Bu ihtimal doğruysa, L Group'a ait bir saldırı zinciri hiç gözlenmemiş de olabilir.
Gasp Modeli: Sızıntı Sitesi ve Baskı Kurma Biçimi
L Group, çifte gasp (double extortion) modeline uygun biçimde kurbanlarını bir sızıntı sitesinde (Data Leak Site, DLS) ilan ediyor. Çifte gasp, dosyaları şifrelemenin yanında çalınan veriyi yayımlama tehdidiyle de baskı kurmaktır. Sızıntı sitesi ise bu tehdidin uygulandığı, kurban adlarının ve sızdırılan verilerin yayımlandığı sitedir. İzleme verimizde gruba ait bir sızıntı sitesi kayıtlı. 21 Ekim 2026 itibarıyla bu site erişilebilir durumda değildi. Son ilanın 23 Ağustos 2026 tarihli olduğu düşünüldüğünde, site yaklaşık iki aydır yeni ilan yayımlamamış ve erişilemez durumdaydı. Bu tablo grubun faaliyetine ara verdiğine, altyapısını değiştirdiğine ya da başka bir isim altında devam ettiğine işaret edebilir. Mevcut veriyle bu seçenekler arasında ayrım yapılamıyor.
Müzakere kaydı, fidye talep tutarı, ödeme davranışı ya da fidye notu örneği verimizde bulunmuyor. Bu nedenle grubun hangi fidye aralığında çalıştığı ya da pazarlıkta nasıl davrandığı hakkında yorum yapılamıyor. Ancak tek günde toplu ilan yapılması, ilanın kişiye özel bir baskı aracından çok vitrin işlevi gördüğünü düşündürüyor. Bu, gruba görünürlük ve güvenilirlik kazandırmaya yönelik bir hamle olarak değerlendirilmektedir.
Diğer Gruplarla İlişki: J Grubuyla Yüksek Örtüşme
L Group'un ilişki verisindeki en çarpıcı bulgu, J grubuyla paylaşılan kurbanlar. İki grup 18 ortak kuruluşu ayrı ayrı ilan etmiş. Bu, L Group'un toplam 28 ilanının yarıdan fazlası anlamına geliyor. Mükerrer kayıt sayısı sıfır. Yani örtüşme veri tekrarından değil, iki ayrı grubun aynı kuruluşları kendi sitelerinde ilan etmesinden kaynaklanıyor.
| Paylaşılan kurban ilişkisi | Ortak kuruluş | Mükerrer kayıt |
|---|---|---|
| J | 18 | 0 |
Bu ölçekte bir örtüşme fidye yazılımı ekosisteminde genellikle üç senaryodan biriyle açıklanır:
- Yeniden markalama: Aynı operatörlerin yeni bir isim altında eski kurban listesini yeniden yayımlaması. İki grubun da tek harfli benzer isimler kullanması bu senaryoyu akla getiriyor, ancak bu yalnızca bir değerlendirmedir.
- İş ortağı göçü: Bir iş ortağının elindeki çalıntı veriyi yeni çalıştığı grubun sitesine taşıması.
- Veri geri dönüşümü: Daha önce sızdırılmış verinin başka bir aktör tarafından yeniden ilan edilerek ikinci kez paraya çevrilmeye çalışılması.
Hangi senaryonun geçerli olduğu mevcut veriyle kesinleştirilemiyor. Ancak üç senaryonun da kurbanlar açısından ortak bir sonucu var: Tek bir veri sızıntısı birden fazla grubun gasp aracına dönüşebiliyor. Bir grupla anlaşmak ya da ödeme yapmak, verinin başka bir sitede yeniden ortaya çıkmayacağını garanti etmiyor.
Benzer hedef profiline sahip gruplar
| Grup | Hedef benzerliği | Toplam saldırı |
|---|---|---|
| AiLock | %86 | 51 |
| M3rx | %84 | 45 |
| Settra | %83 | 93 |
| Global Secret Group | %82 | 52 |
| Fulcrumsec | %80 | 28 |
Benzerlik oranlarının hepsi %80'in üzerinde ve birbirine yakın. Bu, L Group'un sektör ve ülke dağılımının kendine özgü olmadığını, son dönemde ortaya çıkan küçük ve orta ölçekli grupların ortak fırsatçı profiline uyduğunu gösteriyor. Listedeki grupların hiçbiri L Group ile ortak kurban ilanı paylaşmıyor. Bu nedenle bu benzerlik operasyonel bir bağdan çok aynı hedef havuzundan beslenmeye işaret ediyor. Bu açıdan J ile olan ilişki niteliksel olarak farklı: Hedef profilinin benzemesi değil, doğrudan aynı kurbanların ilan edilmesi söz konusu.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
L Group'un verisinde Türkiye kaydı yok. Ancak grubun profili Türkiye'deki kurumsal yapının önemli bir kısmıyla örtüşüyor: hizmet ve perakende ağırlıklı, orta ölçekli, coğrafi tercihi belirsiz. Grubun teknik yöntemi bilinmediği için öneriler belirli bir açığa değil, giriş yolundan bağımsız olarak etkili olan kontrollere göre önceliklendirilmiştir:
- Değiştirilemez ve ağdan ayrık yedek. Saldırı zinciri bilinmediğinde en güvenilir son savunma hattı budur. Şifreleme ya da veri silme hangi yolla gelirse gelsin, kurtarma kapasitesini korur.
- Büyük hacimli dış veri aktarımının izlenmesi. L Group'un gasp gücü sızdırılan veriden geliyor. J örtüşmesi de aynı verinin birden fazla kez kullanılabildiğini gösteriyor. Verinin dışarı çıkışını erken fark etmek, hem gaspın hem de tekrar eden ilanların önüne geçmenin tek yoludur.
- Uzaktan erişimde çok faktörlü doğrulama. Geniş coğrafi dağılım, ele geçirilmiş ya da satın alınmış erişimlerin kullanıldığı fırsatçı bir modele işaret ediyor. Çalınmış bir parola, çok faktörlü doğrulama olmadan doğrudan bir giriş noktasına dönüşür.
- İnternete açık cihazlarda yama önceliği. VPN, güvenlik duvarı ve uzak masaüstü gibi dışa açık sistemler, tarama yoluyla hedef seçen aktörlerin ilk durağıdır.
- Ağ bölümlendirmesi. Perakende ve hizmet kuruluşlarında şube, ödeme ve merkez sistemlerinin ayrıştırılması, tek bir erişimin bütün ağa yayılmasını sınırlar.
- Log saklama süresinin gözden geçirilmesi. Toplu ilan davranışı, saldırı ile ilan arasında uzun bir süre geçebileceğini gösteriyor. Kayıtların bu süreyi kapsaması olay incelemesi için belirleyicidir.
Saldırıya uğrayan kuruluşlar için fidye ödemesi önerilmez. Ödeme, verinin silineceğini ya da başka bir grubun sitesinde yeniden ortaya çıkmayacağını garanti etmez. J ile olan örtüşme bu riskin teorik olmadığını gösteriyor. Kişisel veri etkilenmişse KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de değerlendirilmelidir. Olay sonrasında profesyonel bir olay müdahale ekibiyle çalışılmalıdır. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz sunmaktadır.
Sonuç
L Group'u değerlendirirken asıl soru, grubun kendi başına bir tehdit aktörü olup olmadığıdır. Teknik izlerin yokluğu, ilanların tek bir aya ve büyük ölçüde tek bir güne toplanması, kurbanlarının yarıdan fazlasının J grubunun listesinde de yer alması ve 21 Ekim 2026 itibarıyla sızıntı sitesinin erişilemez olması birlikte düşünüldüğünde, L Group'un özgün bir saldırı operasyonundan çok bir yeniden markalama ya da veri yeniden yayımlama girişimi olabileceği değerlendirilmektedir. Bu nedenle izlenmesi gereken bir sonraki gösterge, L Group'un sızıntı sitesinin yeniden açılıp açılmadığından çok, J grubunun ya da benzer tek harfli yeni markaların aynı kurban listesiyle yeniden ortaya çıkıp çıkmadığıdır.
