AtomSilo Ransomware Grubu Kimdir?
AtomSilo (kaynaklarda "Atom Silo" olarak da geçer), 2021 yılında ortaya çıkan, kurumsal ağları hedef alan ve şifrelemeyle birlikte veri sızdırmaya dayanan "çifte gasp" modelini uygulayan bir fidye yazılımı grubudur. Grup kısa sürede dikkat çekmiş, ardından uzun süre neredeyse tamamen sessiz kalmıştır. Bu yüzden ransomware dünyasında "kısa ömürlü" gruplar arasında sayılır.
Araştırmacı kayıtlarına göre grubun sızıntı sitesindeki ilk kayıt 21 Aralık 2021 tarihlidir. DrDisk Lab izleme verisindeki ilk kayıt da aynı güne denk gelir. Kamuya açık güvenlik araştırmaları ise grubun bu tarihten birkaç ay önce, 2021 sonbaharında saldırı raporlarına girdiğini gösterir. Sızıntı sitesine ilk gün toplu halde eklenen kayıtlar da sitenin izlemeye alınmadan önce zaten kurban yayımladığına işaret eder.
Grubun kendi dışındaki saldırganlara açık, ilan edilmiş bir iş ortaklığı (RaaS) programı yürüttüğüne dair güçlü bir kamuya açık kanıt yoktur. Saldırıların sayıca az olması ve operasyonların benzer bir düzen izlemesi, AtomSilo'nun küçük ve kapalı bir ekip tarafından yönetildiğini düşündürmektedir. Bu bir değerlendirmedir. DrDisk Lab verisinde gruba ait bir üst grup (parent) ya da kardeş grup (sibling) kaydı bulunmuyor. Bu nedenle soyağacına dair doğrulanmış bir bağ kurulamıyor.
Grubun bilinen en dikkat çekici yönü teknik tarafta görülmüştür. 2021 yılı sonunda bir güvenlik firması, AtomSilo'nun şifreleme uygulamasındaki bir zaafiyeti kullanarak grubun o dönemdeki sürümüne karşı ücretsiz bir şifre çözücü yayımlamıştır. Bu gelişmenin grubun faaliyetlerini sekteye uğrattığı değerlendirilmektedir.
Saldırı Hacmi ve Zaman İçindeki Seyri
DrDisk Lab izleme verisine göre AtomSilo'nun sızıntı sitesinde ilan ettiği toplam kurban sayısı 5'tir. Grubun aktif olduğu yıllar 2021 ile 2026 arasında görünse de bu aralık kesintisiz bir faaliyete karşılık gelmez. Kayıtlar iki ayrı noktada toplanır:
| Dönem | İlan edilen kurban sayısı | Not |
|---|---|---|
| 2021 | 4 | Tamamı 21 Aralık 2021'de kayda geçti |
| 2022 – 2025 | 0 | Yaklaşık dört yıllık sessizlik |
| 2026 | 1 | 24 Şubat 2026'da yeni kayıt |
| Toplam | 5 |
Son on iki aylık seyir de bu tabloyla örtüşüyor:
| Ay aralığı | İlan edilen kurban sayısı |
|---|---|
| Mart 2025 – Ocak 2026 | 0 |
| Şubat 2026 | 1 |
| Mart 2026 sonrası (izleme verisinin hazırlandığı tarihe kadar) | Yeni kayıt yok |
İzleme verisinde grubun son görüldüğü tarih 24 Şubat 2026'dır. Bu tarihte sızıntı sitesine adı verilmeden yalnızca "Asya'da büyük bir banka" olarak tanımlanan bir kurban eklenmiştir. Dört yıllık sessizliğin ardından gelen bu tekil kayıt birkaç şekilde yorumlanabilir:
- Grubun ya da çekirdek kadrosunun düşük yoğunlukla da olsa yeniden faaliyete geçmiş olması.
- Sızıntı sitesinin ya da marka adının başka bir aktör tarafından devralınmış veya yeniden kullanılmış olması.
- Kurban adının verilmemesinin, müzakere sürecinde baskı kurmak için bilinçli olarak seçilmiş bir "ön ilan" taktiği olması.
Eldeki tek kayıtla bu seçeneklerden birini kesin olarak doğrulamak mümkün değildir. Yine de 14 Ekim 2026 itibarıyla grubun sızıntı sitesinin erişilebilir olması, altyapının terk edilmediğini gösteriyordu. 14 Ekim 2026 itibarıyla izleme verisinde kayıtlı 1 sızıntı sitesinin 1'i erişilebilir durumdaydı.
Hedef Profili: Sektörler ve Ülkeler
Kurban sayısı az olduğu için AtomSilo'nun hedef profilinden istatistiksel bir eğilim çıkarmak doğru olmaz. Veri, daha çok grubun hangi tür kuruluşlara ulaşabildiğine dair bir fikir veriyor.
| Sektör | İlan edilen kurban sayısı |
|---|---|
| Finans | 1 |
| Gıda | 1 |
| Sınıflandırılmamış | 3 |
| Toplam | 5 |
Bazı ayrıntıları not etmek gerekiyor. Verimizde "Gıda" sektörüne atanan Cristália kaydının adı ilaç sanayisine işaret ediyor. Sektör sınıflandırmasının bu kayıtta yeniden gözden geçirilmesi gerekebilir. 2021'de ilan edilen diğer kurbanlar arasında Eisai Co., Ltd., LIGHT CONVERSION ve Tegravendas yer alıyor. Bu isimler ilaç, ileri teknoloji üretimi ve ticaret gibi farklı alanlara yayılan bir tabloya işaret ediyor. 2026'daki tek kayıt ise finans sektöründen.
Bu dağılım, grubun belirli bir sektöre odaklanmaktan çok fırsatçı davrandığını düşündürüyor. Saldırganlar sektöre göre değil, internete açık ve açığı kapatılmamış sistemlere göre hedef seçiyor olabilir. Bu bir değerlendirmedir. İlaç ve üretim gibi fikri mülkiyet değeri yüksek alanların listede yer alması da çifte gasp modeliyle uyumludur. Çalınan araştırma ve üretim verisi, şifrelemeden bağımsız olarak güçlü bir baskı aracına dönüşür.
İzleme verisindeki kayıtlarda ülke bilgisi bulunmadığı için ülke dağılımı tablosu verilmemiştir. 2026 kaydında yalnızca "Asya" ifadesi geçiyor.
Saldırı Yöntemi: Ağa Nasıl Giriyor, Nasıl İlerliyor?
AtomSilo'nun yöntemine dair en ayrıntılı kamuya açık bilgiler, 2021'de yayımlanan olay müdahale raporlarından gelir. Bu raporlarda öne çıkan akış, insan eliyle yürütülen (human-operated) klasik bir fidye yazılımı operasyonudur:
İlk erişim. Grup, internete açık kurumsal uygulamalardaki kritik açıkları istismar ederek içeri girmiştir. Kamuya açık raporlarda özellikle Atlassian Confluence sunucularındaki, kimlik doğrulama gerektirmeden uzaktan kod çalıştırmaya imkân veren bir açığın kullanıldığı aktarılmıştır. Bu açığın yaması yayımlanmış olmasına rağmen güncellenmemiş sunucular, saldırganlar için doğrudan bir kapı işlevi görmüştür. Buradaki ders gruptan bağımsızdır. Kritik bir açık kamuoyuna duyurulduğu anda, yamanın uygulanması ile istismar girişimlerinin başlaması arasındaki süre çoğu zaman günlerle ölçülür.
Kalıcılık ve gizlenme. İlk erişimden sonra saldırganlar sunucuya web shell benzeri arka kapılar yerleştirmiş ve meşru yazılımların arkasına gizlenerek (DLL side-loading olarak bilinen teknik) kalıcılık sağlamıştır. Kötü amaçlı kodun güvenilir bir uygulamanın parçası gibi çalışması, klasik antivirüs yaklaşımlarıyla tespiti zorlaştırır.
Yayılma. Saldırganlar ele geçirdikleri kimlik bilgileriyle ağ içinde yatay hareket etmiş, uzak masaüstü gibi meşru yönetim kanallarını kullanarak kritik sunuculara ulaşmıştır. Bu aşamada kullanılan araçların büyük bölümü kurumun kendi yönetim araçları olduğu için, anormal davranış izlenmiyorsa hareketin fark edilmesi zordur.
Veri sızdırma ve şifreleme. Şifrelemeden önce hassas veriler dışarı çıkarılır. Ardından fidye yazılımı ağ genelinde çalıştırılarak sistemler kullanılamaz hale getirilir. Bu sıralama, kurum yedeklerden geri dönse bile verinin yayımlanması tehdidinin masada kalmasını sağlar.
Tüm bu sürecin önemli bir noktası var: İlk erişimden şifrelemeye kadar geçen sürede saldırgan ağın içinde, görece sessiz biçimde dolaşır. Bu süre, iyi kurgulanmış bir izleme altyapısı için saldırıyı şifreleme gerçekleşmeden durdurma fırsatıdır.
DrDisk Lab profil verisinde bu grup için güncel bir TTP, açık veya araç kaydı bulunmuyor. Dolayısıyla 2026 kaydının arkasında aynı yöntemlerin kullanılıp kullanılmadığı bilinmiyor.
Gasp Modeli: Sızıntı Sitesi ve Baskı Taktikleri
AtomSilo çifte gasp modelini uygular. Şifrelenen sistemler için fidye talep edilir, ödeme yapılmazsa çalınan verilerin grubun sızıntı sitesinde yayımlanacağı tehdidi devreye girer. Kurban adları sızıntı sitesinde listelenir ve ödeme sağlanamadığında veriler kademeli olarak ya da toplu halde paylaşılır.
2026 kaydında kurumun adı verilmeden "Asya'da büyük bir banka" ifadesi kullanılması dikkat çekici. Bu tür anonim ilanlar genellikle kuruma "adınız bir sonraki adımda açıklanacak" mesajını vermek için kullanılır. Müzakere masasındaki baskıyı artırmayı amaçlayan bir taktik olduğu değerlendirilmektedir.
Bu grup için DrDisk Lab verisinde müzakere kaydı, fidye talep tutarı ya da fidye notu örneği bulunmuyor. Bu nedenle talep büyüklüğü ve ödeme davranışı hakkında bir değerlendirme yapılmamıştır.
Fidye ödemenin verinin silineceğini, yayımlanmayacağını ya da şifre çözücünün eksiksiz çalışacağını garanti etmediğini hatırlatmak gerekir. Ödeme, aynı kuruluşun tekrar hedef alınma ihtimalini de artırabilir. DrDisk Lab fidye ödenmesini önermez.
Diğer Gruplarla İlişki
DrDisk Lab izleme verisinde AtomSilo ile ortak kurban ilan eden bir grup ya da benzer hedef profiline sahip olarak eşleşen bir grup kaydı yok. Kurban sayısının çok düşük olması ve kayıtlarda ülke bilgisinin bulunmaması, bu tür bir eşleştirmenin anlamlı sonuç vermesini de zorlaştırıyor.
Bu boşluğun yeniden markalama ve iş ortağı göçü açısından yorumu şöyle:
- Fidye yazılımı ekosisteminde kısa süre aktif olup kaybolan grupların kadrosu çoğu zaman başka bir isim altında yeniden ortaya çıkar. AtomSilo için bu tür bir geçiş, izleme verimizde ortak kurban veya örtüşen hedef üzerinden doğrulanamıyor.
- 2026'daki tekil kayıt, markanın yeniden canlandırıldığına mı yoksa başka bir aktör tarafından kullanıldığına mı işaret ettiği netleşene kadar dikkatle izlenmesi gereken bir sinyaldir.
- Kamuya açık araştırmalarda AtomSilo'nun kod ve operasyon özellikleri açısından aynı dönemde aktif olan başka fidye yazılımlarıyla benzerlikler taşıdığı belirtilmiştir. Ancak bu benzerliklerin organizasyonel bir bağa işaret edip etmediği doğrulanmamıştır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizdeki kayıtlarda ülke bilgisi yok ve ilan edilen kurbanlar arasında Türkiye'den bir kuruluş tespit edilmiyor. Buna rağmen AtomSilo'nun izlediği yol, Türkiye'deki kuruluşlar için doğrudan geçerli dersler içeriyor. Grubun fırsatçı hedefleme yaptığı değerlendirildiği için, bir kuruluşun hedef olup olmayacağını coğrafyadan çok internete açık sistemlerinin güncelliği belirliyor. İlaç, üretim ve finans gibi sektörlerde faaliyet gösteren, fikri mülkiyeti ya da müşteri verisi yoğun kuruluşlar çifte gasp açısından özellikle cazip hedeflerdir.
Genel düzeyde öne çıkan önlemler:
- İnternete açık tüm uygulamaların (iş birliği platformları, VPN, uzak erişim ve e-posta sunucuları) envanterini tutun ve kritik güvenlik güncellemelerini öncelikli olarak uygulayın.
- Uzak erişim kanallarını çok faktörlü kimlik doğrulama ile koruyun ve gerekmeyen erişimleri kapatın.
- Yönetici hesaplarının kullanımını sınırlayın ve ağ içindeki olağandışı hesap hareketlerini izleyin.
- Yedekleri ağdan yalıtılmış ve değiştirilemez biçimde saklayın, geri dönüş sürecini düzenli olarak test edin.
- Ağdan dışarı doğru giden olağandışı veri trafiğini izleyin. Sızdırma aşamasında yakalanan bir saldırı, şifreleme gerçekleşmeden durdurulabilir.
- Bir olay müdahale planı hazırlayın: kimin karar vereceği, kimlerle iletişime geçileceği ve hangi bildirimlerin yapılacağı önceden belirlenmiş olsun.
Saldırıya uğrayan kuruluşların yasal yükümlülükleri de unutulmamalıdır. Kişisel veri içeren bir sızıntı söz konusuysa, durum mevzuatta öngörülen süre içinde Kişisel Verileri Koruma Kurulu'na bildirilmeli, gerekli hallerde ilgili kişiler bilgilendirilmelidir. Siber olayların USOM'a ve sektörel düzenleyicilere bildirimi de olay yönetiminin bir parçası olarak ele alınmalıdır.
Saldırı sonrasında sistemlere müdahale etmeden önce delillerin korunması ve durumun profesyonel bir olay müdahale ekibince değerlendirilmesi önemlidir; DrDisk Lab bu aşamada ücretsiz ön analiz sunmaktadır.
Sonuç
AtomSilo, 2021'de kurumsal uygulamalardaki kritik açıkları istismar eden, çifte gasp modeliyle çalışan ve kısa sürede dikkat çeken bir fidye yazılımı grubudur. İzleme verimizde toplam 5 kurban kaydı bulunuyor. Bunların 4'ü 2021'e ait, ardından gelen yaklaşık dört yıllık sessizliği ise Şubat 2026'daki tek ve anonim bir finans sektörü kaydı bozuyor. Grubun yeniden mi canlandığı yoksa adının başka bir aktörce mi kullanıldığı henüz netlik kazanmadı. AtomSilo vakası, yaması bekleyen tek bir internete açık sunucunun bütün bir kurumu çifte gasp riskiyle karşı karşıya bırakabileceğini gösteriyor. Grubun boyutundan bağımsız olarak en kalıcı ders de bu.
