Aurora Ransomware Grubu Kimdir?
Aurora, 2026 yılında ortaya çıkan ve kurbanlarını kendi sızıntı sitesinde ilan eden bir fidye yazılımı grubudur. Araştırmacı kayıtlarında grubun ilk görülme tarihi 17 Nisan 2026'dır. DrDisk Lab'ın izleme verisindeki ilk kayıt da aynı güne denk geliyor. Bu nedenle elimizdeki veri grubun başlangıcından itibaren tam bir tablo sunuyor; izleme sonradan başlamadığı için ilk aylar eksik değil.
Grubun kökeni, arkasındaki kişiler ya da daha önceki bir operasyonun devamı olup olmadığı konusunda kamuoyunda doğrulanmış bir bilgi bulunmuyor. Veri bloğunda bağlı olduğu bir ana grup ya da kardeş marka da kayıtlı değil. "Aurora" adı geçmişte birbirinden bağımsız başka zararlı yazılımlar ve kampanyalar için de kullanıldı. Bu ad benzerliği, söz konusu yapılarla organik bir bağ olduğu şeklinde yorumlanmamalı.
İşletim modeli de henüz netleşmedi. Grubun bir RaaS yapısı mı (Ransomware-as-a-Service: yazılımı ve altyapıyı geliştiren çekirdek ekibin saldırıları gelir paylaşımı karşılığında iş ortaklarına, yani "affiliate"lere yaptırdığı model) yoksa kapalı bir ekip mi olduğunu gösteren bir kayıt yok. Fidye notunda her kurbana özel bir erişim anahtarı veriliyor. Bu, kurban başına ayrı açılan bir müzakere panelinin kullanıldığına işaret ediyor ve RaaS operasyonlarında sık rastlanan bir altyapı tercihi. Yine de tek başına model hakkında kesin hüküm kurmaya yetmez. Grubun iş ortağı kullanan bir yapı olabileceği yalnızca bir olasılık olarak değerlendirilmektedir.
Saldırı Hacmi ve Aylık Seyir
Aurora, 17 Nisan 2026 ile 20 Ekim 2026 arasında sızıntı sitesinde 49 kurum ilan etti. Tüm faaliyet 2026 yılı içinde gerçekleşti.
| Ay | İlan edilen saldırı |
|---|---|
| Nisan 2026 | 7 |
| Mayıs 2026 | 3 |
| Haziran 2026 | 11 |
| Temmuz 2026 | 4 |
| Ağustos 2026 | 9 |
| Eylül 2026 | 6 |
| Ekim 2026 | 9 |
Tablodan üç çıkarım yapılabilir:
- Açılışta biriken ilanlar yayımlandı. Nisan ayında yalnızca iki hafta içinde 7 ilan çıktı. Yeni açılan sızıntı sitelerinde bu, ilk günlerde önceden ele geçirilmiş kurbanların topluca yayımlandığı anlamına gelir. Saldırıların bir kısmı büyük olasılıkla Nisan öncesinde gerçekleşti.
- Yoğun ve sakin aylar sırayla geliyor. Haziran'daki 11 ilanı Temmuz'da 4 ilan, Ağustos'taki 9 ilanı Eylül'de 6 ilan izledi. Bu dalgalı yapı, ilanların toplu halde yayımlandığını düşündürüyor. Müzakere süreleri dolan kurbanlar birlikte açıklanıyor olabilir. Bu nedenle tek bir ayın düşüşü faaliyetin azaldığı biçiminde okunmamalı.
- Ekim'de tempo yükseliyor. Ekim 2026'nın ilk 20 gününde 9 ilan yayımlandı. Bu sayı, Ağustos'un tam ay toplamına zaten ulaştı. 20 Ekim 2026 itibarıyla son ilan aynı gün yayımlanmıştı. Grup bu tarihte aktifti.
Hedef Profili: Sektörler ve Ülkeler
| Sektör | Saldırı |
|---|---|
| Üretim | 14 |
| Hizmet | 10 |
| Lojistik | 6 |
| Perakende | 5 |
| Finans | 4 |
| Sağlık | 3 |
| Teknoloji | 3 |
| Gıda | 2 |
Üretim açık ara ilk sırada; ikinci sıradaki hizmet sektörü de belirgin bir pay tutuyor. Üretim, hizmet ve lojistik birlikte ilanların büyük çoğunluğunu oluşturuyor. Bu üç sektörün ortak noktası, kesintiye tahammülü düşük ve fiziksel operasyonu olan işletmeler olmaları. Üretim hattı ya da sevkiyat duran bir şirket, karar sürecini hızlandırması için daha yoğun baskı altına girer. Hizmet sektöründeki kurbanlar arasında hukuk ve danışmanlık bürosu niteliğinde işletmeler de bulunuyor. Bu yapılar, kendi verileri kadar müşterilerine ait gizli bilgileri de barındırdığı için veri ifşası tehdidine karşı özellikle hassas.
Sağlık ve finans görece alt sıralarda kalıyor. Yani grup, yüksek profilli ve düzenleyici dikkatini hızla çeken sektörlerden çok, operasyonel baskının kolay kurulduğu sektörlere yönelmiş görünüyor.
| Ülke | Saldırı |
|---|---|
| ABD | 22 |
| Almanya | 9 |
| Kanada | 3 |
| Hollanda | 3 |
| Birleşik Krallık | 2 |
| Arjantin | 1 |
| Avusturya | 1 |
| Avustralya | 1 |
| Danimarka | 1 |
| İspanya | 1 |
ABD, kayıtların yarısına yakınını tek başına oluşturuyor ve ikinci sıradaki Almanya'nın iki katından fazla saldırı alıyor. Bu tablo fidye yazılımı ekosisteminin genel eğilimine uygun. Ayırt edici olan, Almanya'nın güçlü ikinci sırada yer alması ve Birleşik Krallık'ın geride kalması. Avusturya ile birlikte düşünüldüğünde, Almanca konuşulan pazarlara belirgin bir yöneliş göze çarpıyor. Kurbanlardan birinin Alman hukuk bürosu olması da bu yönelişle tutarlı. Grubun ya da iş ortaklarından birinin bu bölgede hedef seçme veya dil kapasitesi bulunduğu değerlendirilmektedir. Avrupa'daki dağılım (Almanya, Hollanda, Avusturya, Danimarka, İspanya) birlikte ele alındığında, grup ABD'ye yaklaşan bir ağırlığı Kıta Avrupası'na ayırıyor.
Son ilanlar bu profili doğruluyor. İlan edilen adların çoğu tanınmış küresel markalar değil, bölgesel ölçekte faaliyet gösteren işletmeler gibi görünüyor:
| Kurum | Ülke | Sektör | İlan tarihi |
|---|---|---|---|
| Duarte Nursery, Inc. | ABD | Gıda | 20 Ekim 2026 |
| POWERsonic Industries Inc. | ABD | Üretim | 19 Ekim 2026 |
| Adams Warehouse & Delivery, Inc. | ABD | Lojistik | 16 Ekim 2026 |
| Estrategias BigMat S.L.U. | İspanya | Perakende | 14 Ekim 2026 |
| The Buckner Company, Inc. | ABD | Finans | 13 Ekim 2026 |
| Rechtsanwaltskanzlei Dr. Bien | Almanya | Hizmet | 12 Ekim 2026 |
| Infomedia A/S | Danimarka | Teknoloji | 5 Ekim 2026 |
| Thomas Y. Pickett & Co., Inc. | ABD | Hizmet | 5 Ekim 2026 |
Not: Bir kurumun sızıntı sitesinde ilan edilmesi, saldırganın iddiasıdır. Saldırının kapsamı ya da verinin gerçekliği bu ilanla doğrulanmış olmaz.
Saldırı Yöntemi: Bilinenler ve Bilinmeyenler
20 Ekim 2026 itibarıyla Aurora'ya atfedilmiş belgelenmiş bir taktik, istismar edilen bir güvenlik açığı (CVE) ya da araç seti kaydı bulunmuyor. Grup için yazılmış bir tespit kuralı (YARA) mevcut; bu da şifreleyici örneğinin en az bir kez analiz edildiğini gösteriyor. Ancak ilk erişimden şifrelemeye uzanan zincir kamuya açık biçimde haritalanmış değil.
Bu boşluk savunma açısından önemli bir sonuç doğuruyor: Belirli bir açığa ya da yönteme odaklanan dar bir savunma, Aurora'ya karşı yeterli güvence sağlamaz. Yine de eldeki veri zincirin iki halkasını kesinleştiriyor:
- Veri sızdırma şifrelemeden önce yapılıyor. Fidye notu, gizli dosyaların indirildiğini açıkça belirtiyor. Saldırgan ağda dosyalara erişip dışarı büyük hacimli veri aktaracak kadar uzun süre kalıyor. Bu süre, tespit için en önemli fırsat penceresi.
- Hedeflenen kurumlar orta ölçekli ve operasyonel. Benzer profildeki gruplar ilk erişimi çoğunlukla internete açık uzaktan erişim servisleri, yaması gecikmiş sınır cihazları ya da ilk erişim aracılarından satın alınan oturumlar üzerinden sağlıyor. İlk erişim aracıları (IAB), ele geçirdikleri ağ erişimlerini fidye yazılımı operatörlerine satan aktörlerdir. Aurora'nın da bu yolları kullandığı değerlendirilmektedir, ancak bu bir doğrulama değil, sektör deneyimine dayanan bir varsayımdır.
Olay müdahalesi açısından bu durum şu anlama geliyor: Aurora kaynaklı bir olayda giriş noktası her vakada ayrıca tespit edilmeli. Şifrelemenin başladığı an, saldırının son aşamasıdır; başlangıcı değildir.
Gasp Modeli ve Sızıntı Altyapısı
Aurora çifte gasp modeli uyguluyor. Bu modelde saldırgan hem dosyaları şifreliyor hem de çaldığı veriyi ifşa etmekle tehdit ederek iki ayrı baskı unsuru kuruyor. İfşa tehdidi, kurban adlarının ve verilerinin yayımlandığı sızıntı sitesi (DLS, Data Leak Site) üzerinden işletiliyor.
Grup için kayıtlı dört sızıntı sitesi adresinden yalnızca biri 20 Ekim 2026 itibarıyla erişilebilir durumdaydı. Bu oran, altyapının sık değiştirildiğini ya da kesintiye uğradığını gösteriyor. Kurban kurum açısından bir adrese erişilememesi, verinin kaldırıldığı ya da tehdidin sona erdiği anlamına gelmez.
Fidye notu kısa ve İngilizce. Not, verinin indirildiğini ve dosyaların şifrelendiğini bildirip kurbanı Tor ağı üzerindeki bir adrese yönlendiriyor ve kuruma özel bir erişim anahtarı veriyor. Notta tutar, süre ya da ayrıntılı tehdit yer almıyor. Tüm pazarlık doğrudan özel panelde yürütülüyor. Grup için kayıtlı müzakere verisi bulunmadığından talep edilen tutarlar ve ödeme davranışı hakkında değerlendirme yapılamıyor.
Diğer Gruplarla İlişki
| Grup | İlişki türü | Değer |
|---|---|---|
| Black Basta | Ortak kurban | 2 kurum (mükerrer kayıt yok) |
| Payoutsking | Hedef profili benzerliği | %93 (114 saldırı) |
| Orion | Hedef profili benzerliği | %92 (19 saldırı) |
| Qilin | Hedef profili benzerliği | %91 (2384 saldırı) |
| DragonForce | Hedef profili benzerliği | %91 (663 saldırı) |
| Iah6477 | Hedef profili benzerliği | %91 (16 saldırı) |
Black Basta ile ortak kurbanlar. Aurora ile Black Basta'nın her ikisinin de ilan ettiği iki kurum var. Mükerrer kayıt bulunmaması, aynı olay verisinin yeniden yayımlanmadığını gösteriyor. Black Basta'nın faaliyeti, iç yazışmalarının 2025 başında sızdırılmasının ardından büyük ölçüde durdu. Bu nedenle en olası açıklama, daha önce saldırıya uğramış kurumların tekrar hedef alınması. Geçmişte ele geçirilen kimlik bilgileri ya da kapatılmamış erişim yolları bu tür ikinci saldırıların bilinen kaynakları. Black Basta'dan ayrılan iş ortaklarının Aurora'ya geçtiği ihtimali ise yalnızca iki kayda dayandığı için zayıf bir olasılık olarak değerlendirilmektedir.
Hedef profili benzerliği. Aurora'nın sektör ve ülke dağılımı, büyüklükleri çok farklı gruplarla %90'ın üzerinde örtüşüyor. Bir yanda binlerce ilanla ekosistemin en büyük RaaS yapılarından Qilin ve iş ortağı modeliyle çalışan DragonForce, öbür yanda Aurora kadar küçük Orion ve Iah6477 bulunuyor. Bu örtüşme bir örgütsel bağı kanıtlamaz. Aurora'nın, Batılı orta ölçekli üretim ve hizmet işletmelerinden oluşan ana akım hedef havuzunda avlandığını gösterir. Aynı yıl içinde benzer hedeflemeyle birden fazla küçük markanın ortaya çıkması ise iş ortaklarının markalar arasında dolaştığı bir ortamla uyumlu. Aurora'nın böyle bir göçün ürünü olup olmadığı değerlendirilmektedir; kesinleşmiş değil.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizdeki ilk on ülke arasında Türkiye yer almıyor. Bu durum doğrudan risk düşük olarak okunmamalı. Aurora'nın Almanya, Hollanda, Avusturya ve diğer Avrupa ülkelerinde üretim, lojistik ve perakende işletmelerini hedeflemesi, bu pazarlara tedarik veren Türk üreticileri ve lojistik firmalarını iki yoldan etkiliyor. Birincisi, müşteri ya da tedarikçinin sızdırılan verisi içinde Türk kurumlarına ait sözleşme, fiyat ve kişisel veriler bulunabilir. İkincisi, aynı hedef profiline uyan Türk işletmeleri grubun hedef havuzuna doğal olarak dahil olur.
Öncelik sırasıyla genel kontroller:
- Değiştirilemez ve ağdan ayrık yedek. Aurora'nın en çok hedef aldığı üretim ve lojistik işletmelerinde asıl kayıp operasyonun durmasıdır. Saldırganın erişemeyeceği bir yedek, fidye baskısının şifreleme ayağını etkisiz hale getirir.
- Büyük hacimli dış veri aktarımının izlenmesi. Fidye notu, verinin şifrelemeden önce indirildiğini doğruluyor. Olağan dışı veri çıkışını yakalamak, saldırıyı şifreleme aşamasına gelmeden durdurmanın en gerçekçi yolu.
- Uzaktan erişimde çok faktörlü doğrulama ve internete açık cihazlarda yama önceliği. Grubun giriş yöntemi belgelenmediği için en yaygın giriş yüzeylerinin birlikte kapatılması gerekiyor. Black Basta ile ortak kurbanlar, geçmişte sızdırılmış kimlik bilgilerinin değiştirilmesi gerektiğini de hatırlatıyor.
- Ağ bölümlendirmesi. Üretim ortamlarında ofis ağı ile üretim sistemlerinin ayrılması, tek bir giriş noktasının tüm tesisi durdurmasını engeller.
- Üçüncü taraf erişimlerinin denetimi. Hizmet sektöründeki kurbanlar, müşteri verisini tutan danışmanlık ve hukuk yapılarının da hedefte olduğunu gösteriyor. Tedarikçi ve hizmet sağlayıcıların ağa erişimi sınırlanmalı.
Saldırıya uğrayan kurumların fidye ödemesi önerilmez. Ödeme, verinin silineceğini ya da yeniden kullanılmayacağını garanti etmez. Kişisel veri ihlali söz konusuysa KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de ulusal düzeyde koordinasyon sağlar. Saldırı sonrasında kanıtların korunması ve kurtarma seçeneklerinin belirlenmesi için profesyonel olay müdahalesine başvurulmalıdır; DrDisk Lab bu aşamada ücretsiz ön analiz sunmaktadır.
Sonuç
Aurora'nın asıl önemi hacminden değil, görünürlük açığından kaynaklanıyor. Grup altı ay içinde düzenli bir ilan temposu kurdu ve Ekim 2026'da hızlandı. Buna karşın 20 Ekim 2026 itibarıyla teknik saldırı zinciri, müzakere davranışı ve kökeni belgelenmiş değil. Bu nedenle savunma, grubun kendine özgü yöntemlerine değil, çifte gasp saldırılarının değişmeyen halkalarına dayanmak zorunda: veri dışarı çıkmadan fark etmek ve şifrelemeye karşı geri dönülebilir yedek bulundurmak. İzlenmesi gereken bir sonraki gösterge, grubun altyapısının yeniden istikrar kazanıp kazanmayacağı ve benzer hedef profiline sahip küçük markalarla arasında somut bir bağ ortaya çıkıp çıkmayacağıdır.
