Blackbyte

Blackbyte ransomware grubu hakkında detaylı istatistik bilgiler.

Blackbyte Ransomware

Durum: Pasif

BlackByte ransomware grubunun 147 saldırısı, hedef sektörleri, ESXi ve Exchange istismarları, gasp modeli ve Türk kuruluşları için korunma önerileri.

Toplam saldırı: 145
Hedef ülke: 30
İlk kayıt (izleme): 04.10.2021
Son kayıt (izleme): 30.07.2025
Sızıntı sitesi: 9 adres

Aylara göre saldırı sayısı

İzleme verimizdeki ilk kayıt 2021, son kayıt 2025.

Verileri tablo olarak göster

Aylara göre saldırı sayısı
Yıl	Ocak	Şubat	Mart	Nisan	Mayıs	Haziran	Temmuz	Ağustos	Eylül	Ekim	Kasım	Aralık	Toplam
2025	0	0	0	0	0	0	9	–	–	–	–	–	9
2024	0	0	1	0	0	2	1	0	1	0	0	0	5
2023	6	2	4	9	4	6	2	1	6	1	0	0	41
2022	0	9	8	0	8	2	3	5	6	7	4	1	53
2021	–	–	–	–	–	–	–	–	–	18	13	6	37

2025Toplam 9

Ocak: 0
Şubat: 0
Mart: 0
Nisan: 0
Mayıs: 0
Haziran: 0
Temmuz: 9
Ağustos: –
Eylül: –
Ekim: –
Kasım: –
Aralık: –

2024Toplam 5

Ocak: 0
Şubat: 0
Mart: 1
Nisan: 0
Mayıs: 0
Haziran: 2
Temmuz: 1
Ağustos: 0
Eylül: 1
Ekim: 0
Kasım: 0
Aralık: 0

2023Toplam 41

Ocak: 6
Şubat: 2
Mart: 4
Nisan: 9
Mayıs: 4
Haziran: 6
Temmuz: 2
Ağustos: 1
Eylül: 6
Ekim: 1
Kasım: 0
Aralık: 0

2022Toplam 53

Ocak: 0
Şubat: 9
Mart: 8
Nisan: 0
Mayıs: 8
Haziran: 2
Temmuz: 3
Ağustos: 5
Eylül: 6
Ekim: 7
Kasım: 4
Aralık: 1

2021Toplam 37

Ocak: –
Şubat: –
Mart: –
Nisan: –
Mayıs: –
Haziran: –
Temmuz: –
Ağustos: –
Eylül: –
Ekim: 18
Kasım: 13
Aralık: 6

Hedef sektörler

Üretim ve Kamu sektörleri en çok hedef alınan sektörlerdir.

Üretim
21
Kamu
8
Hizmet
8
Finans
7
Gıda
6
Eğitim
6
Sağlık
6
Teknoloji
6

Sektörü belirlenemeyen 41 kayıt bu dağılımda yer almaz.

Hedef ülkeler

ABD ve Britanya başlıca hedefler arasında yer alan ülkelerdir.

ABD
48
Britanya
6
İtalya
5
Brezilya
4
Kanada
3
Meksika
3
Avustralya
2
İsviçre
2

Ülkesi belirlenemeyen 45 kayıt bu dağılımda yer almaz.

Sızma ve saldırı teknikleri (MITRE ATT&CK)

14 taktik, 62 teknik

Grubun gözlemlenen taktik ve teknikleri. Kimlikler MITRE ATT&CK çerçevesine göredir.

Initial Access TA0001

T1078Valid Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) has gained access to victim environments through legitimate VPN credentials.(Citation: Cisco BlackByte 2024)
T1078.002Valid Accounts: Domain Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) captured credentials for or impersonated domain administration users.(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1190Exploit Public-Facing Application · [BlackByte](https://attack.mitre.org/groups/G1043) exploited vulnerabilities such as ProxyLogon and ProxyShell for initial access to victim environments.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)(Citation: Symantec BlackByte 2022)(Citation: Microsoft BlackByte 2023)

Execution TA0002

T1047Windows Management Instrumentation · [BlackByte](https://attack.mitre.org/groups/G1043) used WMI to delete Volume Shadow Copies on victim machines.(Citation: FBI BlackByte 2022)
T1053.005Scheduled Task/Job: Scheduled Task · [BlackByte](https://attack.mitre.org/groups/G1043) created scheduled tasks for payload execution.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)
T1059.001Command and Scripting Interpreter: PowerShell · [BlackByte](https://attack.mitre.org/groups/G1043) used encoded PowerShell commands during operations.(Citation: FBI BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has used remote PowerShell commands in victim networks.(Citation: Microsoft BlackByte 2023)
T1059.003Command and Scripting Interpreter: Windows Command Shell · [BlackByte](https://attack.mitre.org/groups/G1043) executed ransomware using the Windows command shell.(Citation: FBI BlackByte 2022)
T1569.002System Services: Service Execution · [BlackByte](https://attack.mitre.org/groups/G1043) created malicious services for ransomware execution.(Citation: Symantec BlackByte 2022)(Citation: Cisco BlackByte 2024)

Persistence TA0003

T1053.005Scheduled Task/Job: Scheduled Task · [BlackByte](https://attack.mitre.org/groups/G1043) created scheduled tasks for payload execution.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)
T1078Valid Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) has gained access to victim environments through legitimate VPN credentials.(Citation: Cisco BlackByte 2024)
T1078.002Valid Accounts: Domain Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) captured credentials for or impersonated domain administration users.(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1112Modify Registry · [BlackByte](https://attack.mitre.org/groups/G1043) performed Registry modifications to escalate privileges and disable security tools.(Citation: Picus BlackByte 2022)(Citation: Cisco BlackByte 2024)
T1136.002Create Account: Domain Account · [BlackByte](https://attack.mitre.org/groups/G1043) created privileged domain accounts during intrusions.(Citation: Cisco BlackByte 2024)
T1505.003Server Software Component: Web Shell · [BlackByte](https://attack.mitre.org/groups/G1043) has used ASPX web shells following exploitation of vulnerabilities in services such as Microsoft Exchange.(Citation: Picus BlackByte 2022)(Citation: Microsoft BlackByte 2023)
T1543.003Create or Modify System Process: Windows Service · [BlackByte](https://attack.mitre.org/groups/G1043) modified multiple services on victim machines to enable encryption operations.(Citation: Symantec BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has installed tools such as AnyDesk as a service on victim machines.(Citation: Microsoft BlackByte 2023)
T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder · [BlackByte](https://attack.mitre.org/groups/G1043) has used Registry Run keys for persistence.(Citation: Microsoft BlackByte 2023)

Privilege Escalation TA0004

T1053.005Scheduled Task/Job: Scheduled Task · [BlackByte](https://attack.mitre.org/groups/G1043) created scheduled tasks for payload execution.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)
T1055Process Injection · [BlackByte](https://attack.mitre.org/groups/G1043) has injected [Cobalt Strike](https://attack.mitre.org/software/S0154) into `wuauclt.exe` during intrusions.(Citation: Picus BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has injected ransomware into `svchost.exe` before encryption.(Citation: Symantec BlackByte 2022)
T1055.012Process Injection: Process Hollowing · [BlackByte](https://attack.mitre.org/groups/G1043) used process hollowing for defense evasion purposes.(Citation: Microsoft BlackByte 2023)
T1068Exploitation for Privilege Escalation · [BlackByte](https://attack.mitre.org/groups/G1043) has exploited CVE-2024-37085 in VMWare ESXi software for authentication bypass and subsequent privilege escalation.(Citation: Cisco BlackByte 2024)
T1078Valid Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) has gained access to victim environments through legitimate VPN credentials.(Citation: Cisco BlackByte 2024)
T1078.002Valid Accounts: Domain Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) captured credentials for or impersonated domain administration users.(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1134.003Access Token Manipulation: Make and Impersonate Token · [BlackByte](https://attack.mitre.org/groups/G1043) constructed a valid authentication token following Microsoft Exchange exploitation to allow for follow-on privileged command execution.(Citation: Microsoft BlackByte 2023)
T1543.003Create or Modify System Process: Windows Service · [BlackByte](https://attack.mitre.org/groups/G1043) modified multiple services on victim machines to enable encryption operations.(Citation: Symantec BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has installed tools such as AnyDesk as a service on victim machines.(Citation: Microsoft BlackByte 2023)
T1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder · [BlackByte](https://attack.mitre.org/groups/G1043) has used Registry Run keys for persistence.(Citation: Microsoft BlackByte 2023)

Stealth TA0005

T1036.008Masquerading: Masquerade File Type · [BlackByte](https://attack.mitre.org/groups/G1043) masqueraded configuration files containing encryption keys as PNG files.(Citation: FBI BlackByte 2022)
T1055Process Injection · [BlackByte](https://attack.mitre.org/groups/G1043) has injected [Cobalt Strike](https://attack.mitre.org/software/S0154) into `wuauclt.exe` during intrusions.(Citation: Picus BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has injected ransomware into `svchost.exe` before encryption.(Citation: Symantec BlackByte 2022)
T1055.012Process Injection: Process Hollowing · [BlackByte](https://attack.mitre.org/groups/G1043) used process hollowing for defense evasion purposes.(Citation: Microsoft BlackByte 2023)
T1070.004Indicator Removal: File Deletion · [BlackByte](https://attack.mitre.org/groups/G1043) deleted ransomware executables post-encryption.(Citation: Picus BlackByte 2022)(Citation: Symantec BlackByte 2022)(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1078Valid Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) has gained access to victim environments through legitimate VPN credentials.(Citation: Cisco BlackByte 2024)
T1078.002Valid Accounts: Domain Accounts · [BlackByte](https://attack.mitre.org/groups/G1043) captured credentials for or impersonated domain administration users.(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1134.003Access Token Manipulation: Make and Impersonate Token · [BlackByte](https://attack.mitre.org/groups/G1043) constructed a valid authentication token following Microsoft Exchange exploitation to allow for follow-on privileged command execution.(Citation: Microsoft BlackByte 2023)
T1140Deobfuscate/Decode Files or Information · [BlackByte](https://attack.mitre.org/groups/G1043) has encoded commands in base64-encoded sections concatenated together in PowerShell.(Citation: FBI BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) uses PowerShell commands to disable Windows Defender.(Citation: Picus BlackByte 2022)
T1480Execution Guardrails · [BlackByte](https://attack.mitre.org/groups/G1043) stopped execution if identified language settings on victim machines was Russian or one of several language associated with former Soviet republics.(Citation: Picus BlackByte 2022) [BlackByte](https://attack.mitre.org/groups/G1043) has used ransomware variants requiring a key passed on the command line for the malware to execute.(Citation: Cisco BlackByte 2024)

Credential Access TA0006

T1003OS Credential Dumping · [BlackByte](https://attack.mitre.org/groups/G1043) used tools such as [Cobalt Strike](https://attack.mitre.org/software/S0154) and [Mimikatz](https://attack.mitre.org/software/S0002) to dump credentials from victim systems.(Citation: Picus BlackByte 2022)(Citation: Microsoft BlackByte 2023)

Discovery TA0007

T1012Query Registry · [BlackByte](https://attack.mitre.org/groups/G1043) queried registry values to determine system language settings.(Citation: Picus BlackByte 2022)
T1016System Network Configuration Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) used tools such as [Arp](https://attack.mitre.org/software/S0099) to pull system network information and identify connected devices.(Citation: FBI BlackByte 2022)(Citation: Microsoft BlackByte 2023)
T1018Remote System Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) used tools such as [Arp](https://attack.mitre.org/software/S0099) to identify remotely-connected devices.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)
T1046Network Service Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) has used tools such as NetScan to enumerate network services in victim environments.(Citation: Microsoft BlackByte 2023)
T1082System Information Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) used various system commands and tools to pull system information during operations.(Citation: FBI BlackByte 2022)(Citation: Symantec BlackByte 2022)(Citation: Microsoft BlackByte 2023)
T1087.002Account Discovery: Domain Account · [BlackByte](https://attack.mitre.org/groups/G1043) has used tools such as [AdFind](https://attack.mitre.org/software/S0552) to identify and enumerate domain accounts.(Citation: Microsoft BlackByte 2023)
T1135Network Share Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) enumerated network shares on victim devices.(Citation: Cisco BlackByte 2024)
T1482Domain Trust Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) enumerated Active Directory information and trust relationships during operations.(Citation: FBI BlackByte 2022)(Citation: Microsoft BlackByte 2023)
T1518.001Software Discovery: Security Software Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) enumerated installed security products during operations.(Citation: Microsoft BlackByte 2023)
T1614.001System Location Discovery: System Language Discovery · [BlackByte](https://attack.mitre.org/groups/G1043) identified system language settings to determine follow-on execution.(Citation: Picus BlackByte 2022)

Lateral Movement TA0008

T1021.001Remote Services: Remote Desktop Protocol · [BlackByte](https://attack.mitre.org/groups/G1043) has used RDP to access other hosts within victim networks.(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1021.002Remote Services: SMB/Windows Admin Shares · [BlackByte](https://attack.mitre.org/groups/G1043) used SMB file shares to distribute payloads throughout victim networks, including BlackByte ransomware variants during wormable operations.(Citation: Picus BlackByte 2022)(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1570Lateral Tool Transfer · [BlackByte](https://attack.mitre.org/groups/G1043) transfered tools such as [Cobalt Strike](https://attack.mitre.org/software/S0154) and the AnyDesk remote access tool during operations using SMB shares.(Citation: Picus BlackByte 2022)

Collection TA0009

T1560Archive Collected Data · [BlackByte](https://attack.mitre.org/groups/G1043) compressed data collected from victim environments prior to exfiltration.(Citation: Picus BlackByte 2022)

Exfiltration TA0010

T1041Exfiltration Over C2 Channel · [BlackByte](https://attack.mitre.org/groups/G1043) transmitted collected victim host information via HTTP POST to command and control infrastructure.(Citation: Microsoft BlackByte 2023)
T1567Exfiltration Over Web Service · [BlackByte](https://attack.mitre.org/groups/G1043) has used services such as `anonymfiles.com` and `file.io` to exfiltrate victim data.(Citation: Picus BlackByte 2022)

Command and Control TA0011

T1071.001Application Layer Protocol: Web Protocols · [BlackByte](https://attack.mitre.org/groups/G1043) collected victim device information then transmitted this via HTTP POST to command and control infrastructure.(Citation: Microsoft BlackByte 2023)
T1105Ingress Tool Transfer · [BlackByte](https://attack.mitre.org/groups/G1043) has transferred tools such as [Cobalt Strike](https://attack.mitre.org/software/S0154) to victim environments from file sharing and hosting websites.(Citation: Microsoft BlackByte 2023)
T1219Remote Access Tools · [BlackByte](https://attack.mitre.org/groups/G1043) has used tools such as AnyDesk in victim environments.(Citation: Picus BlackByte 2022)(Citation: Microsoft BlackByte 2023)

Impact TA0040

T1486Data Encrypted for Impact · [BlackByte](https://attack.mitre.org/groups/G1043) has encrypted victim files for ransom. Early versions of BlackByte ransomware used a common key for encryption, but later versions use unique keys per victim.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)(Citation: Symantec BlackByte 2022)(Citation: Microsoft BlackByte 2023)(Citation: Cisco BlackByte 2024)
T1490Inhibit System Recovery · [BlackByte](https://attack.mitre.org/groups/G1043) resized and deleted volume shadow copy files to prevent system recovery after encryption.(Citation: Picus BlackByte 2022)(Citation: Symantec BlackByte 2022)
T1491.001Defacement: Internal Defacement · [BlackByte](https://attack.mitre.org/groups/G1043) left ransom notes in all directories where encryption takes place.(Citation: FBI BlackByte 2022)

Resource Development TA0042

T1583.003Acquire Infrastructure: Virtual Private Server · [BlackByte](https://attack.mitre.org/groups/G1043) staged encryption keys on virtual private servers operated by the adversary.(Citation: FBI BlackByte 2022)
T1608.001Stage Capabilities: Upload Malware · [BlackByte](https://attack.mitre.org/groups/G1043) has staged tools such as [Cobalt Strike](https://attack.mitre.org/software/S0154) at public file sharing and hosting sites.(Citation: Microsoft BlackByte 2023)

Defense Impairment TA0112

T1112Modify Registry · [BlackByte](https://attack.mitre.org/groups/G1043) performed Registry modifications to escalate privileges and disable security tools.(Citation: Picus BlackByte 2022)(Citation: Cisco BlackByte 2024)
T1685Disable or Modify Tools · [BlackByte](https://attack.mitre.org/groups/G1043) disabled security tools such as Windows Defender and the Raccine anti-ransomware tool during operations.(Citation: FBI BlackByte 2022)(Citation: Picus BlackByte 2022)(Citation: Cisco BlackByte 2024)
T1686Disable or Modify System Firewall · [BlackByte](https://attack.mitre.org/groups/G1043) modified firewall rules on victim machines to enable remote system discovery.(Citation: Picus BlackByte 2022)(Citation: Symantec BlackByte 2022)

Kullandığı araçlar

9 araç

Saldırı araçları: Cobalt Strike
PowerShell Empire
Uzaktan yönetim araçları: AnyDesk
Keşif: PowerView
SoftPerfect NetScan
Savunma atlatma: Dell Client driver (BYOVD)
GIGABYTE Motherboard driver (BYOVD)
MSI Afterburner driver (BYOVD)
Zemana Anti-Rootkit driver

Fidye notu

Şifreleme sonrası bırakılan not örneği

Şifrelenen sistemlerde bırakılan notun örneği. Bu metni görüyorsanız saldırgan büyük olasılıkla bu gruptur.

██████╗ ██╗ █████╗ ██████╗██╗ ██╗██████╗ ██╗ ██╗████████╗███████╗ ██████╗ ██████╗ 
 ██╔══██╗██║ ██╔══██╗██╔════╝██║ ██╔╝██╔══██╗╚██╗ ██╔╝╚══██╔══╝██╔════╝ ╚════██╗ ██╔═████╗
 ██████╔╝██║ ███████║██║ █████╔╝ ██████╔╝ ╚████╔╝ ██║ █████╗ █████╔╝ ██║██╔██║
 ██╔══██╗██║ ██╔══██║██║ ██╔═██╗ ██╔══██╗ ╚██╔╝ ██║ ██╔══╝ ██╔═══╝ ████╔╝██║
 ██████╔╝███████╗██║ ██║╚██████╗██║ ██╗██████╔╝ ██║ ██║ ███████╗ ███████╗██╗╚██████╔╝
 ╚═════╝ ╚══════╝╚═╝ ╚═╝ ╚═════╝╚═╝ ╚═╝╚═════╝ ╚═╝ ╚═╝ ╚══════╝ ╚══════╝╚═╝ ╚═════╝ 

 +-----------------------------------------------------------------------------+ All your files have been encrypted, your confidential data has been stolen, in order to decrypt files and avoid leakage, you must follow our steps.
 +-----------------------------------------------------------------------------+

 +------------------------------------------------------------------------------------------------------------------------------------+ 1) Download and install TOR Browser from this site: 2) Paste the URL in TOR Browser and you will be redirected to our chat with all information that you need.

Tespit göstergeleri (IOC)

0 gösterge, 1 YARA kuralı

Güvenlik ekiplerinin arama yapabileceği göstergeler. Türe göre adet ve örnekler.

YARA kural dosyası: 1

İlişkili gruplar

Blackbyte grubunun diğer gruplarla bağı: aynı soyağacından gelenler, aynı kurumları ilan edenler ve benzer hedef profiline sahip olanlar. Veriler sızıntı sitesi kayıtlarından hesaplanır.

Soyağacı

Aynı kod tabanından ya da aynı ekipten türeyen gruplar.

Bu grup için kayıtlı bir soyağacı bağı yok.

Aynı kurumları ilan edenler

Blackbyte mağdurlarının %6'sı başka bir grup tarafından da ilan edilmiş. Yeniden markalama ve iş ortaklığının en güçlü işareti.

Worldleaks1 ortak kurum · 1 kopya kayıt
DARA Pharma
Snatch1 ortak kurum
Apex
Alphv1 ortak kurum
NEBRASKALAND
Qilin1 ortak kurum
Municipio de Chihuahua
Lynx1 ortak kurum
NEBRASKALAND
Direwolf1 ortak kurum
TOTVS
Cephalus1 ortak kurum
Lee & Associates
Dragonforce1 ortak kurum
Pitman Farms

Benzer hedef profili

Sektör ve ülke dağılımı bu gruba en çok benzeyen gruplar (en az 15 saldırı).

Conti%95 benzer
Üretim · Finans · Gıda · Hizmet · ABD · İtalya · Britanya
Royal%95 benzer
Üretim · Gıda · ABD · Britanya · Kanada · Brezilya
Lockbit3%93 benzer
Üretim · Kamu · ABD · Britanya · İtalya
Qilin%92 benzer
Üretim · Hizmet · ABD · Britanya · Kanada
Akira%92 benzer
Üretim · Hizmet · Gıda · ABD · Kanada · Britanya · İtalya

BlackByte Ransomware Grubu Kimdir?

BlackByte, 2021 sonbaharında görünür hale gelen ve fidye yazılımını hizmet olarak sunan (Ransomware-as-a-Service, RaaS) bir siber suç operasyonudur. Bu modelde çekirdek ekip şifreleme yazılımını, altyapıyı ve sızıntı sitesini işletir. Kurum ağlarına sızan, verileri çalan ve şifrelemeyi başlatan ise çoğunlukla iş ortakları (affiliate) olur. Araştırmacı kayıtlarına göre grup ilk kez 4 Ekim 2021'de görüldü. DrDisk Lab izleme verisindeki ilk kayıt da aynı güne ait, yani izleme kapsamımız grubun kamuya açık faaliyetinin başladığı tarihten itibaren kayıt tutuyor. Verimizdeki son kayıt 30 Temmuz 2025 tarihli.

Grubun ilk dönemi teknik açıdan zayıf bir başlangıca işaret ediyordu. İlk sürümler tüm kurbanlarda aynı şifreleme anahtarını kullandığı için güvenlik araştırmacıları 2021 sonunda ücretsiz bir şifre çözücü yayımlayabildi. Grup bu hatayı kısa sürede düzeltti ve sonraki sürümlerde her kurban için ayrı anahtar kullanmaya başladı. Şubat 2022'de FBI ve ABD Gizli Servisi, BlackByte'ın ABD'de kritik altyapı sektörlerindeki kuruluşları etkilediğini bildiren ortak bir uyarı yayımladı. Aynı yıl grup, yeni sızıntı sitesiyle birlikte "BlackByte 2.0" adıyla yeniden yapılandı. Fidye notunda görülen büyük harfli "BLACKBYTE 2.0" başlığı da bu dönemden kalma.

Veri setimizde BlackByte için tanımlı bir üst grup ya da kardeş grup yok. Bazı araştırmacılar, grubun 2022'de dağılan Conti ekosisteminden kopan ekiplerle bağlantılı olabileceğini değerlendiriyor, ancak bu bağlantı kesin olarak doğrulanmadı. Fidye yazılımının sistem dili Rusça ya da bazı eski Sovyet cumhuriyetlerine ait bir dil olduğunda çalışmayı durdurması, grubun Rusça konuşan suç ekosistemi içinde yer aldığı değerlendirmesini destekliyor.

Saldırı Hacmi ve Seyri

DrDisk Lab izleme verisine göre BlackByte, 2021–2025 döneminde sızıntı sitesinde toplam 147 kurban ilan etti. Bu ilanların büyük bölümü 2024 ortasından önceye ait. Son 12 aylık dönemde yalnızca 10 ilan var.

Dönem	İlan edilen saldırı
Ağustos 2024	0
Eylül 2024	1
Ekim – Aralık 2024	0
Ocak – Mart 2025	0
Nisan – Haziran 2025	0
Temmuz 2025	9
Son 12 ay toplamı	10

Tablo iki şey söylüyor. Birincisi, Eylül 2024'teki tek ilandan sonra grup yaklaşık on ay boyunca sızıntı sitesine yeni kurban eklemedi. İkincisi, Temmuz 2025'te dokuz ilan kısa aralıklarla ve iki toplu güncelleme halinde (16 ve 30 Temmuz) yayımlandı. Sızıntı sitesindeki ilan tarihi saldırının gerçekleştiği tarih değildir. Toplu yayın genellikle müzakeresi sonuçsuz kalan birkaç kurbanın aynı anda ifşa edildiğini gösterir. Sessiz geçen aylarda saldırıların sürmüş ama kurbanların ödeme yapmış ya da ilan edilmemiş olması da mümkündür.

Verimizde 30 Temmuz 2025'ten sonra yeni kayıt yok. RaaS gruplarında uzun sessizlikler, altyapı değişikliği, iş ortaklarının başka programlara geçmesi ya da yeniden markalanma hazırlığıyla ilişkili olabilir. Bu nedenle sessizlik tek başına grubun tamamen sona erdiği şeklinde yorumlanmamalı.

Hedef Profili: Sektörler ve Ülkeler

Sektörü belirlenebilen ilanlarda kamu kuruluşları başta geliyor, ardından üretim ve eğitim sektörleri geliyor:

Sektör	Saldırı
Kamu	7
Üretim	6
Eğitim	5
Gıda	4
Finans	3
Sosyal Hizmetler	2
Sağlık	2
Turizm	2

Ülke dağılımında Amerika Birleşik Devletleri açık farkla öne çıkıyor:

Ülke	Saldırı
ABD	23
İtalya	5
Brezilya	4
Birleşik Krallık	3
Avustralya	2
Polonya	2
İsveç	2
Arjantin	1
Bahreyn	1
Kanada	1

Kamu kurumlarının ilk sırada yer alması FBI'ın 2022 uyarısındaki kritik altyapı vurgusuyla uyumlu. Eğitim, sağlık ve sosyal hizmetler gibi sektörlerin listede olması ise grubun bilinçli olarak belirli bir sektöre yönelmekten çok, güvenlik bütçesi sınırlı, kesintiye dayanıksız ve hassas kişisel veri barındıran kuruluşları fırsatçı biçimde hedeflediğini gösteriyor. Üretim ve gıda sektörlerinde üretim hattının durması doğrudan gelir kaybı demektir ve bu, fidye baskısını artıran bir etkendir.

Temmuz 2025 dalgasında finans ve hizmet sektörleri öne çıktı. Bu dalgada ABD'nin yanında İspanya, Brezilya, İsveç ve Birleşik Krallık'tan kurbanlar da ilan edildi. Türkiye, verimizdeki ilk on ülke arasında yer almıyor.

Saldırı Yöntemi

BlackByte operasyonları, insan eliyle yürütülen klasik bir ağ ele geçirme sürecini izliyor. Süreç ilk erişimle başlıyor, ardından yetki yükseltme, keşif, yayılma ve veri sızdırma geliyor ve en sonunda şifreleme yapılıyor.

İlk erişim

Grubun ilk dönemdeki ana giriş kapısı, internete açık Microsoft Exchange sunucularındaki ProxyLogon ve ProxyShell açıklarıydı. Saldırganlar bu açıkları kullanarak sunucuya ASPX web shell yerleştiriyor ve Exchange'in kimlik doğrulama mekanizmasını kötüye kullanarak yetkili oturum belirteci üretiyordu. 2024'e ait gözlemler, yöntemin değiştiğini gösteriyor: Grup artık daha sık olarak çalınmış ya da satın alınmış geçerli VPN kimlik bilgileriyle, yani meşru bir kullanıcı gibi içeri giriyor. Bu değişim önemli, çünkü geçerli hesapla yapılan bir giriş, güvenlik açığı istismarına göre çok daha az alarm üretir.

Yetki yükseltme ve kalıcılık

İçeri giren saldırgan, etki alanı yöneticisi hesaplarının kimlik bilgilerini ele geçiriyor ya da yeni ayrıcalıklı etki alanı hesapları oluşturuyor. Kalıcılık için zamanlanmış görevler, Windows hizmetleri, kayıt defteri başlangıç anahtarları ve hizmet olarak kurulan meşru uzaktan erişim yazılımları kullanılıyor. Meşru yönetim araçlarının bu şekilde kullanılması, saldırganın faaliyetini olağan BT trafiği arasında gizlemesini kolaylaştırıyor.

Yakın dönemdeki en dikkat çekici gelişme, VMware ESXi'deki CVE-2024-37085 açığının istismarı. Bu açık, Active Directory'ye bağlı ESXi sunucularında belirli bir etki alanı grubunun üyelerine otomatik olarak tam yönetici yetkisi verilmesinden kaynaklanıyor. Etki alanını ele geçirmiş bir saldırgan bu sayede sanallaştırma katmanını da kontrol edebiliyor. Sanallaştırma sunucusunun şifrelenmesi, üzerinde çalışan onlarca sanal sunucunun aynı anda devre dışı kalması demek. Kurtarma açısından en ağır senaryolardan biri budur.

Keşif ve yanal hareket

Saldırganlar Active Directory yapısını, güven ilişkilerini, ağ paylaşımlarını ve kurulu güvenlik ürünlerini ayrıntılı biçimde haritalıyor. Yayılma RDP ve SMB paylaşımları üzerinden gerçekleşiyor. BlackByte'ın bazı sürümleri kendini SMB üzerinden ağdaki diğer makinelere kopyalayabilen solucan (wormable) özellik taşıyor. Bu da şifrelemenin kısa sürede ağın geniş bir bölümüne yayılmasına yol açıyor.

Savunmaların devre dışı bırakılması

Grubu öne çıkaran tekniklerden biri BYOVD, yani "kendi zafiyetli sürücünü getir" yaklaşımı. Saldırgan, donanım üreticilerine ait, dijital olarak imzalı ama güvenlik açığı bilinen sürücüleri sisteme yüklüyor ve bu sürücülerin çekirdek düzeyindeki yetkisiyle uç nokta güvenlik yazılımlarını kapatıyor. Buna ek olarak Windows Defender ve fidye yazılımına karşı geliştirilmiş koruma araçları devre dışı bırakılıyor, güvenlik duvarı kuralları da saldırganın işine yarayacak şekilde değiştiriliyor.

Veri sızdırma ve şifreleme

Toplanan veriler sıkıştırılıyor ve herkese açık dosya paylaşım servisleri ya da komuta-kontrol kanalı üzerinden dışarı aktarılıyor. Şifreleme aşamasından önce birim gölge kopyaları siliniyor, böylece Windows'un yerleşik geri yükleme imkânı ortadan kalkıyor. Fidye yazılımı meşru sistem süreçlerinin içine enjekte edilerek çalıştırılıyor. Şifreleme bitince çalıştırılabilir dosyalar siliniyor. Bazı sürümler yalnızca komut satırında doğru anahtar verildiğinde çalışıyor. Bu yöntem, ele geçirilen örneklerin güvenlik araştırmacıları tarafından analiz edilmesini zorlaştırıyor. İlk sürümlerde şifreleme anahtarlarını içeren yapılandırma dosyalarının PNG görsel dosyası gibi gösterilmesi de aynı kaçınma yaklaşımının bir parçasıydı.

İstismar edilen açıkların önemi

ProxyLogon ve ProxyShell için yamalar 2021'de yayımlandı. Buna rağmen bu açıklar grubun saldırılarında uzun süre işe yaradı. ESXi açığı da yamanın yayımlandığı dönemde istismar edildi. Buradan çıkan sonuç açık: BlackByte sıfırıncı gün açıklarına değil, kurumların yama süreçlerindeki gecikmeye ve zayıf kimlik yönetimine yaslanıyor.

Gasp Modeli

BlackByte çifte gasp modeliyle çalışıyor: Veriler önce çalınıyor, sonra sistemler şifreleniyor. Ödeme yapmayan kurbanlar sızıntı sitesinde ilan ediliyor. Kamuya yansıyan raporlara göre BlackByte 2.0 sızıntı sitesi, kurbanlara ve üçüncü taraflara süre uzatma, verileri indirme ya da verilerin silinmesini satın alma gibi ücretli seçenekler sunuyordu. Bu yapı, çalınan verinin kurban dışındaki alıcılara da pazarlanabileceğini gösteriyor.

Verimizde grubun sızıntı sitesi adreslerine ve müzakere kayıtlarına ilişkin bilgi bulunmuyor. Bu yüzden talep edilen tutarlar ya da ödeme davranışı hakkında veriye dayalı bir değerlendirme yapılamıyor. Fidye notu, şifrelenen her dizine bırakılıyor ve büyük ASCII harflerle yazılmış "BLACKBYTE 2.0" başlığıyla açılıyor. Notun bu tasarımı, grubun bilinirliğini bir baskı unsuru olarak kullandığına işaret ediyor.

Fidye ödemek, verinin geri verileceğini ya da sızdırılmayacağını garanti etmez ve suç ekonomisini besler. DrDisk Lab ödeme yapılmasını önermez. Kişisel veri etkilenen olaylarda KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapılması gerekir. Olayın USOM'a bildirilmesi de önemlidir.

Diğer Gruplarla İlişkiler

İzleme verimizde BlackByte'ın ilan ettiği kuruluşlardan bazıları başka gruplar tarafından da ilan edilmiş:

Grup	Ortak kuruluş	Mükerrer kayıt
worldleaks	1	1
snatch	1	0
lynx	1	0
cephalus	1	0
qilin	1	0
alphv	1	0
direwolf	1	0
dragonforce	1	0

Hedef profili (sektör ve ülke dağılımı) en çok benzeyen gruplar ise şunlar:

Grup	Benzerlik	Toplam saldırı
royal	%89	211
losttrust	%86	53
rhysida	%84	300
snatch	%84	142
avaddon	%83	147

Ortak kurban sayıları her grup için tek bir kuruluşla sınırlı, bu yüzden doğrudan bir organizasyonel bağı kanıtlamıyor. Yine de sekiz farklı grupla ortak kurban bulunması iki olasılığa işaret ediyor. Birincisi, aynı kuruluşun farklı zamanlarda farklı saldırganlar tarafından tekrar tekrar hedef alınması. İkincisi, iş ortaklarının erişimlerini ya da çalınan verileri bir RaaS programından diğerine taşıması. ALPHV, Qilin, DragonForce ve Lynx gibi büyük RaaS programlarıyla ortak kurbanlar bu iş ortağı hareketliliğiyle uyumlu. Worldleaks ile görülen mükerrer kayıt, aynı verinin farklı sızıntı sitelerinde yeniden yayımlandığını gösteriyor.

Hedef benzerliği listesi soyağacı değil, davranış benzerliğidir. Royal'in daha sonra BlackSuit adıyla yeniden markalandığı biliniyor. Avaddon ise 2021'de faaliyetini sonlandırıp şifre çözme anahtarlarını yayımlamıştı. Bu gruplarla yüksek benzerlik, BlackByte'ın da orta ölçekli, kamu ve üretim ağırlıklı ve ABD odaklı aynı fırsatçı hedef havuzunu kullandığını gösteriyor. Uzun sessizlik dönemleri ve geniş ortak kurban ağı birlikte düşünüldüğünde, BlackByte iş ortaklarının bir bölümünün başka programlara geçmiş olabileceği değerlendirilmektedir.

Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri

Türkiye verimizdeki ilk on ülke arasında yer almasa da BlackByte'ın kullandığı yöntemler Türkiye'deki kurumsal altyapılar için de doğrudan geçerli. Şirket içinde barındırılan Exchange sunucuları, uzaktan çalışma için açılan VPN erişimleri ve VMware ESXi tabanlı sanallaştırma, Türkiye'de KOBİ'lerden büyük kuruluşlara kadar çok yaygın. Grubun kamu, üretim, eğitim ve sağlık sektörlerine yönelmesi, bu sektörlerdeki Türk kuruluşlarının benzer bir risk profili taşıdığı anlamına geliyor.

Genel düzeyde öne çıkan korunma önlemleri:

İnternete açık sunucular, özellikle e-posta sunucuları, VPN cihazları ve sanallaştırma platformları, yama önceliği listesinin en başında olmalıdır.
VPN ve yönetici erişimlerinde çok faktörlü kimlik doğrulama zorunlu tutulmalı, kullanılmayan ve eski hesaplar düzenli olarak kapatılmalıdır.
Sanallaştırma yönetimi, Active Directory'den ve kullanıcı ağından ayrılmalıdır. Etki alanının ele geçirilmesi, sanallaştırma katmanının da ele geçirilmesi anlamına gelmemelidir.
Uzaktan erişim yazılımlarının ve yeni yüklenen sürücülerin kullanımı izlenmeli ve kurumsal politikayla sınırlandırılmalıdır.
Yedekler çevrimdışı ya da değiştirilemez biçimde tutulmalı, geri dönüş senaryoları düzenli olarak test edilmelidir.
Olağandışı veri çıkışları ve herkese açık dosya paylaşım servislerine yapılan yüklemeler izlenmelidir.
Olay müdahale planında KVKK ve USOM bildirim adımları, sorumlular ve iletişim kanalları önceden belirlenmelidir.

Saldırıya uğrayan kuruluşların, sistemlere müdahale etmeden önce profesyonel olay müdahalesi alması önerilir. DrDisk Lab'ın ücretsiz ön analiz hizmetinden bu aşamada yararlanılabilir.

Sonuç

BlackByte, teknik hatalarla başlayıp kısa sürede olgunlaşan, kamu ve kritik altyapıyı da hedef alan bir RaaS operasyonu. İzleme verimizde 147 ilanla dört yılı aşan bir faaliyet dönemi görülüyor. On aylık bir sessizlikten sonra Temmuz 2025'te dokuz ilanla yeniden ortaya çıkan grubun bu tarihten sonra yeni kaydı yok. Grubun yöntemleri sıfırıncı gün açıklarına değil, geciken yamalara, zayıf kimlik yönetimine ve korunmasız sanallaştırma altyapısına dayanıyor. Bu da riskin büyük ölçüde temel güvenlik önlemleriyle azaltılabileceği anlamına geliyor. Grup sessiz görünse de iş ortaklarının ve yöntemlerinin başka markalar altında faaliyetini sürdürebileceği göz önünde tutulmalı.

Son ransomware saldırıları

DARA Pharma

30.07.2025

Domain: dara-pharma.com
Sektör: Üretim
Ülke: İspanya
Saldırı grubu: Blackbyte

Lee & Associates

30.07.2025

Domain: lee-associates.com
Sektör: Hizmet
Ülke: ABD
Saldırı grubu: Blackbyte

Cpat Flex

30.07.2025

Domain: cpatflex.com
Sektör: Finans
Ülke: Brezilya
Saldırı grubu: Blackbyte

Towne Mortgage

30.07.2025

Domain: townemortgage.com
Sektör: Finans
Ülke: ABD
Saldırı grubu: Blackbyte

GreenLight Biosciences

17.07.2025

Domain: greenlightbiosciences.com
Sektör: Teknoloji
Ülke: ABD
Saldırı grubu: Blackbyte

T2 Group

17.07.2025

Domain: t2group.co.uk
Ülke: İsveç
Saldırı grubu: Blackbyte

Ark Consultancy

17.07.2025

Domain: arkconsultancy.co.uk
Sektör: Hizmet
Ülke: Britanya
Saldırı grubu: Blackbyte

Allstarmg

17.07.2025

Domain: allstarmg.com
Sektör: Hizmet
Ülke: ABD
Saldırı grubu: Blackbyte

Helpsonv

17.07.2025

Domain: helpsonv.org
Sektör: Sosyal Hizmetler
Ülke: ABD
Saldırı grubu: Blackbyte

TOTVS

30.09.2024

Sektör: Teknoloji
Ülke: Brezilya
Saldırı grubu: Blackbyte

Tüm saldırıları gör

İletişim

Yardıma mı ihtiyacınız var?

Veri kurtarma ile ilgili sorularınız ve talepleriniz için bize ulaşın.

Bize Ulaşın

2024-03-15 tarihinde OYAK Savunma ve Güvenlik Sistemleri, LockBit fidye grubu tarafından gerçekleştirilen bir ransomware saldırısına maruz kaldı. Saldırıda 720 GB büyüklüğünde veri ele geçirildi.

Devamını Oku

Ransomware

SOCOTRA Ransomware

Bu belge, Socotra Ransomware olarak bilinen fidye yazılımı grubunun faaliyetleri ve teknik özellikleri hakkında bilgi vermektedir.

Devamını Oku

Blackbyte

Blackbyte Ransomware

Sızma ve saldırı teknikleri (MITRE ATT&CK)

Initial Access TA0001

Execution TA0002

Persistence TA0003

Privilege Escalation TA0004

Stealth TA0005

Credential Access TA0006

Discovery TA0007

Lateral Movement TA0008

Collection TA0009

Exfiltration TA0010

Command and Control TA0011

Impact TA0040

Resource Development TA0042

Defense Impairment TA0112

Kullandığı araçlar

Fidye notu

Tespit göstergeleri (IOC)

Soyağacı

Aynı kurumları ilan edenler

Benzer hedef profili

BlackByte Ransomware Grubu Kimdir?

Saldırı Hacmi ve Seyri

Hedef Profili: Sektörler ve Ülkeler

Saldırı Yöntemi

İlk erişim

Yetki yükseltme ve kalıcılık

Keşif ve yanal hareket

Savunmaların devre dışı bırakılması

Veri sızdırma ve şifreleme

İstismar edilen açıkların önemi

Gasp Modeli

Diğer Gruplarla İlişkiler

Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri

Sonuç

Son ransomware saldırıları

Yardıma mı ihtiyacınız var?

İlgili Makaleler

ENCFORGE Ransomware Yapay Zeka Model Dosyalarını Tehlikeye Atıyor

Mobil Veri Kurtarma ve Adli Bilişim Laboratuvarı: Sahaya İnen Dijital Operasyon Merkezi

Fidye Yazılımı Saldırısında İlk 30 Dakika Ne Yapılmalı?

2025 Yılında Ransomware Saldırıları: Rakamların Ardındaki Gerçek ve Kurumları Bekleyen Tehlikeler

Stormous Ransomware Grubu

LockBit Fidye Virüsü Grubu Hacklendi

Aralık 2024 Fidye Yazılımı Trendleri: Yeni Tehditler, Saldırı Teknikleri ve Güvenlik Önerileri

2024 Fidye Yazılımı Ekosistemi

Tarım ve Orman Bakanlığı’na Ransomware Saldırısı

Revil Ransomware Grubu Çökertildi!

Conti Ransomware, Apple ve Tesla’nın Ürün Tedarikçisini Vurdu!

LockBit Fidye Yazılım Grubu Rüşvet Teklif Ediyor !!!

REvil’in Küllerinden Doğan Grup ”BlackMatter”

CONTI RANSOMWARE

Yoğun Ransomware Saldırıları: Tehdit Altında Olabilirsiniz!!!

Fidye Ödeyenler Verilerini Alamıyor!

Ragnarok (.hela uzantılı) Fidye Virüsü

LMAS Fidye Virüsü Nedir?

WRUI Fidye Virüsü Nedir?

PCQQ Fidye Virüsü Nedir?

IGVM Fidye Virüsü Nedir?

Jessy Uzantılı Fidye Virüsü Nedir?

Lockbit Ransomware Güncel Saldırılar

OYAK Savunma ve Güvenlik Sistemlerine Ransomware Saldırısı

SOCOTRA Ransomware

Sızıntı sitelerine düşen kurumları her sabah e-postanızda görün