Bravox Ransomware Grubu Kimdir?
Bravox, araştırmacı kayıtlarına ilk kez 15 Mayıs 2025'te giren, yeni ve düşük hacimli bir fidye yazılımı ve veri gaspı operasyonudur. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı tarihte. Yani izleme, grubun görünür olduğu andan itibaren başlamış durumda ve aşağıdaki sayılar grubun bilinen ilan geçmişinin tamamını kapsıyor.
Grubun kökeni, kimlerden oluştuğu ve nasıl bir model işlettiği konusunda kamuya açık ve yüksek güvenilirlikte bir bilgi yok. RaaS (Ransomware-as-a-Service, yani fidye yazılımı ve altyapısını kiralayan, saldırıları ise "iş ortağı" ya da affiliate denen bağımsız operatörlere yaptıran model) mi, yoksa kapalı bir ekip mi olduğu doğrulanmış değil. Bilinen bir üst grup, kardeş marka ya da isim değişikliği kaydı da bulunmuyor. Bir buçuk yıla yakın sürede yalnızca 32 ilan yayımlanmış olması ve bu ilanların farklı kıtalara dağılması, grubun küçük bir çekirdek ekiple ya da az sayıda iş ortağıyla çalıştığına işaret ediyor olabilir. Bu bir değerlendirmedir, doğrulanmış bir bilgi değildir.
Saldırı Hacmi ve Seyri
İzleme verimize göre Bravox 2025 ve 2026'da aktif ve toplam 32 kurban ilanı yayımlamış. Son kayıt 21 Ekim 2026 tarihli. Araştırmacı kayıtlarındaki son görülme tarihi ise 16 Ekim 2026. 2025'teki görünürlük sınırlı kalmış, aylık seyir ilanların Şubat 2026'dan itibaren düzenli bir akışa döndüğünü gösteriyor.
| Ay | İlan sayısı |
|---|---|
| Şubat 2026 | 7 |
| Mart 2026 | 2 |
| Nisan 2026 | 2 |
| Mayıs 2026 | 6 |
| Haziran 2026 | 3 |
| Temmuz 2026 | 2 |
| Ağustos 2026 | 5 |
| Eylül 2026 | 2 |
| Ekim 2026 | 3 |
Tabloda belirgin bir ritim görülüyor. Şubat, Mayıs ve Ağustos'ta zirve yapan ilan sayısı aradaki iki ayda 2–3 seviyesine iniyor. Yani yaklaşık üç aylık bir dalga döngüsü var. Zirveler de giderek alçalıyor: 7, 6 ve ardından 5. Ekim 2026 için verilen 3 ilan, 21 Ekim 2026 itibarıyla kısmi bir ayı yansıtıyor.
Bu ritmin iki anlamı var:
- Toplu ilan davranışı: 10 Ağustos 2026'da İtalya'dan iki kurbanın aynı gün ilan edilmesi, grubun kurbanları biriktirip toplu yayımladığı değerlendirmesini destekliyor. Bu durumda ilan tarihi saldırı tarihi değildir. Asıl sızma ve veri çalma büyük olasılıkla haftalar önce gerçekleşmiştir.
- Kapasite sınırı: Zirvelerin alçalması, grubun büyümediğini, sabit ya da hafifçe daralan bir kapasiteyle çalıştığını düşündürüyor. Döngü sürerse bir sonraki yoğunlaşmanın Kasım 2026 civarında görülebileceği değerlendirilmektedir.
Hedef Profili: Sektörler ve Ülkeler
Sektör dağılımı
| Sektör | İlan sayısı |
|---|---|
| Sağlık | 5 |
| Teknoloji | 5 |
| Finans | 3 |
| Hizmet | 3 |
| Gıda | 2 |
| Enerji | 2 |
| Üretim | 2 |
| Perakende | 2 |
Bazı kayıtlarda sektör bilgisi belirlenemediği için tablodaki toplam, ilan sayısının tamamını vermiyor. Dağılımda hiçbir sektör baskın değil. En üstteki sağlık ve teknoloji bile 5'er kayıtla sınırlı, geri kalan altı sektör ise 2–3 kayıt arasında. Bu tablo, belirli bir sektörde uzmanlaşmış bir aktörden çok, erişim bulduğu kuruma saldıran fırsatçı bir aktörü gösteriyor.
Sağlığın ilk sırada olması yine de önemli. Hasta kayıtları gibi özel nitelikli veriler, ifşa tehdidini daha etkili bir baskı aracına dönüştürüyor. Enerji ve finans kayıtları sayıca az olsa da grubun düzenlemeye tabi ve kritik sektörlerden kaçınmadığını gösteriyor.
Ülke dağılımı
| Ülke | İlan sayısı |
|---|---|
| ABD | 10 |
| İsviçre | 4 |
| Fransa | 4 |
| Kanada | 3 |
| Brezilya | 2 |
| Almanya | 2 |
| Birleşik Krallık | 2 |
| İtalya | 2 |
| Meksika | 1 |
| Malezya | 1 |
ABD 10 kayıtla ilk sırada ve İsviçre ile Fransa'nın toplamından fazla. Asıl dikkat çeken ise Avrupa ağırlığı. İsviçre, Fransa, Almanya, Birleşik Krallık ve İtalya birlikte ABD'yi geçiyor. İsviçre'nin Fransa ile aynı düzeyde, Almanya ve Birleşik Krallık'ın önünde yer alması, fidye yazılımı ekosisteminin genel dağılımına göre sıra dışı. Bu durum, grubun ya da iş ortaklarının Avrupa'da, özellikle Fransızca ve Almanca konuşulan bölgede belirli erişim kaynaklarına sahip olabileceğini düşündürüyor. Latin Amerika ve Güneydoğu Asya'daki tekil kayıtlar ise coğrafi bir sınırlama olmadığını gösteriyor.
Son ilanlar
| Kurum | Ülke | Sektör | İlan tarihi |
|---|---|---|---|
| GSE-M Technology Sdn. Bhd. | Malezya | Teknoloji | 21 Ekim 2026 |
| Minkon | Almanya | Belirlenemedi | 16 Ekim 2026 |
| Dudley Land Company | ABD | Diğer | 9 Ekim 2026 |
| TOWILL | ABD | Teknoloji | 20 Eylül 2026 |
| SCHMIDT | ABD | Belirlenemedi | 1 Eylül 2026 |
| Moores | Birleşik Krallık | Perakende | 17 Ağustos 2026 |
| Elettrica System | İtalya | Enerji | 10 Ağustos 2026 |
| Verona 83 | İtalya | Belirlenemedi | 10 Ağustos 2026 |
Son ilanların çoğu orta ölçekli, sektörü kamuya açık kaynaklarda kolayca belirlenemeyen kurumlar. Bu da grubun büyük ve görünür hedeflerden çok orta ölçekli şirketlere yöneldiğini gösteren bir başka işaret.
Saldırı Yöntemi: Doğrulanmış Bilgi Sınırlı
Bravox için kamuya açık kaynaklarda doğrulanmış bir taktik ve teknik (TTP), istismar edildiği bilinen bir güvenlik açığı (CVE) ya da araç kaydı yok. Elimizdeki tek teknik iz, gruba atfedilen bir YARA kuralı. Bu, en az bir zararlı yazılım örneği ya da artefakt üzerinden tespit imzası üretilebildiğini gösteriyor. Grubun kullandığı bileşenlerin araştırmacıların eline geçtiği anlamına geliyor. Ancak ilk erişimden şifrelemeye uzanan saldırı zincirini tarif etmeye yetmiyor.
Bu boşluğun savunma tarafı için somut bir sonucu var: Gruba özgü göstergelerle (IOC) yapılan bir tespit stratejisi Bravox'a karşı güvenilir sonuç vermez. Bu ölçekteki fırsatçı aktörler ağlara genellikle iki yoldan giriyor. Birincisi, ilk erişim aracılarından (IAB, ağlara erişimi ele geçirip başka saldırganlara satan aktörler) satın alınan uzaktan erişim hesapları. İkincisi, internete açık cihazlarda yaması yapılmamış açıklar. Bravox için bu yolların hangisinin kullanıldığı doğrulanmış değil. Sektör ve ülke dağılımındaki fırsatçı görünüm ise erişimin hedefe göre değil, bulunabilirliğe göre seçildiği bir modelle uyumlu.
İlanların sızıntı sitesinde yayımlanıyor olması bir şeyi kesinleştiriyor: Saldırı zincirinde veri sızdırma aşaması var. Şifreleme olsa da olmasa da kurumdan dışarıya büyük hacimli veri aktarılıyor. Bu, saldırının en görünür ve tespit edilebilir anlarından biri.
Gasp Modeli: İki Sızıntı Sitesi
Bravox, çifte gasp modelini kullanan gruplarla aynı yapıyı izliyor. Çifte gaspta saldırgan verileri şifrelemekle kalmaz, önceden çaldığı verileri yayımlamakla da tehdit eder. Bu tehdidin uygulandığı yer, sızıntı sitesidir (DLS, Data Leak Site). Kurbanların adlarının ve çalınan verilerin yayımlandığı bu siteler genellikle Tor ağı üzerinde barındırılır.
21 Ekim 2026 itibarıyla izlenen iki sızıntı sitesinin ikisi de erişilebilir durumdaydı. İki ayrı site tutmak, birinin kapatılmasına ya da hizmet dışı kalmasına karşı yedeklilik sağlıyor. Altyapının ikisinin birden çalışır durumda olması, grubun izleme döneminin sonunda operasyonel olduğunu gösteriyor.
Müzakere kaydı, fidye talep tutarı ya da fidye notu metni hakkında elimizde veri yok. Bu nedenle grubun talep düzeyi, pazarlık esnekliği veya ödeme sonrası davranışı konusunda bir değerlendirme yapılamıyor. Grubun "ödeme yapılırsa veri silinir" gibi bir taahhüde uyup uymadığı da bilinmiyor. Bu belirsizlik, fidye ödemenin verinin ifşa edilmeyeceğine dair hiçbir güvence vermediği gerçeğini daha da ağırlaştırıyor.
Diğer Gruplarla İlişki
Ortak kurban kayıtları
| Grup | Ortak kurum | Mükerrer kayıt |
|---|---|---|
| SafePay | 1 | 1 |
| INC Ransom | 0 | 1 |
SafePay ile bir kurumun her iki grubun sızıntı sitesinde de yer alması, en somut bağlantı izi. Bunun üç olası açıklaması var: Aynı kurum iki ayrı aktör tarafından birbirinden bağımsız hedef alınmış olabilir. Aynı iş ortağı iki markayla çalışıyor olabilir. Ya da çalınan veri bir gruptan diğerine geçip yeniden yayımlanmış olabilir. Tek bir ortak kayıt bunlardan birini seçmeye yetmiyor. INC Ransom ile kurum düzeyinde doğrulanmış bir eşleşme yok, yalnızca bir mükerrer kayıt var. Bu zayıf bir sinyal ve ilişki kanıtı olarak okunmamalı.
Benzer hedef profiline sahip gruplar
| Grup | Benzerlik | Toplam ilan |
|---|---|---|
| Everest | %86 | 419 |
| Coinbase Cartel | %85 | 203 |
| SpaceBears | %85 | 159 |
| The Gentlemen | %84 | 998 |
| INC Ransom | %84 | 976 |
Beş grubun benzerlik oranı %84–86 gibi dar bir aralıkta toplanıyor. Bu grupların hacmi ise Bravox'un onlarca katı ve kendi aralarında da çok farklı. Bu tablo, Bravox'un hedef profilinin (ABD ağırlıklı, Avrupa'nın güçlü olduğu, sektör açısından dağınık) fidye yazılımı ekosisteminin ana akım profiline çok yakın olduğunu söylüyor. Bir soy bağı göstermiyor. Profil benzerliği tek başına yeniden markalama ya da ortak operatör kanıtı sayılmaz.
Yeniden markalama ve iş ortağı göçü açısından izlenmesi gereken asıl iz SafePay bağlantısı. Ortak kurban sayısı artarsa ya da iki grubun ilan zamanlamaları örtüşmeye başlarsa, aynı iş ortaklarının iki marka arasında çalıştığı değerlendirmesi güç kazanır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Türkiye'den bir Bravox kurbanı bulunmuyor. Ancak 32 ilanlık bir örneklemde bir ülkenin yer almaması, o ülkenin risk dışında olduğu anlamına gelmez. Grubun fırsatçı hedef seçimi, erişim bulunan her kurumun hedef olabileceğini gösteriyor. Avrupa ağırlığı da Türkiye için doğrudan bir risk kanalı açıyor: İsviçre, Fransa, Almanya ve İtalya'daki şirketlerle tedarik zinciri, ortak sistem ya da veri paylaşımı ilişkisi olan Türk ihracatçıları, yazılım ve hizmet sağlayıcıları, bu kurumlar üzerinden dolaylı olarak etkilenebilir.
Bravox'a özgü teknik gösterge olmadığı için korunma, belirli bir saldırı zincirine değil, her zincirde ortak olan kontrol noktalarına dayanmalı. Öncelik sırası şöyle:
- Uzaktan erişimde çok faktörlü doğrulama: İlk erişim yolu bilinmediğinde en olası iki giriş kapısından biri satın alınmış ya da çalınmış kimlik bilgileri. VPN, uzak masaüstü ve bulut yönetim panellerinde çok faktörlü doğrulama, bu yolu tek başına büyük ölçüde kapatır.
- İnternete açık cihazlarda yama önceliği: Diğer olası giriş kapısı güvenlik duvarı, VPN ağ geçidi ve e-posta sunucusu gibi kenar cihazlar. Bu cihazlardaki kritik açıklar, iç sistemlerden önce kapatılmalı.
- Büyük hacimli dış veri aktarımının izlenmesi: Grubun sızıntı sitesi modeli, veri sızdırmanın kesin olarak yaşandığını gösteriyor. Olağan dışı hacimde ya da alışılmadık hedeflere yapılan veri çıkışının izlenmesi, saldırıyı şifrelemeden önce yakalamak için en gerçekçi fırsat.
- Değiştirilemez ve ağdan ayrık yedek: Şifreleme aşamasına gelinirse işin kurtarılabilir olup olmadığını belirleyen tek kontrol bu. Yedeklerin, ele geçirilmiş bir yönetici hesabıyla silinemeyecek şekilde ayrık tutulması gerekiyor.
- Ağ bölümlendirmesi: Sağlık ve enerji gibi sektörlerde operasyonel sistemlerin kurumsal ağdan ayrılması, tek bir noktadan yapılan sızmanın tüm altyapıya yayılmasını sınırlar.
Saldırıya uğrayan kurumlar fidye ödememeli. Ödeme, verinin silineceğine dair bir güvence vermez ve aynı aktörün tekrar saldırmasını teşvik eder. Kişisel veri etkilenmişse 6698 sayılı Kanun kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de değerlendirilmelidir. Delillerin korunması ve kurtarma olanaklarının belirlenmesi için profesyonel olay müdahalesine başvurulması önerilir. DrDisk Lab etkilenen sistemler için ücretsiz ön analiz sunar.
Sonuç
Bravox, hacim bakımından ekosistemin küçük oyuncularından biri. Ancak düzenli bir üç aylık ritimle ilan yayımlıyor ve 21 Ekim 2026 itibarıyla iki sızıntı sitesi de çalışır durumdaydı. Grubun asıl risk unsuru büyüklüğü değil, görünmezliği. Saldırı zinciri, kullandığı açıklar ve pazarlık davranışı hakkında doğrulanmış veri yok. Bu yüzden savunma gruba özgü göstergelere değil, temel kontrollerin olgunluğuna dayanmak zorunda. Önümüzdeki dönemde izlenmesi gereken üç sinyal var: Dalga döngüsünün sürüp sürmediği, SafePay ile ortak kurban sayısının artıp artmadığı ve grubun saldırı tekniklerine dair ilk güvenilir teknik raporlar.
