Everest Ransomware Grubu Kimdir?
Everest, 2021'den bu yana faaliyet gösteren, hem veri sızdırma hem de şifreleme yoluyla şantaj yapan bir fidye yazılımı grubudur. Araştırmacı kayıtlarına göre grubun ilk görüldüğü tarih Eylül 2021'dir. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk Everest kaydı da aynı güne düşüyor. Bu nedenle izleme verimiz grubun kamuya açık faaliyetinin neredeyse tamamını kapsıyor.
Grup birçok rakibinden farklı olarak geniş bir ortaklık programı (RaaS) yürüten bir yapı olarak tanınmaz. Daha çok kapalı bir ekip gibi çalıştığı değerlendirilmektedir. Kamuya açık raporlarda Everest'in yalnızca fidye yazılımı operasyonu yürütmediği, ele geçirdiği kurumsal ağlara erişimi başka suç aktörlerine satan bir "ilk erişim aracısı" gibi de davrandığı belirtiliyor. Grubun kurum çalışanlarından içeriden erişim satın almak için ilan verdiği de raporlanmıştır. Bu, Everest'in yalnızca teknik açıklara değil insan unsuruna da yatırım yaptığını gösteriyor.
İzleme verimizde Everest için bir üst grup ya da kardeş grup tanımlı değildir. Kamuoyunda kesinleşmiş bir soyağacı da bulunmuyor. Fidye yazılımı kodunun Bağımsız Devletler Topluluğu (BDT) dil ayarlarına sahip sistemlerde kendini durdurması, grubun bu bölgeyle bağlantılı aktörlerden oluştuğu değerlendirmesini destekleyen bir göstergedir.
Saldırı Hacmi ve Seyri
İzleme verimize göre Everest, 2021-2026 arasında sızıntı sitelerinde toplam 420 kurban ilan etti. 16 Ekim 2026 itibarıyla en son kayıt 13 Ekim 2026 tarihliydi, yani grup hâlâ aktifti. Yaklaşık beş yıllık süreye bakıldığında ortalama ayda yedi civarında ilan çıkıyor. Son on iki ayda ise bu ortalama belirgin biçimde yükseldi: Kasım 2025 ile Ekim 2026 arasında 143 ilan yayımlandı. Bu da aylık ortalamanın yaklaşık 12'ye çıktığı anlamına geliyor.
| Ay | İlan Edilen Saldırı |
|---|---|
| Ocak 2026 | 24 |
| Şubat 2026 | 13 |
| Mart 2026 | 6 |
| Nisan 2026 | 12 |
| Mayıs 2026 | 15 |
| Haziran 2026 | 0 |
| Temmuz 2026 | 0 |
| Ağustos 2026 | 27 |
| Eylül 2026 | 12 |
| Ekim 2026 (16 Ekim'e kadar) | 8 |
Kasım 2025'te 16, Aralık 2025'te 10 ilan kaydedildi. Ocak 2026'daki 24 ilan, yılın ilk yarısının zirvesiydi. Seyirdeki en dikkat çekici nokta, Haziran ve Temmuz 2026'da hiç ilan yayımlanmaması ve ardından Ağustos'ta 27 ilanla izleme dönemindeki en yüksek aylık değere ulaşılmasıdır.
İki aylık sessizliğin ardından gelen bu sıçrama, saldırıların durduğunu değil, ilanların biriktirildiğini düşündürüyor. 16 Ekim 2026 itibarıyla verimizde grubun iki sızıntı sitesinden yalnızca birinin erişilebilir olduğu görülüyordu. Bu nedenle boşluğun altyapı kesintisinden ya da site değişikliğinden kaynaklandığı değerlendirilmektedir. Benzer bir durum daha önce de yaşanmıştı: 2025 yılında grubun sızıntı sitesinin tahrif edildiği ve bir süre yayın dışı kaldığı kamuoyuna yansımıştı. Everest bu tür kesintilerden sonra faaliyetine geri dönebildiğini göstermiş bir gruptur.
Hedef Profili: Sektörler ve Ülkeler
Sektörel dağılım
| Sektör | Saldırı | Toplam İçindeki Payı |
|---|---|---|
| Teknoloji | 56 | %13,3 |
| Sağlık | 54 | %12,9 |
| Üretim | 29 | %6,9 |
| Finans | 23 | %5,5 |
| Hizmet | 18 | %4,3 |
| Hizmet (ikinci alt sınıf) | 15 | %3,6 |
| Kamu | 9 | %2,1 |
| Lojistik | 8 | %1,9 |
Not: Hizmet sektörü sınıflandırmamızda iki ayrı kayıt olarak görünüyor. Kalan ilanlar diğer ya da belirlenemeyen sektörlere aittir.
Teknoloji ve sağlık, birbirine çok yakın oranlarla açık ara öne çıkıyor. Sağlık sektörünün bu kadar yüksek pay alması tesadüf değildir. Hasta kayıtları, kimlik belgeleri ve sigorta bilgileri hem şantaj değeri yüksek verilerdir hem de bu verileri tutan kurumlar hizmet kesintisine dayanıklı değildir. ABD sağlık otoriteleri de geçmişte Everest'in sağlık kuruluşlarını hedef aldığı konusunda sektöre uyarı yayımlamıştı.
Teknoloji şirketlerinin hedef alınması ise ayrı bir risk taşır. Yazılım ve hizmet sağlayıcılarına sızılması, bu şirketlerin müşterilerine uzanan bir tedarik zinciri riski oluşturabilir. Ekim 2026'daki son ilanlar da bu tabloyla uyumlu: ilan edilen kurbanlar arasında iki sağlık teknolojisi şirketi, bir teknoloji firması, bir sanayi üreticisi, bir havayolu şirketi, bir muhasebe bürosu ve bir gıda işletmesi bulunuyor. Bu kurumlar ABD, Norveç, Japonya, Hollanda ve Birleşik Arap Emirlikleri'nde faaliyet gösteriyor.
Ülke dağılımı
| Ülke | Saldırı | Toplam İçindeki Payı |
|---|---|---|
| ABD | 120 | %28,6 |
| İtalya | 17 | %4,0 |
| Birleşik Arap Emirlikleri | 12 | %2,9 |
| Almanya | 12 | %2,9 |
| Japonya | 12 | %2,9 |
| Birleşik Krallık | 11 | %2,6 |
| İspanya | 10 | %2,4 |
| Kanada | 7 | %1,7 |
| İsviçre | 6 | %1,4 |
| Hindistan | 6 | %1,4 |
ABD, ilanların yaklaşık üçte birine yakınıyla birinci sırada. Ancak geri kalan dağılım oldukça dağınık. Avrupa, Körfez ve Asya'daki ülkeler birbirine yakın sayılarla listede yer alıyor. Bu tablo, Everest'in belirli bir coğrafyaya odaklanmadığını, erişim elde edebildiği her kuruma fırsatçı biçimde saldırdığını gösteriyor. Birleşik Arap Emirlikleri'nin Almanya ve Japonya ile aynı seviyede bulunması, grubun Türkiye'ye yakın bölgelerdeki kurumlarla da ilgilendiğini ortaya koyuyor.
Saldırı Yöntemi
İlk erişim
İzleme verimizde Everest'le ilişkilendirilmiş belirli bir güvenlik açığı (CVE) bulunmuyor. Bu, grubun yeni çıkan açıkları hızla istismar eden bir aktör olmadığına işaret ediyor. Kamuya açık raporlar, grubun ağırlıklı olarak çalınmış ya da satın alınmış kimlik bilgileriyle uzaktan erişim hizmetleri üzerinden içeri girdiğini gösteriyor. Grubun ilk erişim aracısı gibi davranması ve içeriden erişim araması da bu tabloyla tutarlıdır. Kurumlar için asıl risk, yamalanmamış bir sunucudan çok korumasız bırakılmış bir kullanıcı hesabıdır.
Kalıcılık ve yayılma
Grup, içeri girdikten sonra meşru uzaktan yönetim (RMM) yazılımlarını kullanarak kalıcı erişim kurar. Bu araçlar birçok kurumda zaten kullanıldığı için güvenlik ekiplerinin dikkatini çekmeyebilir. Ardından ağ tarama araçlarıyla sistemler ve paylaşımlar haritalanır, bellek dökümü yoluyla yönetici kimlik bilgileri ele geçirilir ve sızma testi çerçeveleriyle ağ içinde ilerlenir.
Fidye yazılımının kendisi de yayılma işini otomatikleştiriyor. Yazılım, ağdaki cihazları tespit ediyor, kapalı bilgisayarları uzaktan uyandırma paketleriyle açıyor, ardından ağ paylaşımlarına bağlanarak bu cihazlardaki dosyaları da şifreliyor. Gece kapatılan bilgisayarların güvende olduğu varsayımı bu grup karşısında geçerli değildir.
Savunmaları atlatma
Everest'in şifreleyicisi analiz edilmesini zorlaştıracak biçimde gizlenmiştir. Kod karartma kullanılıyor, kritik işlevler çalışma anında çözülüyor ve güvenlik ile analiz araçları tespit edilip sonlandırılıyor. Yazılım, kendi sürecinin başka programlarca incelenmesini veya durdurulmasını da engelliyor. Aynı anda yalnızca bir kopyasının çalışmasını sağlıyor ve BDT dil ayarına sahip sistemlerde çalışmayı reddediyor.
Veri sızdırma ve şifreleme
Şifrelemeden önce büyük hacimli veri dışarı aktarılır. Grubun fidye notunda bir terabayttan fazla veri çaldığını iddia etmesi bu aşamanın ölçeği hakkında fikir veriyor. Şifreleme aşamasında antivirüs, yedekleme, veritabanı ve e-posta hizmetleri dahil yaklaşık yüz hizmet durduruluyor ve yeniden başlamaları engelleniyor. Gölge kopyalar, sistem geri yükleme noktaları, yedek dosyaları ve geri dönüşüm kutusu siliniyor. Dosyalar hem yerel disklerde hem de ağ paylaşımlarında şifreleniyor.
Bu yaklaşımın amacı açıktır: kurumun kendi imkânlarıyla geri dönmesini imkânsız hâle getirmek. Aynı ağda erişilebilir durumdaki yedekleme altyapısı, bu nedenle saldırının ilk hedefleri arasındadır.
Gasp Modeli
Everest çifte gasp modeliyle çalışır. Hem dosyalar şifrelenir hem de çalınan veriler Tor ağındaki sızıntı sitesinde yayımlanmakla tehdit edilir. İzleme verimize göre grup iki ayrı sızıntı sitesi kullandı ve 16 Ekim 2026 itibarıyla bunlardan biri hâlâ erişilebilir durumdaydı. Grup, ilan ettiği kurumlara ait verileri başka alıcılara satma yoluna da gidebiliyor.
Verimizde Everest'e ait bir müzakere kaydı bulunmadığı için talep edilen tutarlar ve ödeme davranışı hakkında bir değerlendirme yapmıyoruz.
Fidye notu İngilizce yazılmış ve kendinden emin, hatta alaycı bir dil taşıyor. Not "Everest ekibinden selamlar" ifadesiyle açılıyor ve kurbanı grubun Tor üzerindeki bloguna ve sosyal medya hesabına yönlendiriyor. Saldırganlar kurumun veri koruma yazılımını ve diğer güvenlik araçlarını atlattıklarını ve bir terabayttan fazla iç dosyayı "büyük bir keyifle" sunucularına aktardıklarını yazıyor. Çalındığı iddia edilen veriler arasında finansal belgeler, iç siparişler ve müşteri kimlik doğrulama (KYC) belgeleri ile fotoğrafları sayılıyor. Bu ifadeler, kurum üzerinde hem itibar hem de düzenleyici yaptırım baskısı kurmak için seçilmiş bir dildir.
Ödeme yapılması, verilerin silineceğini ya da tekrar kullanılmayacağını garanti etmez. Grubun erişim satışı yaptığı da düşünüldüğünde, ödeme aynı kurumun ileride yeniden hedef alınma riskini ortadan kaldırmaz. DrDisk Lab fidye ödenmesini önermez.
Diğer Gruplarla İlişki
Ortak kurban ilanları
| Grup | Ortak İlan Edilen Kurum |
|---|---|
| Stormous | 3 |
| LockBit 3.0 | 2 |
| WannaCry, Raznatovic, Ransomed, Snatch, Babuk2, Lynx, 8Base, Meow | Her biri 1 |
Everest'in kurbanlarının küçük bir bölümü başka grupların sızıntı sitelerinde de yer alıyor. Stormous ile üç ortak kurum dikkat çekiyor. Ancak 420 ilan içinde bu sayılar oldukça düşük ve hiçbirinde birebir mükerrer kayıt yok. Bu örtüşmelerin büyük kısmı, aynı kurumun farklı zamanlarda farklı gruplarca hedef alınmasından, çalınan verilerin el değiştirmesinden ya da başka sitelerde yeniden yayımlanmasından kaynaklanıyor olabilir. Everest'in erişim ve veri satışı yaptığı bilindiğinden, aynı erişimin başka aktörlerce de kullanıldığı değerlendirilmektedir. Bu veriler örgütsel bir birleşmeye işaret etmiyor.
Benzer hedef profiline sahip gruplar
| Grup | Hedef Profili Benzerliği | Toplam Saldırı |
|---|---|---|
| INC Ransom | %95 | 983 |
| Embargo | %95 | 41 |
| SpaceBears | %94 | 160 |
| World Leaks | %93 | 176 |
| Chaos | %93 | 96 |
Sektör ve ülke dağılımı açısından Everest'e en çok benzeyen gruplar arasında INC Ransom ve Embargo bulunuyor. Benzerlik oranı, iki grubun benzer kurumları seçtiğini gösterir, aynı kişilerden oluştuklarını göstermez. Fidye yazılımı ekosisteminde gruplar sık sık isim değiştirir ve ortaklar bir programdan diğerine geçer. Bu nedenle hedef profili örtüşmesi, ileride olası bir yeniden markalanma veya ortak göçünü fark etmek için izlenmesi gereken bir göstergedir. Everest'in kapalı ekip yapısı ve uzun süreli tutarlı markası düşünüldüğünde, bu benzerliklerin şu aşamada ortak hedef seçme mantığını yansıttığı değerlendirilmektedir.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Türkiye, Everest'in en çok hedef aldığı on ülke arasında yer almıyor. Yine de bu durum risk olmadığı anlamına gelmez. Grup coğrafi olarak fırsatçıdır. Körfez ve Avrupa'daki kurumlara düzenli olarak saldırıyor ve Türkiye'de yaygın olan teknoloji, sağlık, üretim ve finans sektörlerine odaklanıyor. Yurt dışında iştiraki, müşterisi ya da tedarikçisi bulunan Türk şirketleri, bu ilişkiler üzerinden dolaylı olarak da etkilenebilir.
Genel düzeyde öne çıkan korunma önlemleri şunlardır:
- Uzaktan erişim hizmetlerinin tamamında çok faktörlü kimlik doğrulama zorunlu tutulmalı ve kullanılmayan hesaplar kapatılmalıdır.
- Kurumda kullanılan uzaktan yönetim yazılımlarının envanteri çıkarılmalı ve onaysız kurulumlar tespit edilip engellenmelidir.
- Yedekler ağdan yalıtılmış, değiştirilemez kopyalar olarak tutulmalı ve geri dönüş düzenli olarak sınanmalıdır.
- Ağ bölümlendirmesi, tek bir cihazın ele geçirilmesinin tüm paylaşımlara erişime dönüşmesini zorlaştıracak biçimde kurgulanmalıdır.
- Güvenlik ve yedekleme hizmetlerinin toplu olarak durdurulması ya da olağan dışı büyük veri çıkışları gibi saldırı öncesi işaretler izlenmelidir.
- Çalışanlar, içeriden erişim talep eden yaklaşımlara karşı bilgilendirilmeli ve bu tür girişimleri bildirmeleri için açık bir kanal sunulmalıdır.
Saldırıya uğrayan kuruluşların yasal yükümlülükleri de vardır. Kişisel verilerin etkilendiği bir ihlal, gecikmeksizin ve Kurul kararına göre en geç 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirilmelidir. Olay ayrıca USOM ile paylaşılmalıdır. Kanıtların korunması için saldırı sonrası sistemlere rastgele müdahale edilmemeli ve profesyonel olay müdahale desteği alınmalıdır. DrDisk Lab, etkilenen kurumlar için ücretsiz ön analiz sunmaktadır.
Sonuç
Everest, 2021'den bu yana kesintilere rağmen faaliyetini sürdüren, 420 kurban ilanına ulaşmış bir gruptur. Son on iki aydaki ilan hızı, grubun tarihsel ortalamasının belirgin biçimde üzerinde seyrediyor. Grup teknoloji ve sağlık başta olmak üzere çok çeşitli sektörlerden ve coğrafyalardan fırsatçı biçimde kurban seçiyor. Ele geçirilmiş hesaplarla içeri giriyor, meşru yönetim araçlarıyla kalıcılık sağlıyor ve şifrelemeden önce yedekleri ve kurtarma imkânlarını ortadan kaldırıyor. Erişim satışı ve içeriden destek arayışı, Everest'i yalnızca bir fidye yazılımı grubu olmaktan çıkarıp daha geniş bir suç ekosisteminin parçası hâline getiriyor. Bu tehdide karşı en etkili savunma, kimlik güvenliğini, yalıtılmış yedekleri ve erken tespit kabiliyetini birlikte ele almaktır.
