Helldown Ransomware Grubu Kimdir?
Helldown, araştırmacı kayıtlarına göre ilk kez 5 Ağustos 2024'te görülen bir fidye yazılımı grubudur. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı güne denk geliyor. Bu nedenle grubun faaliyetini başından itibaren izlediğimizi söyleyebiliriz. İzleme kapsamı sonradan başlamadığı için ilk haftalarda kaçırılan ilan olmamalı.
Grup, çifte gasp modeliyle çalışıyor: Kurbanın verileri önce dışarı çıkarılıyor, ardından sistemler şifreleniyor. Fidye ödenmezse çalınan veriler grubun sızıntı sitesinde (DLS, Data Leak Site) yayımlanmakla tehdit ediliyor. Helldown'un hizmet olarak fidye yazılımı (RaaS) modeliyle, yani yazılımı iş ortaklarına (affiliate) kiralayarak çalıştığını gösteren güçlü bir kamuya açık kanıt yok. Grubun kapalı bir ekip mi yoksa küçük ölçekli bir ortaklık yapısı mı olduğu belirsizliğini koruyor.
Soyağacı konusunda veri bloğumuzda bir üst grup ya da kardeş grup kaydı bulunmuyor. Kamuya açık teknik analizlerde grubun Windows sürümünün, sızdırılmış LockBit 3.0 oluşturucusundan türetilmiş olabileceği değerlendirilmektedir. Bu kesin bir organizasyonel bağ anlamına gelmez. Sızdırılmış oluşturucu 2022'den bu yana birçok bağımsız aktör tarafından kullanılıyor. Kamuya açık raporlarda grubun sanallaştırma ortamlarını hedefleyen bir Linux sürümü de kullandığı belirtiliyor.
Saldırı Hacmi ve Seyri
İzleme verimizde Helldown'a ait 36 kurban ilanı var. İlk ilan 5 Ağustos 2024, son ilan 6 Kasım 2024 tarihli. Bu da tüm faaliyetin 2024 yılının yaklaşık üç aylık bir dilimine sığdığını gösteriyor.
| Ay | İlan Sayısı |
|---|---|
| Ağustos 2024 | 21 |
| Eylül 2024 | 0 |
| Ekim 2024 | 0 |
| Kasım 2024 | 15 |
Bu tablodan iki önemli sonuç çıkıyor:
- İlanlar sürekli değil, toplu yayımlanıyor. İlanların yarıdan fazlası grubun ilk ayına ait. Eylül ve Ekim 2024'te hiç ilan yok. Kasım ayındaki 15 ilanın, son kurban listemizdeki örneklerin tamamı gibi, aynı gün (6 Kasım 2024) yayımlandığı görülüyor. Bu durum, saldırıların o gün yapıldığını göstermez. Eylül-Ekim döneminde ele geçirilen kurumların müzakere süreci bittikten sonra toplu hâlde ilan edildiği değerlendirilmektedir. Olay müdahalesi açısından bunun anlamı şu: İlan tarihi, saldırının gerçek zaman çizelgesi için güvenilir bir gösterge değil.
- Faaliyet aniden duruyor. 6 Kasım 2024'ten sonra, 21 Ekim 2026 itibarıyla izleme verimizde yeni bir Helldown ilanı yok. Yaklaşık iki yıllık bu sessizlik birkaç şekilde açıklanabilir: Grup dağılmış olabilir, altyapısını kaybetmiş olabilir ya da farklı bir adla faaliyetine devam ediyor olabilir. Veri bloğunda sızıntı sitelerinin erişilebilirliğine dair kayıt bulunmadığı için sitenin durumuna ilişkin bir yargıda bulunmuyoruz.
Hedef Profili: Sektörler ve Ülkeler
Sektör Dağılımı
| Sektör | İlan Sayısı |
|---|---|
| Hizmet | 6 |
| Üretim | 4 |
| Enerji | 3 |
| Sağlık | 3 |
| Teknoloji | 3 |
| Lojistik | 2 |
| Finans | 1 |
| Kamu | 1 |
Toplam 36 ilanın yaklaşık üçte biri için sektör bilgisi tespit edilemedi. Bu nedenle sektör dağılımı, kesin bir tablodan çok bir eğilim olarak okunmalı. Sınıflandırılabilen ilanlarda belirgin bir uzmanlaşma görülmüyor. En büyük kalem olan hizmet sektörü bile toplamın küçük bir kısmını oluşturuyor. Hizmet ve üretimden sonra enerji, sağlık ve teknoloji eşit sayıda ilanla geliyor.
Bu yayılım, grubun hedefi sektöre göre değil, erişim fırsatına göre seçtiğine işaret ediyor. Belirli bir güvenlik ürününü ya da ağ cihazını kullanan kurumları tarayıp açığı bulunanlara saldıran aktörlerde benzer tablolar sık görülür. Enerji ve sağlık gibi kritik sektörlerin listede yer alması önemli. Ancak bu kurumların özellikle seçildiğini gösteren bir veri yok.
Ülke Dağılımı
| Ülke | İlan Sayısı |
|---|---|
| ABD | 9 |
| Almanya | 4 |
| İtalya | 3 |
| İsviçre | 2 |
| Fransa | 2 |
| Birleşik Krallık | 2 |
| Lübnan | 2 |
| Polonya | 2 |
| Avusturya | 1 |
| Brezilya | 1 |
ABD tek başına ilanların dörtte birini oluşturuyor. Yine de tablonun asıl dikkat çeken yanı Avrupa ağırlığı. Listedeki Avrupa ülkelerinin toplamı ABD'yi açıkça geçiyor. Almanya, İsviçre ve Avusturya'nın birlikte görülmesi Almanca konuşulan pazarda bir yoğunlaşmaya işaret ediyor. 6 Kasım 2024'teki toplu ilanda da Almanya ve İsviçre'den kurumlar öne çıkıyor. Lübnan'ın iki ilanla listede yer alması da fırsatçı hedeflemeyle uyumlu. Aynı kenar cihaz ailesinin yaygın kullanıldığı her ülke potansiyel hedeftir. Türkiye ilk on ülke arasında yer almıyor.
Saldırı Yöntemi
İlk erişim. Veri bloğumuzda grupla eşleştirilmiş bir güvenlik açığı kaydı yok. Kamuya açık araştırmalarda Helldown'un ilk erişimi, internete açık güvenlik duvarı ve VPN cihazlarındaki açıklar üzerinden sağladığı değerlendirilmektedir. Özellikle bir üreticinin güvenlik duvarı ürünleri öne çıkıyor. Sektör ve ülke dağılımındaki fırsatçı yapı bu değerlendirmeyle örtüşüyor. Kenar cihaz açıkları geniş çapta taranabildiği için kurbanlar sektörden bağımsız biçimde birikir. Bu tablo, sızan kimlik bilgilerini satın alma ya da ilk erişim aracılarından (IAB, kurum ağlarına erişim satan aracılar) yararlanma olasılığını dışlamıyor. Ancak buna dair doğrudan veri bulunmuyor.
Keşif ve kimlik bilgisi toplama. Gruba atfedilen araçlar klasik ve gürültülü bir operasyona işaret ediyor. Ağ taraması ile açık servisler ve sunucular haritalanıyor. Ardından bellekten kimlik bilgisi çıkarılarak yönetici hesaplarına ulaşılıyor. Fidye notunun doğrudan "Active Directory etki alanı yönetimine" hitap etmesi, hedefin tek tek makineler değil, etki alanının tamamı olduğunu açıkça gösteriyor. Grup etki alanı yöneticisi yetkisini ele geçirmeden şifreleme aşamasına geçmiyor gibi görünüyor.
Savunmayı devre dışı bırakma ve yayılma. Araç setinde, güvenlik yazılımlarının süreçlerini sonlandırmak için kötüye kullanılan meşru bir sistem analiz aracı da var. Bu, şifreleme öncesinde uç nokta korumasının bilerek kapatıldığı anlamına geliyor. Yayılma ve kalıcılık için ise yöneticilerin günlük işlerde kullandığı meşru uzaktan çalıştırma ve uzaktan masaüstü yazılımları tercih ediliyor. Bu yaklaşımın savunmaya etkisi büyük. Saldırganın faaliyeti, imza tabanlı tespitten çok davranışsal sapmalarla fark edilebiliyor: olağandışı saatlerde yönetici araçlarının kullanılması, kayıtlı olmayan uzaktan erişim oturumları, güvenlik servislerinin beklenmedik şekilde durması gibi.
Veri sızdırma ve şifreleme. Çifte gasp modeli gereği veri dışarı çıkarılıyor, sonra Windows sistemler ve sanallaştırma sunucuları şifreleniyor. Veri bloğunda gruba ait bir YARA kuralı kaydı bulunuyor. Bu, şifreleyici örneklerinin analiz edilip imza düzeyinde tanımlandığını gösteriyor. Ancak imza tespiti, savunmanın daha önceki aşamalarda başarısız olduğu bir noktaya denk geliyor.
Gasp Modeli
Helldown kurbanlarını kendi sızıntı sitesinde ilan ediyor. Yukarıda anlatılan toplu ilan davranışı, sitenin gerçek zamanlı bir baskı aracından çok, müzakeresi başarısız olan kurumların toplu olarak "cezalandırıldığı" bir arşiv işlevi gördüğünü düşündürüyor. Veri bloğunda müzakere kaydı olmadığından fidye talebi tutarları ve ödeme davranışı hakkında bir değerlendirme yapamıyoruz.
Fidye notu İngilizce. Çerçeve içine alınmış, standart bir şablonla yazılmış. Doğrudan "Active Directory etki alanı yönetimine" sesleniyor. Bu hitap, notun bir son kullanıcıya değil, BT yönetimine ve karar vericilere yazıldığını gösteriyor. Yani saldırgan, kurumun tüm altyapısını ele geçirdiği mesajını en baştan vermeyi amaçlıyor. Bu kalıp, ses tonu ve biçim olarak LockBit 3.0 türevi şablonlarla benzerlik taşıyor. Bu benzerlik, yukarıda değinilen oluşturucu kökeni değerlendirmesiyle tutarlı.
Diğer Gruplarla İlişki
| Grup | İlişki Türü | Değer |
|---|---|---|
| ZaWoo | Ortak kurban | 1 kurum |
| RA World | Hedef profili benzerliği | %92 |
| Hunters International | Hedef profili benzerliği | %91 |
| LockBit 3.0 | Hedef profili benzerliği | %90 |
| 8Base | Hedef profili benzerliği | %90 |
| RansomHub | Hedef profili benzerliği | %89 |
Ortak kurban ilişkisi tek bir kurumla sınırlı ve yinelenen kayıt yok. Bu düzeyde bir örtüşme, iki grubun aynı kurumu bağımsız olarak hedef almasıyla da açıklanabilir. Tek başına bir iş ortağı paylaşımına ya da yeniden markalamaya (rebranding) kanıt sayılmaz.
Hedef profili benzerliği daha dikkatle yorumlanmalı. Helldown'a en çok benzeyen beş grubun her biri, Helldown'dan kat kat fazla ilana sahip büyük ve genel amaçlı operasyonlar. Yüzde 90 civarındaki benzerlik, Helldown'un kendine özgü bir niş hedeflemediğini, ana akım fidye yazılımı ekosisteminin ortalama sektör ve ülke karışımını yansıttığını gösteriyor. Bu benzerliklerin hiçbiri tek başına grup kökeni için bir iz sayılmamalı.
Yeniden markalama ve iş ortağı göçü açısından asıl önemli veri, Kasım 2024'teki toplu ilanın ardından gelen kalıcı sessizlik. Veri bloğunda Helldown'un devamı olarak kayıtlı bir grup yok. Ancak ani duruş, aynı operatörlerin başka bir adla ya da başka bir RaaS programının iş ortağı olarak faaliyetine devam ettiği senaryoyu güçlendiriyor. Bu nedenle Helldown'a özgü göstergeler, grubun kendisi sessiz kalsa bile tehdit avı listelerinde tutulmaya değer.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Türkiye'nin Helldown ilanları arasında bulunmaması, Türk kuruluşlarının bu saldırı modelinden uzak olduğu anlamına gelmiyor. Grup sektör ve ülke seçmek yerine açığı bulunan kenar cihazları hedefliyor gibi görünüyor. Avrupa ve ABD'deki orta ölçekli hizmet ve üretim firmalarında kullanılan altyapının benzeri Türkiye'de de yaygın. Ayrıca operatörlerin farklı bir adla devam etme olasılığı, aynı tekniklerin başka bir grup adıyla görülebileceği anlamına geliyor. Öneriler aşağıda, veride gözlenen saldırı zincirine göre önceliklendirilmiştir:
- İnternete açık güvenlik duvarı ve VPN cihazlarında yama önceliği. Kamuya açık değerlendirmeler grubun giriş noktası olarak kenar cihazları gösteriyor. Bu cihazlar için kritik güncellemelerin süresi, iç sistemlere göre çok daha kısa tutulmalı. Yönetim arayüzleri internete kapatılmalı.
- Uzaktan erişimde çok faktörlü doğrulama. Bu kontrol, kenar cihaz üzerinden ele geçirilen hesapların iç ağa taşınmasını zorlaştırıyor.
- Ayrıcalıklı hesapların ve Active Directory'nin korunması. Fidye notu doğrudan etki alanı yönetimini hedef alıyor ve araç setinde kimlik bilgisi çıkarma var. Etki alanı yönetici hesaplarının kullanımı sınırlandırılmalı, ayrıcalıklı oturumlar ayrı yönetim istasyonlarına taşınmalı.
- Meşru yönetim ve uzaktan erişim yazılımlarının denetimi. Saldırgan yayılmak için kurumda zaten bulunan araçları kullanıyor. Hangi uzaktan erişim yazılımına izin verildiği tanımlanmalı, tanımsız kullanım alarm üretmeli.
- Uç nokta korumasında kurcalama koruması ve servis durma alarmları. Güvenlik süreçlerinin şifreleme öncesinde sonlandırılması, saldırının en tespit edilebilir anlarından biri.
- Değiştirilemez ve ağdan ayrık yedek. Sanallaştırma sunucularının da şifrelendiği bildirildiği için yedekler etki alanı kimlik bilgileriyle erişilemeyen bir ortamda tutulmalı, geri dönüş testleri düzenli yapılmalı.
- Ağ bölümlendirmesi ve büyük hacimli dış veri aktarımının izlenmesi. Çifte gasp modelinde şifreleme son adım. Veri sızdırma aşamasını yakalamak, hem yayılmayı hem de gasp baskısını sınırlıyor.
Saldırıya uğrayan kuruluşların fidye ödemesi önerilmez. Ödeme verinin silineceğini ya da yayımlanmayacağını garanti etmiyor. Kişisel veri ihlallerinde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü, siber olaylarda ise USOM'a bildirim süreci göz önünde bulundurulmalı. Olay sonrasında kanıtların korunması ve kurtarma olanaklarının belirlenmesi için profesyonel olay müdahalesi alınmalı. DrDisk Lab bu aşamada ücretsiz ön analiz sunuyor.
Sonuç
Helldown'un izleme verimizdeki ömrü yaklaşık üç ay ve 36 ilanla sınırlı. Ancak grubu değerlendirirken asıl dikkate alınması gereken, kullandığı modelin ne kadar kolay tekrarlanabildiği. Sızdırılmış bir oluşturucudan türetildiği değerlendirilen bir şifreleyici, internete açık kenar cihazlar üzerinden fırsatçı erişim ve kurumun kendi yönetim araçlarıyla etki alanının ele geçirilmesi, yeni bir grubun kısa sürede onlarca kurbana ulaşmasına yetiyor. Grubun 6 Kasım 2024'ten bu yana, 21 Ekim 2026 itibarıyla, yeni ilan yayımlamamış olması bu tehdidi ortadan kaldırmıyor. Sadece aynı tekniklerin bir sonraki seferde hangi adla görüleceği belirsiz. Savunmayı grup adına göre değil, kenar cihaz güvenliği, etki alanı ayrıcalıklarının korunması ve yönetim araçlarının denetimi üzerine kurmak bu nedenle daha sağlıklı bir yaklaşım.
