LockBit Ransomware Grubu Kimdir?
LockBit, son yılların en etkili ve en uzun süre faaliyet gösteren fidye yazılımı operasyonlarından biri olarak kabul ediliyor. Kamuoyuna açık bilgilere göre grup ilk olarak 2019 yılında ortaya çıktı. O dönemde şifrelenen dosyalara eklediği uzantı nedeniyle "ABCD" adıyla anılan sürüm, kısa süre içinde LockBit adını aldı. Grubun kendi fidye notunda da "2019'dan beri" ifadesinin yer alması bu kökeni doğruluyor.
LockBit bir Hizmet Olarak Fidye Yazılımı (RaaS) modeliyle çalışır. Çekirdek ekip şifreleme yazılımını, sızıntı sitesini ve müzakere altyapısını geliştirip yönetir. Kurum ağlarına sızma, yayılma ve şifreleme ise programa katılan bağlı ortaklar (affiliate) tarafından yapılır. Elde edilen fidye, ekip ile ortaklar arasında paylaşılır. Bu model sayesinde tek bir yazılım ailesi, birbirinden bağımsız çok sayıda saldırgan tarafından aynı anda kullanılabilir. Bu da LockBit'in kurban profilinin neden bu kadar geniş ve dağınık olduğunu açıklar.
Bu sayfa, LockBit ailesinin ilk nesline ait kaydı ele alıyor. Bu kayıt için araştırmacıların tespit ettiği ilk tarih 21 Ekim 2020, son tarih 23 Ağustos 2021'dir. DrDisk Lab izleme verisindeki ilk ve son kayıtlar da bu tarihlerle örtüşüyor. Grubun 2019'daki ortaya çıkışı ile 2020 sonbaharındaki ilk kayıt arasındaki farkın, sızıntı sitesi üzerinden kurban ilan etme pratiğinin sonradan başlamasından kaynaklandığı değerlendirilmektedir.
Soyağacı: Tek Marka, Birden Fazla Nesil
LockBit, yıllar içinde sürüm numaralarıyla kendini yeniden adlandırdı. Kütüphanemizde her nesil ayrı bir kayıt olarak izleniyor:
| Nesil | Kütüphane kaydı | Öne çıkan özellik |
|---|---|---|
| LockBit (ilk nesil) | lockbit | 2019 kökenli ilk sürüm. Bu sayfanın konusu. |
| LockBit 2.0 | lockbit2 | 2021 ortasında duyurulan, yaygınlaştırma kabiliyetleri artırılmış sürüm |
| LockBit 3.0 (Black) | lockbit3 | 2022'de çıkan, BlackMatter fidye yazılımının kodundan yararlanan sürüm |
| LockBit 5.0 | lockbit5 | 2025'te gündeme gelen, grubun "ölümsüz" söylemiyle tanıttığı güncel sürüm |
Arada önemli bir kırılma da yaşandı: Şubat 2024'te Birleşik Krallık, ABD ve Avrupa kolluk kuvvetlerinin ortak yürüttüğü ve "Operation Cronos" adı verilen operasyonla grubun altyapısının büyük kısmı ele geçirildi. Buna rağmen marka tamamen ortadan kalkmadı ve yeni sürümlerle varlığını sürdürmeye çalıştı.
Saldırı Hacmi ve Seyri
İzleme verimizde LockBit ilk nesil kaydı altında toplam 5 saldırı yer alıyor. Faaliyet 2020 ve 2021 yıllarına yayılıyor. Aylık dağılım şöyle:
| Dönem | Saldırı sayısı |
|---|---|
| Ekim 2020 | 1 |
| Kasım 2020 | 1 |
| Aralık 2020 – Mart 2021 | 0 |
| Nisan 2021 | 1 |
| Mayıs – Haziran 2021 | 0 |
| Temmuz 2021 | 1 |
| Ağustos 2021 | 1 |
Bu rakamlar LockBit'in toplam operasyon büyüklüğünü değil, yalnızca ilk nesil kaydına bağlanan ve sızıntı sitesinde ilan edilen kurbanları gösteriyor. Ailenin sonraki nesilleri çok daha yüksek hacimlere ulaştı. Bu kayıttaki düşük sayı, grubun sızıntı sitesini henüz sistematik bir baskı aracı olarak kullanmadığı erken dönemi yansıtıyor.
Seyirdeki dört aylık boşluk ve 2021 yazındaki yoğunlaşma dikkat çekiyor. Temmuz ve Ağustos 2021 kayıtları, LockBit 2.0'ın duyurulduğu döneme denk geliyor. Bu nedenle bu son kayıtların iki nesil arasındaki geçiş sürecine ait olduğu ve bazı kaynaklarda LockBit 2.0'a atfedilebileceği değerlendirilmektedir.
İlan Edilen Kurbanlar
| Tarih | Kurban | Ülke | Sektör |
|---|---|---|---|
| 23 Ağustos 2021 | Bangkok Airways | Tayland | Lojistik |
| 30 Temmuz 2021 | Accenture | Belirtilmemiş | Teknoloji |
| 1 Nisan 2021 | Merseyrail (demiryolu ağı) | Birleşik Krallık | Lojistik |
| 30 Kasım 2020 | Kopter | İsviçre | Üretim |
| 21 Ekim 2020 | Press Trust of India (PTI) | Hindistan | İletişim |
Liste kısa olsa da kurbanların niteliği önemli bir şey söylüyor: Grup daha ilk döneminde ulusal haber ajansı, havayolu, demiryolu işletmesi ve küresel ölçekte bir teknoloji danışmanlık firması gibi görünürlüğü yüksek kuruluşları hedef almış.
Hedef Profili: Sektörler ve Ülkeler
| Sektör | Saldırı sayısı | Pay |
|---|---|---|
| Lojistik | 2 | %40 |
| İletişim | 1 | %20 |
| Üretim | 1 | %20 |
| Teknoloji | 1 | %20 |
| Ülke | Saldırı sayısı |
|---|---|
| İsviçre | 1 |
| Birleşik Krallık | 1 |
| Hindistan | 1 |
| Tayland | 1 |
| Belirtilmemiş | 1 |
Bu dağılımdan üç sonuç çıkıyor:
- Kesintiye duyarlı sektörler öne çıkıyor. Lojistik ve ulaşım işletmelerinde sistemlerin durması doğrudan operasyonel kayba ve kamuoyu baskısına yol açar. Bu da kurbanı fidye ödemeye zorlamak için güçlü bir kaldıraç sağlar.
- Coğrafi bir odak yok. Dört kıtaya yayılan beş kurban, RaaS modelinde hedef seçiminin coğrafyaya göre değil, ortakların bulduğu erişim fırsatlarına göre yapıldığını gösteriyor.
- Tedarik zinciri etkisi gözetiliyor. Teknoloji ve danışmanlık firmaları gibi çok sayıda müşteriye hizmet veren kuruluşlar, saldırının etkisini kurbanın kendi sınırlarının ötesine taşıyabilir.
İlk nesil kaydında Türkiye'den ilan edilmiş bir kurban bulunmuyor. Ancak bu durum, Türk kuruluşlarının LockBit ailesinin genel hedef alanı dışında kaldığı anlamına gelmiyor.
Saldırı Yöntemi: İlk Erişimden Şifrelemeye
Profil verisindeki teknik bilgiler LockBit ailesinin tamamını kapsıyor. Bu nedenle bazı unsurlar, örneğin LockBit 3.0'a özgü kod yapısı ya da 2021 sonrasında yayımlanan açıklar, bu sayfadaki ilk nesil faaliyet döneminden sonrasına ait. Yine de saldırının genel akışı nesiller boyunca büyük ölçüde aynı kaldı.
İlk Erişim
LockBit ortakları ağa genellikle üç yoldan girer: daha önce ele geçirilmiş ve erişim aracılarından satın alınmış ya da oltalama (phishing) ile elde edilmiş kullanıcı bilgileriyle uzak masaüstü (RDP) veya VPN üzerinden oturum açmak, internete açık sistemlerdeki güvenlik açıklarını istismar etmek ve hedefli oltalama e-postaları göndermek. İnternete açık uzak erişim servislerine yönelik kaba kuvvet (brute force) denemeleri de bu aşamanın parçasıdır.
İstismar edilen açıkların çoğu ağın dış sınırında bulunan ürünlerde: VPN ve güvenlik duvarı cihazları, uygulama dağıtım ağ geçitleri, dosya aktarım çözümleri, yazdırma yönetim sunucuları ve yaygın yazılım kütüphaneleri. Bu açıkların neredeyse tamamı kritik veya yüksek önem derecesinde ve yamaları uzun süredir mevcut. Buradan çıkan ders açık: LockBit'in başarısı büyük ölçüde sıfırıncı gün açıklarından değil, yamalanmamış ve unutulmuş sınır sistemlerinden besleniyor. Listede bir etki alanı denetleyicisi (domain controller) kimlik doğrulama açığının bulunması da dikkat çekici. Bu tür açıklar saldırganın içeride kısa sürede en yüksek yetkiye ulaşmasını sağlayabilir.
Yerleşme ve Keşif
İçeri giren saldırgan, yönetim araçlarını ve betikleri kullanarak kalıcılık kurar. Zamanlanmış görevler ve sistem açılışında çalışan kayıt defteri girdileri bunun başlıca yöntemleridir. Ardından ağ taranır, sunucular ve açık servisler haritalanır, Active Directory yapısı ve etki alanları arasındaki güven ilişkileri incelenir. Bu aşamada meşru uzaktan erişim yazılımlarının arka kapı olarak kurulması yaygındır. Bu araçlar sistem yöneticilerinin günlük işlerinde de kullanıldığı için tespit edilmesi zordur.
Yetki Yükseltme ve Yayılma
Saldırgan, bellekteki oturum bilgilerini toplayarak yönetici hesaplarına ulaşır. Elde edilen kimlik bilgileriyle RDP ve yönetim paylaşımları üzerinden ağ içinde yayılır, gerekirse yamalanmamış iç servisleri de istismar eder. Bu süreçte güvenlik yazılımları ve uç nokta koruma araçları devre dışı bırakılır, iz bırakmamak için olay günlükleri silinir. Yazılımın paketlenmiş ve gizlenmiş yapısı da analiz edilmesini zorlaştırır.
Veri Sızdırma ve Şifreleme
Şifrelemeden önce kurumun hassas verileri sıkıştırılarak bulut depolama hizmetlerine veya saldırgan kontrolündeki sunuculara aktarılır. Çifte gasp modelinin temeli budur: Kurum yedeklerden dönmeyi başarsa bile çalınan verilerin yayımlanması tehdidi devam eder.
Son aşamada veritabanı, yedekleme ve güvenlik servisleri durdurulur, gölge kopyalar ve erişilebilir yedekler silinir. Ardından dosyalar güçlü şifreleme algoritmalarıyla kilitlenir. Yedeklerin hedef alınması, kurumun kendi imkânlarıyla geri dönüş yapmasını engellemeye yönelik bilinçli bir adımdır.
Gasp Modeli ve Fidye Notu
LockBit, kurbanlarını Tor ağı üzerindeki bir sızıntı sitesinde ilan ederek baskı kurar. Kurum ödeme yapmazsa çalınan verilerin yayımlanacağı duyurulur. Bu kayıt için elimizde müzakere verisi bulunmadığından talep edilen tutarlar ve ödeme davranışı hakkında bir değerlendirme yapmıyoruz.
Profilde yer alan fidye notu örneği, ilk nesle değil LockBit 5.0'a ait. Yine de grubun yıllardır kullandığı iletişim dilini iyi yansıtıyor:
- Hız ve dayanıklılık iddiası: Not, yazılımı "en hızlı, en kararlı ve ölümsüz" fidye yazılımı olarak tanıtıyor. Bu söylemin, kolluk operasyonlarına rağmen markanın ayakta olduğu mesajını vermeyi amaçladığı değerlendirilmektedir.
- Güvenilirlik vaadi: Grup kendini "gezegenin en eski gasp çetesi" olarak tanımlıyor ve itibarının her şeyden önemli olduğunu, tek bir müşteriyi dolandırırsa diğerlerinin ödeme yapmayacağını söylüyor. Bu ifadeler, kurbanı ödeme sonrasında verilerin silineceğine ikna etmeye yönelik.
- Siyasi motivasyonun reddi: Not, grubun yalnızca maddi kazanç peşinde olduğunu vurguluyor.
Bu kurumsal ve "ticari" ton, fidye ödemenin güvenli bir işlem olduğu algısını yaratmak için kullanılıyor. Oysa ödeme, verilerin silineceğini, şifre çözücünün eksiksiz çalışacağını veya kurumun yeniden hedef alınmayacağını garanti etmez. Operation Cronos sırasında, ödeme yapmış kurbanlara ait verilerin grubun sunucularında hâlâ tutulduğunun ortaya çıkması bu riskin somut bir örneği olarak kamuoyuna yansıdı.
Diğer Gruplarla İlişki
İzleme verimizde bu kayıt için ortak kurban ilan eden ya da benzer hedef profiline sahip başka bir grup tespit edilmedi. LockBit'in ilişki ağı dışa doğru değil, kendi içinde ilerliyor: İlk nesil, LockBit 2.0, 3.0 ve 5.0 kayıtlarının ana kaydı konumunda.
Bu yapı, fidye yazılımı ekosistemindeki yeniden markalama pratiğinin tipik bir örneği. Sürüm değişiklikleri hem teknik yenilikleri duyurmak hem de bağlı ortakları programda tutmak veya yeni ortaklar kazanmak için kullanılıyor. LockBit 3.0'ın başka bir grubun, BlackMatter'ın kodundan yararlanması da kapanan operasyonların kodlarının ve büyük ihtimalle ortaklarının farklı markalar arasında dolaştığını gösteriyor. RaaS modelinde ortaklar sadakat göstermez, en iyi koşulu sunan programa geçer. Bu nedenle bir markanın çökmesi tehdidin ortadan kalktığı anlamına gelmez. Aynı kişiler aynı yöntemlerle başka bir isim altında çalışmayı sürdürebilir.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İlk nesil kaydında Türkiye'den bir kurban bulunmasa da LockBit ailesinin yöntemleri coğrafyaya değil, erişim fırsatına dayanıyor. İnternete açık VPN, uzak masaüstü ve dosya aktarım sistemleri kullanan her ölçekten kuruluş, bu grubun ve onun yöntemlerini kopyalayan diğer grupların potansiyel hedefidir. Lojistik, üretim ve teknoloji hizmeti sunan kuruluşlar, kesintiye duyarlılıkları ve tedarik zincirindeki konumları nedeniyle ayrıca dikkatli olmalı.
Genel düzeyde öne çıkan önlemler şunlardır:
- İnternete açık tüm sistemlerin envanterini çıkarın ve kritik güvenlik yamalarını öncelikli olarak uygulayın.
- Uzak erişim servislerinde çok faktörlü kimlik doğrulamayı zorunlu kılın, gereksiz yere internete açık uzak masaüstü erişimini kapatın.
- Yönetici hesaplarının sayısını ve yetkilerini sınırlayın, sızdırılmış kimlik bilgilerini düzenli olarak takip edin.
- Yedeklerin en az bir kopyasını ağdan yalıtılmış ve değiştirilemez biçimde saklayın, geri dönüşü periyodik olarak test edin.
- Olağan dışı veri çıkışlarını ve meşru uzaktan erişim araçlarının beklenmedik kurulumlarını izleyin.
- Çalışanlara yönelik oltalama farkındalık eğitimlerini süreklilik içinde yürütün ve yazılı bir olay müdahale planı hazırlayın.
Saldırıya uğrayan kuruluşlar fidye ödemeyi bir çözüm olarak görmemelidir. Ödeme, verilerin geri verileceğini veya yayımlanmayacağını garanti etmez ve suç ekonomisini besler. Kişisel verilerin etkilendiği durumlarda 6698 sayılı KVKK kapsamında Kişisel Verileri Koruma Kurulu'na en kısa sürede bildirim yapılması gerekir. Siber olayların USOM'a bildirilmesi de hem yasal hem kurumsal sorumluluğun bir parçasıdır. Delillerin korunması ve sistemlerin güvenli biçimde ayağa kaldırılması için profesyonel olay müdahalesi alınması önerilir. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz hizmeti sunuyor.
Sonuç
LockBit'in ilk nesil kaydı izleme verimizde yalnızca beş saldırıdan oluşuyor. Ancak bu kısa liste bile grubun daha erken dönemde ulusal ölçekte görünürlüğü yüksek ve kesintiye duyarlı kuruluşları hedef aldığını gösteriyor. Sonraki nesillerde ölçeği büyüyen bu operasyon; yamalanmamış sınır sistemleri, çalınmış kimlik bilgileri ve çifte gasp üzerine kurulu bir iş modelinin ne kadar dayanıklı olabileceğini kanıtladı. Kolluk operasyonları ve yeniden markalamalar markanın görünümünü değiştirse de yöntemler büyük ölçüde aynı kaldı. Kuruluşlar için asıl soru LockBit adının bugün aktif olup olmaması değil, bu yöntemlere karşı ne kadar hazırlıklı olduklarıdır.
