N0n Ransomware Grubu Kimdir?
N0n, ilk kaydı araştırmacılar tarafından 18 Eylül 2026'da tutulan yeni bir fidye yazılımı grubudur. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı tarihe denk geliyor. Dolayısıyla izleme kapsamımız grubun ortaya çıkışıyla eş zamanlı başlamış ve elimizdeki seri grubun tüm görünür faaliyetini kapsıyor.
Grubun kökeni, arkasındaki ekip ve iş modeli hakkında kamuoyunda doğrulanmış bir bilgi yok. İzleme verimizde bir üst grup (soyağacı) ya da kardeş grup kaydı da bulunmuyor. Bu nedenle N0n'un RaaS (Ransomware-as-a-Service: fidye yazılımını iş ortaklarına kiralayan ve gelirden pay alan model) olarak mı yoksa kapalı bir ekip olarak mı çalıştığı belirsiz. Yine de ilk ayında yüzü aşkın kurban ilan etmesi, sıfırdan kurulan bir ekipten çok, deneyimli operatörlerin ya da başka yapılardan gelen iş ortaklarının (affiliate: saldırıyı fiilen yürütüp fidye gelirinden pay alan bağımsız operatör) yer aldığı bir yapıya işaret ediyor olabilir. Bu bir değerlendirmedir, kanıtlanmış bir bağlantı değildir.
Saldırı Hacmi ve Seyri
20 Ekim 2026 itibarıyla izleme verimizde N0n adına toplam 128 saldırı ilanı kayıtlı. Faaliyetin tamamı 2026 yılına ait. İlk ilan 18 Eylül 2026'da, son ilan ise 19 Ekim 2026'da görüldü.
| Ay | Saldırı ilanı |
|---|---|
| Eylül 2026 | 18 |
| Ekim 2026 | 110 |
Bu tabloyu okurken iki noktaya dikkat etmek gerekiyor. Eylül rakamı yalnızca ayın son iki haftasını kapsıyor. Ekim rakamı ise ayın 19'una kadar olan dönemi gösteriyor. Buna rağmen sıçrama belirgin: Ekim'in ilk yarısındaki ilan sayısı, Eylül'deki ilk iki haftanın çok üzerinde.
Son kayıtlar da bu temponun nasıl oluştuğunu gösteriyor. Verideki en güncel sekiz kurban kaydının tamamı 19 Ekim 2026 tarihli. Bu tablo, saldırıların gerçekleştiği günü değil, ilanların toplu biçimde yayımlandığı günü yansıtıyor. Yeni grupların itibar kazanmak için birikmiş kurban listesini kısa sürede yayımlaması bilinen bir davranış. N0n'un Ekim'deki sıçramasının bir kısmının da bu şekilde açıklanabileceği değerlendirilmektedir. Bu nedenle aylık rakamlar, saldırıların gerçek zamanlamasından çok yayın stratejisini ölçüyor olabilir.
Hedef Profili: Lojistik Merkezli, ABD Ağırlıklı
Sektörler
| Sektör | Saldırı ilanı |
|---|---|
| Lojistik | 35 |
| Sağlık | 12 |
| Teknoloji | 11 |
| Üretim | 9 |
| Finans | 7 |
| Hizmet | 5 |
| Perakende | 4 |
| Diğer | 3 |
N0n'un profilindeki en ayırt edici unsur lojistik yoğunlaşması. Lojistik, tek başına listede kendisini izleyen sağlık, teknoloji ve üretim sektörlerinin toplamından fazla ilan topluyor. Fidye yazılımı ekosisteminde lojistik genellikle üretim veya sağlığın gerisinde kalır. Bu nedenle bu kadar belirgin bir öncelik ya bilinçli bir hedef seçimine ya da lojistik firmalarına ait erişimlerin toplu olarak elde edilmesine işaret ediyor. İkinci olasılıkta ortak bir yazılım sağlayıcısı, hizmet sağlayıcı veya sektöre özgü bir erişim kanalı söz konusu olabilir. Lojistikte sistem kesintisi sevkiyatları ve müşteri taahhütlerini anında durdurduğu için mağdur üzerindeki zaman baskısı yüksektir. Bu da sektörü gasp açısından cazip kılar.
Sektör dağılımı toplam 128 ilanın tamamını kapsamıyor. Son kurban listesinde "Company #93" ve "Company #94" gibi adı gizlenmiş, sektörü belirlenemeyen kayıtlar bulunuyor. Grubun bazı kurbanları önce isimsiz ilan ettiği görülüyor. Bu tercihin, kimliği açıklama tehdidini müzakere sürecinde bir baskı aracı olarak saklı tutmaya yönelik olduğu değerlendirilmektedir.
Ülkeler
| Ülke | Saldırı ilanı |
|---|---|
| ABD | 42 |
| Güney Kore | 13 |
| Brezilya | 7 |
| Endonezya | 4 |
| Kanada | 3 |
| Birleşik Krallık | 3 |
| Hollanda | 3 |
| Vietnam | 3 |
| Çin | 2 |
| Mısır | 2 |
ABD'nin ilk sırada olması ekosistemin genel eğilimiyle uyumlu. Asıl dikkat çeken, Güney Kore'nin açık farkla ikinci sırada yer alması. Endonezya, Vietnam ve Çin ile birlikte Asya ülkeleri ilk on içinde önemli bir yer tutuyor. Batı Avrupa'nın ağırlığı ise görece sınırlı kalıyor. Bu coğrafi dağılım, grubun erişim kaynaklarının bölgesel olarak çeşitlendiğini gösteriyor. Lojistik yoğunlaşmasıyla birlikte değerlendirildiğinde, uluslararası tedarik zincirinde yer alan şirketlerin öne çıktığı söylenebilir. Türkiye, ilk on ülke listesinde yer almıyor.
Saldırı Yöntemi: Kimlik Bilgisiyle Giriş, RDP ile Yayılma
N0n'un gözlemlenen saldırı zinciri, yazılım açığından çok ele geçirilmiş kimlik bilgilerine dayanıyor. Grup profilinde istismar edilen bir güvenlik açığı (CVE) kaydı bulunmuyor. Ağa giriş için de, ağda kalıcılık sağlamak için de geçerli kullanıcı hesapları kullanılıyor. Bu durum, ilk erişimin çalınmış parolalarla, kimlik avıyla ya da ilk erişim aracılarından (IAB: kurumsal ağlara erişimi ele geçirip fidye gruplarına satan aracılar) satın alınan erişimlerle sağlandığını düşündürüyor. Meşru bir hesapla gerçekleşen oturum, savunma tarafında olağan kullanıcı trafiğinden ayırt edilmesi en zor başlangıç noktasıdır.
İçeri giren saldırgan komut satırı ve betik yorumlayıcıları üzerinden işlem yapıyor. Sistem açılışında veya kullanıcı oturumunda otomatik çalışan girdiler ekleyerek varlığını yeniden başlatmalara karşı koruyor. Kötü amaçlı bileşenleri gizleme ve karartma teknikleriyle tespitten kaçırıyor. Güvenlik araçlarını devre dışı bırakmak veya ayarlarını değiştirmek de zincirin bir parçası. Bu adım, uç nokta korumasının şifreleme aşamasından önce etkisizleştirilmeye çalışıldığını gösteriyor.
Yanal hareket Uzak Masaüstü Protokolü (RDP) üzerinden gerçekleşiyor. Ele geçirilmiş geçerli hesaplarla birleştiğinde bu yöntem, saldırganın ağ içinde bir yöneticinin olağan davranışına benzer şekilde dolaşmasına izin veriyor. İç ağda RDP erişimi sınırlandırılmamış ortamlarda tek bir hesabın ele geçirilmesi geniş bir etki alanı yaratabilir.
Şifreleme öncesinde veriler bir noktada toplanıp hazırlanıyor. Bu, verinin dışarı aktarılmadan önce paketlendiği aşamadır ve çifte gasp modelinin teknik ön koşuludur. Son aşamada dosyalar şifreleniyor, çalışan hizmetler durduruluyor ve sistem kurtarma mekanizmaları devre dışı bırakılıyor. Hizmetlerin durdurulması, veritabanı ve uygulama dosyalarının kilitsiz hale getirilip şifrelenebilmesi için yapılır. Kurtarma mekanizmalarının engellenmesi ise mağdurun yerel kurtarma noktalarına ve erişilebilir yedeklere dönmesini önlemeyi amaçlar. Bu iki adım birlikte, ağdan ayrık yedeği olmayan kuruluşlarda kesinti süresini doğrudan uzatır.
Gasp Modeli
N0n, çifte gasp (verileri şifrelemenin yanında, önceden çalınan verileri yayımlamakla tehdit etme) modelini uyguluyor. Grup için izleme verimizde tek bir sızıntı sitesi (DLS: kurbanların ilan edildiği ve ödeme yapmayanların verilerinin yayımlandığı site) kayıtlı. 20 Ekim 2026 itibarıyla bu site erişilemez durumdaydı. Son ilanın bir gün önce, 19 Ekim 2026'da yayımlanmış olması nedeniyle, bu erişim kaybının geçici bir kesinti mi, altyapı değişikliği mi yoksa faaliyetin durması mı olduğu bu aşamada belirlenemiyor. Tek sızıntı sitesine dayanan yeni gruplarda altyapı kesintileri sık görülür ve tek başına grubun faaliyetini sonlandırdığı anlamına gelmez.
Grup için müzakere kaydı, fidye talebi veya ödeme verisi ve fidye notu örneği bulunmuyor. Bu nedenle talep büyüklükleri ve pazarlık davranışı hakkında bir değerlendirme yapılamıyor. Daha önce değinilen isimsiz kurban ilanları, grubun kimlik açıklamayı kademeli bir baskı aracı olarak kullandığına dair şimdilik eldeki tek gözlemdir.
Diğer Gruplarla İlişki
N0n'un başka bir grupla ortak ilan ettiği kurban sayısı oldukça sınırlı. Qilin ile tek bir ortak kuruluş bulunuyor ve mükerrer kayıt yok. Tek bir örtüşme, aynı kuruluşun farklı zamanlarda iki ayrı saldırıya uğramasıyla da, aynı erişimin farklı gruplara satılmasıyla da açıklanabilir. Bu örtüşme bir ortaklık veya yeniden markalama kanıtı sayılmaz.
| Grup | Hedef benzerliği | Toplam saldırı ilanı |
|---|---|---|
| Settra | %76 | 94 |
| Helix | %76 | 15 |
| Nightspire | %75 | 374 |
| Orion | %75 | 19 |
| Everest | %74 | 421 |
Hedef profili en çok benzeyen beş grubun benzerlik oranları birbirine çok yakın ve dar bir aralıkta toplanıyor. Bu, N0n'un belirli bir grubun devamı gibi görünmesinden çok, ABD ağırlıklı ve çok sektörlü yaygın bir hedef profiline sahip olduğunu gösteriyor. Benzer gruplar arasında hem yüzlerce ilana ulaşmış Everest ve Nightspire, hem de birkaç düzine ilanla sınırlı Helix ve Orion gibi küçük yapılar bulunuyor. Benzerliğin büyüklükten bağımsız olması da bu yorumu destekliyor.
Yeniden markalama veya iş ortağı göçü açısından bakıldığında, mevcut veri N0n'u belirli bir öncül gruba bağlamaya yetmiyor. Ancak hızlı başlangıç, Asya'daki belirgin varlık ve lojistik yoğunlaşması birlikte değerlendirildiğinde, grubun hazır erişim stokuna sahip iş ortaklarıyla çalıştığı değerlendirilmektedir. Lojistik yoğunlaşmasının benzer gruplarda olup olmadığı, ilerleyen haftalarda olası bir bağlantıyı test etmek için izlenecek en anlamlı gösterge olacaktır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Türkiye, N0n'un ilk on hedef ülkesi arasında yer almıyor. Ancak grubun öne çıkan iki özelliği Türk kuruluşları için doğrudan önem taşıyor. Birincisi lojistik odağı: uluslararası taşımacılık ve tedarik zinciri ağlarında yer alan, ABD ve Asya bağlantılı müşterilere hizmet veren firmalar aynı erişim kanallarına maruz kalabilir. İkincisi giriş yöntemi: kimlik bilgisine dayalı erişim, yama düzeyinden bağımsız olarak her ölçekteki kuruluşu etkileyebilir. Aşağıdaki öneriler, grubun gözlemlenen saldırı zincirine göre öncelik sırasıyla verilmiştir:
- Uzaktan erişimde ve yetkili hesaplarda çok faktörlü doğrulama: Geçerli hesaplar hem giriş hem kalıcılık için kullanıldığından, bu tek kontrol zincirin ilk halkasını kırmak için en etkili adımdır. Tedarikçi ve iş ortağı hesapları da kapsama alınmalıdır.
- Hesap hijyeni ve olağan dışı oturumların izlenmesi: Kullanılmayan hesapların kapatılması, sızdırılmış kimlik bilgilerinin takibi ve alışılmadık saat ya da konumdan yapılan oturumların incelenmesi, meşru görünen girişleri ayırt etmeyi sağlar.
- İç ağda RDP kullanımının kısıtlanması ve ağ bölümlendirmesi: Yanal hareket RDP üzerinden gerçekleştiği için, iş istasyonları arası uzak masaüstü erişiminin kapatılması ve kritik sistemlerin ayrı bölümlere alınması tek bir hesabın etki alanını daraltır.
- Değiştirilemez ve ağdan ayrık yedekleme: Grup kurtarma mekanizmalarını hedef aldığından, aynı ağdan erişilebilen yedekler güvence sayılmamalıdır. Geri yükleme süreleri düzenli olarak test edilmelidir.
- Güvenlik araçlarına müdahale ve toplu hizmet durdurmalar için alarm: Koruma yazılımlarının devre dışı bırakılması ve toplu hizmet durdurma, şifreleme öncesindeki son uyarı işaretleridir. Bu olayların yüksek öncelikli alarm olarak ele alınması müdahale için zaman kazandırır.
- Büyük hacimli dış veri aktarımının ve veri toplama noktalarının izlenmesi: Verinin şifreleme öncesinde toplanıp dışarı çıkarılması, çifte gasp tehdidinin dayanağıdır. Bu aşamada yapılan tespit, sızıntı riskini şifrelemeden önce durdurabilir.
Grup profilinde istismar edilen bir güvenlik açığı kaydı bulunmasa da, internete açık cihazların yama önceliği genel bir kontrol olarak korunmalıdır. Grubun yöntemleri zamanla değişebilir.
Saldırıya uğrayan kuruluşlar, fidye ödemesinin verilerin geri verileceğini veya yayımlanmayacağını garanti etmediğini göz önünde bulundurmalıdır. Kişisel veri ihlali söz konusuysa KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapılması, olayın USOM'a da iletilmesi gerekir. Etkilenen sistemlere müdahale etmeden önce profesyonel olay müdahalesi alınması delil bütünlüğünü ve kurtarma olasılığını korur. DrDisk Lab bu süreçte ücretsiz ön analiz sunmaktadır.
Sonuç
N0n'un ilk ayı, bir grubun ne kadar hızlı görünür hale gelebileceğini gösteriyor. Ancak 20 Ekim 2026 itibarıyla tek sızıntı sitesinin erişilemez olması, bu hızın ne kadar süreceğini belirsiz bırakıyor. İzlenmesi gereken asıl soru, toplu ilan dalgasının ardından yeni ilanların gelip gelmeyeceği ve gelirse lojistik ile Asya ağırlığının korunup korunmayacağı. Bu iki göstergedeki süreklilik, grubun kalıcı bir yapı mı yoksa hazır bir erişim stokunu tüketen kısa ömürlü bir operasyon mu olduğunu belirleyecek. Profil hangi yöne evrilirse evrilsin, kimlik bilgisine dayalı giriş ve RDP ile yayılma zincirine karşı alınacak önlemler, benzer hedef profiline sahip diğer gruplara karşı da koruma sağlar.
