Nokoyawa Ransomware Grubu Kimdir?
Nokoyawa, Windows ortamlarını hedef alan bir fidye yazılımı ailesi ve bu yazılımın etrafında kurulmuş bir gasp operasyonudur. DrDisk Lab izleme verisinde grubun ilk sızıntı sitesi ilanı 9 Aralık 2022 tarihlidir. Araştırmacı kayıtlarındaki ilk görülme tarihi de aynı güne denk gelir. Kamuya açık analizlere göre şifreleyicinin kendisi 2022 içinde, sızıntı sitesi faaliyetinden önce de saha örnekleriyle inceleniyordu. Bu nedenle 9 Aralık 2022, yazılımın doğduğu gün olarak değil, gasp operasyonunun kamuya açık yüzünün ortaya çıktığı gün olarak okunmalıdır.
Grubun soy ağacı tartışmalıdır. İlk sürümlerin kod yapısında Hive fidye yazılımıyla benzerlikler raporlandı. Sonraki ve Rust diliyle yeniden yazılan sürümlerde ise Karma ve Nemty ailesiyle örtüşmeler öne çıktı. 2023 sonunda yayımlanan bir sektör araştırması, "farnetwork" takma adlı bir aktörün Nokoyawa'yı hizmet olarak fidye yazılımı (RaaS) modeliyle işlettiğini ve yeraltı forumlarında iş ortağı aradığını ortaya koydu. RaaS modelinde yazılımı ve altyapıyı bir çekirdek ekip geliştirir, saldırıları ise gelir paylaşımıyla çalışan iş ortakları (affiliate) yürütür. Aynı araştırma bu aktörü daha önceki birkaç fidye yazılımı projesiyle de ilişkilendirdi. Nokoyawa'nın tek bir kapalı ekipten çok, el değiştiren bir program olduğu değerlendirilmektedir.
Grubun en çok bilinen olayı 2023 yılında yaşandı. Windows Ortak Günlük Dosya Sistemi (CLFS) sürücüsündeki bir ayrıcalık yükseltme açığı, yama çıkmadan önce, yani sıfırıncı gün olarak, Nokoyawa dağıtan saldırganlar tarafından kullanıldı. Bir fidye yazılımı operasyonunun sıfırıncı gün açığına erişmesi o dönemde nadir görülen bir durumdu. Bu durum programa bağlı en az bir iş ortağının ortalamanın üzerinde kaynağa sahip olduğunu gösterir.
Saldırı Hacmi ve Seyri
İzleme verimizde Nokoyawa'ya ait toplam 36 kurban ilanı var ve faaliyet 2022 ile 2023 yıllarına sığıyor. Son ilan 4 Ağustos 2023 tarihli. 21 Ekim 2026 itibarıyla izleme verimizde bu tarihten sonra yayımlanmış yeni bir Nokoyawa ilanı bulunmuyordu. Veri bloğunda grubun sızıntı sitesi adreslerine ve erişilebilirlik durumuna ilişkin bir kayıt yer almıyor.
| Ay | İlan sayısı |
|---|---|
| Aralık 2022 | 1 |
| Ocak 2023 | 0 |
| Şubat 2023 | 0 |
| Mart 2023 | 0 |
| Nisan 2023 | 0 |
| Mayıs 2023 | 25 |
| Haziran 2023 | 0 |
| Temmuz 2023 | 7 |
| Ağustos 2023 | 3 |
Tablodaki asıl bulgu yoğunlaşmadır. Toplam ilanların yaklaşık yüzde 69'u yalnızca Mayıs 2023'te yayımlandı. Bunun öncesinde dört ay, sonrasında bir ay hiç ilan yok. Bu desen, ayda belli sayıda saldırı yapan istikrarlı bir operasyondan çok toplu yayın davranışına işaret ediyor. Önceki aylarda ele geçirilen ve müzakeresi sonuçsuz kalan kurumların sızıntı sitesine bir seferde yüklendiği değerlendirilmektedir. Aynı davranış küçük ölçekte de görülüyor: son sekiz ilanın beşi 29 Temmuz 2023 tarihli.
Bu durumun savunma tarafı için önemli bir sonucu var. İlan tarihi, saldırı tarihini temsil etmez. Mayıs 2023'te ilan edilen bir kurumun ağına aylar önce girilmiş olabilir. Olay müdahalesinde zaman çizelgesi kurulurken sızıntı sitesindeki tarih başlangıç noktası olarak alınmamalıdır.
Hedef Profili: Sektörler ve Ülkeler
| Sektör | İlan sayısı |
|---|---|
| Eğitim | 3 |
| Kamu | 2 |
| Otomotiv | 1 |
| Sosyal Hizmetler | 1 |
| Enerji | 1 |
| Finans | 1 |
| Sağlık | 1 |
| Lojistik | 1 |
Sektör bilgisi 36 ilanın yalnızca 11'inde mevcut. Bu küçük örneklemden kesin bir uzmanlaşma sonucu çıkarmak doğru olmaz. Yine de bir eğilim görülüyor: sınıflandırılmış ilanların neredeyse yarısı eğitim, kamu ve sosyal hizmetler gibi bütçesi ve güvenlik kadrosu sınırlı kurumlara ait. Son ilanlar arasında bir enerji kooperatifi ve dini kuruluşların bulunması da aynı profili destekliyor. Bu kurumların ortak noktası kesinti toleranslarının düşük, savunma kapasitelerinin dar olmasıdır. Bu da fırsatçı iş ortaklarının tercih ettiği bir kombinasyondur.
| Ülke | İlan sayısı |
|---|---|
| ABD | 11 |
| Kanada | 3 |
| Birleşik Krallık | 3 |
| Avustralya | 1 |
| Brezilya | 1 |
| Almanya | 1 |
| Fransa | 1 |
| Fas | 1 |
| Filipinler | 1 |
| Singapur | 1 |
ABD tek başına toplamın yaklaşık üçte birini oluşturuyor. Kanada ve Birleşik Krallık eklendiğinde İngilizce konuşulan üç ülke ilk sıraları dolduruyor. Öte yandan listede Fas, Filipinler ve Brezilya gibi farklı bölgelerden tekil kurbanlar da var. Bu dağılım, belirli bir ülkeye yönelik bir kampanyadan çok internete açık zayıf noktaları tarayan ve bulduğu yere giren bir iş ortağı modeline uyuyor. Türkiye izleme verimizde Nokoyawa kurbanları arasında yer almıyor. Ancak coğrafi seçiciliğin düşük olması, bu durumun bilinçli bir hariç tutmadan kaynaklandığını düşündürmüyor.
Saldırı Yöntemi
Nokoyawa saldırılarında kullanıldığı belgelenen araç seti, ağa girdikten sonra elle yönetilen ("hands-on-keyboard") bir saldırı zincirine işaret ediyor. Araçların tamamı ya meşru yönetim yazılımı ya da sızma testi amacıyla geliştirilmiş ticari çerçevelerdir. Bu da imza tabanlı tespitin tek başına yetersiz kalacağı anlamına gelir.
- İlk erişim: Veri bloğunda belirli bir ilk erişim tekniği kaydı yok. Benzer RaaS programlarında iş ortakları erişimi çoğunlukla kendi taramalarından ya da ilk erişim aracılarından (IAB) satın alarak elde eder. IAB'ler, ele geçirdikleri ağ erişimlerini fidye yazılımı operatörlerine satan aktörlerdir.
- Komuta-kontrol ve ayrıcalık yükseltme: Ağdaki ilk dayanak noktası, sızma testi çerçevesiyle kurulan bir komuta-kontrol bağlantısıyla sürdürülüyor. CLFS sıfırıncı gün açığının bu aşamada önemi büyüktür: sıradan bir kullanıcı oturumunu sistem düzeyinde yetkiye çevirmek, saldırganın kimlik bilgisi toplamasının ve savunma yazılımlarını devre dışı bırakmasının önünü açar.
- Keşif: Active Directory sorgulama ve ağ tarama araçlarıyla etki alanı yapısı, yönetici hesapları ve değerli sunucular haritalanıyor. Bu aşama, saldırının erken tespit edilebileceği en iyi fırsattır. Kısa sürede çok sayıda dizin sorgusu ya da iç ağ taraması, normal kullanıcı davranışından belirgin biçimde ayrışır.
- Kalıcılık ve yayılma: Meşru bir uzaktan masaüstü yazılımının kurulması, saldırgana komuta-kontrol bağlantısı kesilse bile geri dönebileceği ikinci bir kapı sağlıyor. Yanal hareket ve şifreleyicinin toplu dağıtımı ise yönetici araçlarıyla uzaktan komut çalıştırılarak yapılıyor.
- Veri sızdırma: Veri, yaygın bir FTP istemcisiyle dışarı aktarılıyor. Bu, gelişmiş gizleme yöntemlerine başvurulmadığını, dolayısıyla dışa giden trafiği izleyen kurumların sızdırmayı fark etme şansının yüksek olduğunu gösteriyor.
- Şifreleme: Fidye notunun kendi beyanına göre simetrik ve asimetrik şifreleme birlikte kullanılıyor. Bu, dosyaların hızlı bir simetrik algoritmayla şifrelendiği ve anahtarların saldırganın açık anahtarıyla korunduğu yaygın hibrit modeldir. Doğru uygulandığında anahtar olmadan çözüm pratikte mümkün değildir. Kurtarma imkânı ise çoğu zaman uygulama hatalarına, kısmi şifrelemeye ya da etkilenmemiş kopyaların varlığına bağlıdır.
Gasp Modeli
Nokoyawa, çifte gasp modelini uygular. Bu modelde saldırgan yalnızca verileri şifrelemekle kalmaz, ödeme yapılmazsa çalınan verileri sızıntı sitesinde (DLS) yayımlamakla da tehdit eder. Sızıntı siteleri, Tor ağı üzerinden erişilen ve kurban adlarının teşhir edildiği sayfalardır. Veri bloğunda müzakere kaydı bulunmadığından talep edilen tutarlar ve ödeme davranışı hakkında bir değerlendirme yapılamıyor.
Fidye notunun dili kısa ve emir kipindedir. Not, kurbanı "ücretsiz çözüm aramamaya" çağırıyor, dosyaların yeniden adlandırılmasını, değiştirilmesini ve üçüncü taraf yazılım kullanılmasını yasaklıyor. Ardından kurbanı Tor üzerindeki bir ödeme sayfasında "destek" ekibiyle sohbete yönlendiriyor. Bu uyarıların bir kısmı teknik olarak gerçek bir riske karşılık gelir: şifrelenmiş dosyalara bilinçsiz müdahale, olası bir kurtarma yolunu kalıcı olarak kapatabilir. Asıl amaç ise kurbanı bağımsız uzman desteğinden uzaklaştırıp saldırganın kurduğu iletişim kanalına bağımlı hale getirmektir. Notun görünen bölümü veri sızdırmadan söz etmiyor. Bu tehdidin müzakere sayfasında devreye sokulduğu değerlendirilmektedir.
Diğer Gruplarla İlişkiler
| Grup | İlişki türü | Değer |
|---|---|---|
| Snatch | Ortak kurban | 7 kurum |
| Pysa | Hedef profili benzerliği | %88 |
| Rhysida | Hedef profili benzerliği | %83 |
| Royal | Hedef profili benzerliği | %82 |
| BlackByte | Hedef profili benzerliği | %82 |
| LostTrust | Hedef profili benzerliği | %82 |
En dikkat çekici bulgu Snatch ile olan örtüşmedir. Nokoyawa'nın 36 ilanının yedisi, yani yaklaşık beşte biri, Snatch tarafından da ilan edilmiş kurumlara ait. Mükerrer kayıt sayısı sıfır olduğundan bu bir veri tekrarı değil, iki ayrı grubun aynı kurumları ayrı ayrı ilan ettiğini gösteriyor. Bu oran tesadüfle açıklanamayacak kadar yüksek. Üç olası açıklama var: aynı iş ortağının iki programla eşzamanlı çalışması, bir grubun diğerinin elde ettiği veriyi yeniden yayımlaması ya da aynı erişimin bir IAB tarafından birden fazla alıcıya satılması. Hangisinin geçerli olduğu bu veriyle ayırt edilemiyor. Üç senaryonun ortak sonucu ise aynı: bir saldırıdan sonra kurumun ikinci bir gasp dalgasıyla karşılaşma ihtimali gerçektir.
Hedef profili benzerliği yüksek olan gruplar da yol gösterici. Rhysida eğitim ve kamu kurumlarına yönelmesiyle bilinir. Royal ise sonradan yeni bir adla faaliyetini sürdürmesiyle yeniden markalamanın tipik örneklerinden biridir. Nokoyawa'nın kısa ömrü ve el değiştiren yapısı birlikte düşünüldüğünde, programın iş ortaklarının 2023 sonrasında benzer profildeki başka RaaS programlarına geçtiği değerlendirilmektedir. Pratikteki anlamı şu: Nokoyawa adı izleme verisinden kaybolmuş olsa da aynı saldırı zinciri farklı bir marka altında karşımıza çıkabilir. Savunma, marka adına değil davranışa göre kurulmalıdır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Türkiye'den Nokoyawa kurbanı yok. Ancak grubun ülke seçiciliği düşük ve hedeflediği sektörler (eğitim, kamu, enerji, sağlık) Türkiye'de de kritik öneme sahip. Daha önemlisi, grubun kullandığı saldırı zinciri bugün faaliyette olan birçok grupla ortak. Bu yüzden aşağıdaki öncelikler Nokoyawa'ya özgü değil, aynı yöntemi kullanan tüm gruplara karşı geçerlidir.
- İnternete açık sistemlerde ve işletim sistemi ayrıcalık açıklarında yama önceliği: Grubun sıfırıncı gün ayrıcalık yükseltme açığı kullanması, yerel yetki yükseltme açıklarının "düşük öncelikli" sayılmaması gerektiğini gösteriyor.
- Uzaktan erişimde çok faktörlü doğrulama ve onaylı uzaktan yönetim yazılımı listesi: Kalıcılığın meşru bir uzaktan masaüstü yazılımıyla sağlanması nedeniyle, kurumda izin verilmeyen bu tür yazılımların kurulumu bir alarm olarak ele alınmalıdır.
- Dizin keşfi ve iç ağ taramasının izlenmesi: Keşif aşaması saldırının en gürültülü ve en erken yakalanabilecek evresidir.
- Yönetici hesaplarının katmanlandırılması ve ağ bölümlendirmesi: Yanal hareket yönetim araçlarıyla uzaktan komut çalıştırılarak yapıldığından, etki alanı yöneticisi yetkilerinin sınırlandırılması şifrelemenin yayılma alanını doğrudan daraltır.
- Büyük hacimli dış veri aktarımının ve FTP trafiğinin izlenmesi: Sızdırmanın basit bir FTP istemcisiyle yapılması, dışa giden trafikte olağandışı hacmi izleyen kurumlara çifte gaspı başlamadan durdurma şansı verir.
- Değiştirilemez ve ağdan ayrık yedek: Hibrit şifreleme doğru uygulandığında anahtarsız çözümü fiilen imkânsız kılar. Bu yüzden sağlam bir yedek, fidye ödemesine alternatif olan tek güvenilir kurtarma yoludur.
Saldırıya uğrayan bir kurum, fidye ödeme yoluna gitmemelidir. Ödeme yapmak verinin geri verileceğini ya da yayımlanmayacağını garanti etmez, saldırgan ekonomisini besler. Snatch örtüşmesinin gösterdiği gibi, ödeme ikinci bir gaspı da engellemez. Kişisel veri içeren ihlaller KVKK kapsamında Kişisel Verileri Koruma Kurulu'na gecikmeksizin ve en geç 72 saat içinde bildirilmeli, olay USOM'a da iletilmelidir. Şifrelenmiş sistemlere müdahale etmeden önce profesyonel olay müdahalesi alınması önerilir. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz sunmaktadır.
Sonuç
Nokoyawa'nın izleme verisindeki görünümü kısa ve düzensiz. Toplam 36 ilanın büyük bölümü tek bir aya sıkışmış ve 4 Ağustos 2023 sonrasına ait kayıt bulunmuyor. Grubu bugün de incelemeye değer kılan, hacmi değil ortaya koyduğu iki eğilimdir. Birincisi, sıfırıncı gün düzeyindeki bir açığın orta ölçekli bir RaaS programının iş ortaklarının eline geçebilmesi. İkincisi, kurbanlarının yaklaşık beşte birinin başka bir grubun sızıntı sitesinde de görünmesi. Savunma ve tehdit istihbaratı açısından bir sonraki adım, Nokoyawa'yı kapanmış bir dosya olarak bırakmak değildir. Bu saldırı zincirini ve kurban örtüşmelerini, benzer hedef profiline sahip aktif gruplarda takip etmek gerekir.
