Onyx Ransomware Grubu Kimdir?
Onyx, 2022 baharında ortaya çıkan ve aynı yılın sonunda sızıntı sitesi faaliyeti kesilen kısa ömürlü bir fidye yazılımı grubudur. Araştırmacı kayıtlarına göre grubun ilk görüldüğü tarih 29 Nisan 2022, son görüldüğü tarih ise 21 Kasım 2022'dir. DrDisk Lab izleme verisindeki ilk kayıt da 29 Nisan 2022 tarihli. Yani izlememiz grubun ortaya çıktığı gün başlıyor ve elimizdeki sayılar Onyx'in sızıntı sitesindeki faaliyetinin tamamını kapsıyor.
Onyx'i diğer gruplardan ayıran özellik, kullandığı zararlının davranışıdır. Grup ortaya çıktığında yayımlanan araştırmacı raporları, yazılımın kamuya sızmış Chaos fidye yazılımı oluşturucusundan türetildiğini ortaya koydu. Bu raporlara göre zararlı yalnızca küçük dosyaları şifreliyor, belirli bir boyutun üzerindeki dosyaların içeriğini ise rastgele veriyle eziyordu. Kurban fidyeyi ödese bile bu büyük dosyalar şifre çözücüyle geri gelmiyordu. Bu açıdan Onyx'i klasik bir fidye yazılımı olarak değil, fidye notu bırakan kısmi bir silici (wiper) olarak görmek daha doğru olur.
Grubun hizmet olarak fidye yazılımı (RaaS) modeliyle çalıştığına dair güvenilir bir kamu kaydı yok. RaaS'ta zararlıyı geliştiren çekirdek ekip, saldırıları yürüten iş ortaklarına (affiliate) altyapı kiralar ve fidyeyi onlarla paylaşır. Onyx'in ise hazır ve serbestçe dolaşan bir oluşturucuya dayanması, grubun küçük ve teknik kapasitesi sınırlı bir ekip olduğunu düşündürüyor; bu bir değerlendirmedir. Veri setimizde Onyx'e bağlı bir üst grup ya da kardeş marka kaydı da bulunmuyor.
Saldırı Hacmi ve Seyri
Onyx, izleme verimize göre 29 Nisan 2022 ile 21 Kasım 2022 arasındaki yaklaşık yedi aylık sürede sızıntı sitesinde toplam 28 kurban ilan etti. Bu ilanların tamamı 2022 yılına ait.
| Ay | İlan edilen kurban |
|---|---|
| Nisan 2022 | 7 |
| Mayıs 2022 | 0 |
| Haziran 2022 | 0 |
| Temmuz 2022 | 4 |
| Ağustos 2022 | 2 |
| Eylül 2022 | 1 |
| Ekim 2022 | 0 |
| Kasım 2022 | 14 |
Tablodaki seyir düzenli bir operasyon temposuna benzemiyor, daha çok toplu yayın davranışına işaret ediyor:
- Açılış dalgası: Nisan 2022'deki 7 ilanın hepsi, ilk kayıt tarihi 29 Nisan olduğuna göre ayın son iki gününe düşüyor. Toplam hacmin yaklaşık dörtte biri, sitenin açıldığı ilk günlerde yayımlanmış oluyor. Bu, birikmiş kurbanların site açılışında toplu olarak listelendiğini düşündürüyor.
- Sessiz dönemler: Mayıs, Haziran ve Ekim aylarında hiç ilan yok. Temmuz–Eylül arasında ise ilan sayısı her ay azalıyor (4, 2, 1).
- Kapanış dalgası: Toplam ilanların yarısı Kasım 2022'de. Son sekiz kaydın tamamı 21 Kasım 2022 tarihli, aynı gün de grubun son görüldüğü tarih. Grubun son faaliyeti, sızıntı sitesinin yaşamının son gününde yapılmış toplu bir yükleme gibi görünüyor.
Toplu ilan tarihi saldırının yapıldığı tarih değildir. Kasım'daki 14 kurbanın bir kısmı aylar önce saldırıya uğramış, müzakeresi sonuçsuz kalmış olabilir. 21 Ekim 2026 itibarıyla izleme verimizde 21 Kasım 2022'den sonra Onyx adına yeni bir ilan kaydı yok.
Hedef Profili: Sektörler ve Ülkeler
Onyx'in hedef dağılımına ilişkin veri sınırlı. 28 kurbanın yalnızca 3'ünde sektör, 6'sında ülke bilgisi mevcut.
| Sektör | İlan edilen kurban |
|---|---|
| Gıda | 1 |
| İnşaat | 1 |
| Kamu | 1 |
| Ülke | İlan edilen kurban |
|---|---|
| ABD | 4 |
| Brezilya | 1 |
| Meksika | 1 |
Bu tablolardan kesin bir sektör tercihi çıkarmak doğru olmaz. Üç kayıt üç ayrı sektöre dağılmış durumda ve hiçbiri öne çıkmıyor. Ülke tarafında ise ülkesi bilinen altı kurbanın dördü ABD'de, kalan ikisi Latin Amerika'da. Bu tablo, kurban seçiminde Amerika kıtasındaki kuruluşların ağırlıkta olduğunu düşündürüyor, ancak 22 kurbanın ülkesi kayıtlı değil.
Son ilanlardaki alan adları bu tabloyu tamamlayan nitel bir ipucu veriyor. Alan adlarından anlaşıldığı kadarıyla kurbanlar arasında merdiven imalatçısı, tarım malzemesi tedarikçisi, tesisat firması, denizcilik şirketi ve aile hekimliği muayenehanesi gibi küçük ve orta ölçekli işletmeler var. Bu profil, büyük kurumları hedefleyen bir gruptan çok, savunması zayıf hedefleri fırsatçı biçimde seçen bir operasyona uyuyor. Hazır bir oluşturucuya dayanan, sınırlı kapasiteli bir aktörden de böyle bir davranış beklenir.
Saldırı Yöntemi ve Zararlının Etkisi
Veri setimizde Onyx'e ait taktik, istismar edilen açık veya araç kaydı bulunmuyor. Bu yüzden grubun ilk erişimi nasıl sağladığı ve ağ içinde nasıl yayıldığı konusunda veriye dayalı bir anlatım yapmak mümkün değil. Benzer ölçekteki fırsatçı grupların genellikle zayıf korunan uzaktan erişim servislerini, ele geçirilmiş kimlik bilgilerini ya da ilk erişim aracılarından (IAB) satın alınan erişimleri kullandığı biliniyor. IAB'ler, ele geçirdikleri ağ erişimlerini fidye yazılımı operatörlerine satan aracılardır. Onyx'in de bu yolları kullandığı değerlendirilmektedir, ancak bu teyit edilmiş bir bilgi değildir.
Olay müdahalesi açısından asıl önemli olan son aşamadaki davranış. Kamuya yansıyan analizlere göre Onyx, eşik boyutun altındaki dosyaları şifreliyor, üzerindekileri ise kalıcı olarak bozuyordu. Bunun sonuçları şöyle:
- En değerli veri en çok zarar gören veri: Veritabanları, sanal makine diskleri, yedek arşivleri, muhasebe ve tasarım dosyaları gibi iş sürekliliği için kritik dosyalar çoğunlukla büyük dosyalardır. Zararlının ezdiği tam da bu dosyalardır.
- Şifre çözücü işe yaramaz: Ezilen dosyaların içeriği geri dönmeyecek şekilde değiştiği için saldırganın verdiği anahtar bu dosyaları kurtaramaz. Fidye ödemesi, iş sürekliliğini geri getirmenin bir yolu olmaktan çıkar.
- Analiz önceliği değişir: Bir Onyx olayında ilk iş, hangi dosyaların şifrelendiğini ve hangilerinin ezildiğini ayırmaktır. Kurtarmanın gerçekçi kapsamı ve süresi bu ayrıma göre belirlenir.
Veri sızdırma aşamasına ilişkin teknik ayrıntı da veri setimizde yok. Ancak grubun kurbanlarını sızıntı sitesinde ilan etmesi, şifreleme öncesinde veri çıkardığını ya da en azından çıkardığını iddia ettiğini gösteriyor.
Gasp Modeli
Onyx, çifte gasp modelini kullanan bir sızıntı sitesi (DLS) işletti. Çifte gaspta saldırgan verileri hem şifreler hem de dışarı çıkarır, ardından fidye ödenmezse bu verileri yayımlamakla tehdit eder. Sızıntı sitesi de bu tehdidin gerçekleştirildiği, kurban adlarının ve verilerin yayımlandığı web sitesidir. İzleme verimizdeki 28 ilan bu sitedeki listelemelerden oluşuyor.
Veri setimizde Onyx'e ait müzakere kaydı, fidye talebi, ödeme bilgisi veya fidye notu örneği yok. Bu nedenle talep büyüklüğü ve ödeme davranışı hakkında yorum yapmıyoruz.
Gasp modelinde dikkat çeken bir çelişki var. Büyük dosyaları kalıcı olarak bozan bir zararlı, kurbanın elindeki en güçlü pazarlık nedenini, yani "ödersem verim geri gelir" beklentisini baştan ortadan kaldırıyor. Bu durumda saldırganın elinde kalan tek baskı aracı sızdırılan verinin yayımlanması tehdididir. Kasım 2022'deki toplu yayın, ödeme yapmayan kurbanların bu tehditle cezalandırıldığı bir kapanış olarak okunabilir; bu bir değerlendirmedir.
Diğer Gruplarla İlişki
Veri setimizde Onyx ile aynı kurbanı ilan eden başka bir grup yok. Ortak kurban bulunmaması, sızdırılan verinin başka bir markayla yeniden satıldığına ya da kurbanın başka bir grup tarafından da hedef alındığına dair bir işaret olmadığını gösteriyor.
Hedef profili benzerliği yüksek gruplar şöyle:
| Grup | Benzerlik oranı | Toplam ilan |
|---|---|---|
| BlackByte | %73 | 147 |
| KelvinSecurity | %68 | 26 |
| Mount Locker | %66 | 18 |
| LostTrust | %64 | 53 |
| Spook | %64 | 35 |
Bu benzerlikleri bir bağlantı kanıtı olarak okumamak gerekiyor. Onyx'in sektör ve ülke verisi çok az kayda dayandığı için benzerlik oranları da bu dar örneklem üzerinden hesaplanıyor ve yanıltıcı olabilir. Listedeki grupların çoğu Onyx'ten farklı dönemlerde aktifti. Mount Locker 2022 öncesinde, LostTrust ise 2023'te öne çıkmıştı. KelvinSecurity de klasik bir fidye yazılımı markasından çok veri sızdırma ve satışıyla bilinen bir aktör. Bu gruplarla Onyx arasında yeniden markalanma ya da iş ortağı geçişi olduğunu gösteren bir veri bizde yok.
Göç açısından daha anlamlı olan nokta, Onyx'in kamuya açık Chaos oluşturucusuna dayanması. Aynı oluşturucudan türeyen birçok küçük marka vardı. Bu tür grupların kapanması, ekibin bırakması anlamına gelmeyebilir: aynı operatörler yeni bir adla ve aynı kodla kısa sürede yeniden ortaya çıkabilir. Onyx'in 21 Kasım 2022'den sonra görünmemesinin de bu türden bir markalaşma değişikliğiyle ilgili olabileceği değerlendirilmektedir.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Onyx'in ülkesi bilinen kurbanları arasında Türkiye'den bir kuruluş yok. Ancak 22 kurbanın ülkesi kayıtlı olmadığından bu bilgi Türkiye'nin etkilenmediğini kanıtlamıyor. Onyx 21 Ekim 2026 itibarıyla izleme verimizde yaklaşık dört yıldır yeni ilan vermemiş olsa da, bıraktığı ders hâlâ güncel: hazır oluşturuculardan türeyen ve dosyaları geri dönmeyecek şekilde bozan zararlılar, küçük ve orta ölçekli işletmeler için en yıkıcı senaryoyu oluşturuyor. Onyx'in kurban profili de tam olarak bu ölçekteki kuruluşlardan oluşuyordu.
Öncelik sırasına göre kontrol düzeyindeki öneriler:
- Değiştirilemez ve ağdan ayrık yedek: Onyx tipi bir saldırıda büyük dosyaları geri getirmenin tek gerçekçi yolu temiz bir yedektir. Yedeklerin canlı sistemden erişilemeyen ve silinemeyen bir ortamda tutulması, ayrıca geri yüklemenin düzenli olarak test edilmesi en öncelikli kontroldür.
- Uzaktan erişimde çok faktörlü doğrulama: Onyx'in hedeflediği türden küçük işletmelerde en zayıf halka çoğu zaman tek parolayla korunan uzaktan erişim servisleridir. Bu servislerde çok faktörlü doğrulamanın zorunlu olması, fırsatçı saldırganın giriş maliyetini doğrudan artırır.
- İnternete açık cihazlarda yama önceliği: Grubun ilk erişim yöntemi bilinmediği için, internete açık güvenlik duvarı, VPN ve sunucu yazılımlarındaki bilinen açıkların hızla kapatılması en geniş kapsamlı önlemdir.
- Ağ bölümlendirmesi: Kullanıcı bilgisayarlarının veritabanı, dosya ve yedek sunucularıyla aynı ağ bölümünde bulunmaması, zararlının en değerli büyük dosyalara ulaşmasını zorlaştırır.
- Büyük hacimli dış veri aktarımının izlenmesi: Onyx'in elindeki asıl baskı aracı sızıntı sitesindeki yayın tehdidiydi. Olağandışı büyük hacimli veri çıkışlarının fark edilmesi, saldırıyı şifreleme aşamasına gelmeden durdurma şansı verir.
- Olay müdahale planı: Kimin karar vereceği, hangi sistemlerin ilk önce izole edileceği ve dışarıdan kimden destek alınacağı saldırıdan önce belirlenmelidir.
Saldırıya uğrayan bir kuruluşun fidye ödemesini önermiyoruz. Onyx örneğinde ödeme, büyük dosyalar açısından teknik olarak da sonuç vermez. Kişisel veri içeren bir ihlalde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar, siber olayların USOM'a bildirilmesi de değerlendirilmelidir. Hangi dosyaların kurtarılabilir olduğunu belirlemek için profesyonel olay müdahalesi alınmalıdır; DrDisk Lab etkilenen sistemler için ücretsiz ön analiz sunar.
Sonuç
Onyx'in 28 ilanlık kısa geçmişinden çıkan asıl ders, fidye yazılımının her zaman pazarlık edilebilir bir şifreleme olmadığıdır. Bir grubun hacmi düşük ve ömrü kısa olabilir, ama zararlısı veriyi geri dönmeyecek şekilde bozuyorsa kurtarma başarısı tamamen saldırıdan önce alınan önlemlere bağlıdır. Bu yüzden kuruluşların yedeklerinin gerçekten ayrık ve geri yüklenebilir olup olmadığını, Onyx tipi bir senaryoyu varsayarak test etmesi gerekir.
