Rhysida Ransomware Grubu Kimdir?
Rhysida, 2023 yazında ortaya çıkan ve kısa sürede hastaneler, okullar, üniversiteler ve yerel yönetimlere yönelik saldırılarıyla adını duyuran bir fidye yazılımı operasyonudur. Araştırmacı kayıtlarına göre grup ilk kez 5 Haziran 2023'te görülmüştür. DrDisk Lab sızıntı sitesi izleme verisindeki ilk kayıt da aynı tarihe denk gelir; dolayısıyla grubun ilan ettiği saldırılar başından itibaren izleme kapsamımızdadır. Verimizdeki son kayıt 11 Ekim 2026 tarihlidir ve grup bu yazının hazırlandığı tarihte hâlâ aktiftir.
Grup, adını bir kırkayak cinsinden alır. Sızıntı sitesinde de bu imgeyi kullanmıştır. Rhysida, ABD'li kurumların ortak tehdit uyarılarında hizmet olarak fidye yazılımı (RaaS) modeliyle çalışan bir yapı olarak tanımlanmıştır. Bu modelde yazılımı geliştiren çekirdek ekip, saldırıları yürüten iş ortaklarıyla (affiliate) fidye gelirini paylaşır. Grubun hedef seçimi belirli bir sektöre ya da ülkeye bağlı görünmüyor, büyük ölçüde fırsatçı. Saldırganlar, savunması zayıf bulduğu kuruluşa yöneliyor.
Soyağacı konusunda kesin bir bulgu yoktur. İzleme verimizde Rhysida için kayıtlı bir üst grup ya da kardeş marka bulunmuyor. Bununla birlikte bazı güvenlik araştırmacıları, Rhysida'nın kullandığı teknikler ve hedef profili ile eğitim ve sağlık sektörlerini hedefleyen Vice Society grubu arasında belirgin örtüşmeler tespit etmiştir. Vice Society'nin faaliyeti azalırken Rhysida'nın yükselmesi, iki yapı arasında iş ortağı geçişi olabileceği yönünde değerlendirilmektedir. Bu bağ henüz doğrulanmış değildir.
Saldırı Hacmi ve Zaman İçindeki Seyri
DrDisk Lab izleme verisine göre Rhysida, 2023–2026 döneminde sızıntı sitelerinde toplam 301 kurban ilan etmiştir. Haziran 2023'ten bu yana geçen yaklaşık 41 aylık sürede bu, ayda ortalama yedi civarında ilana karşılık gelir. Grubun izlenen üç sızıntı sitesinin üçü de erişilebilir durumdadır. Bu durum, operasyonun altyapısını ayakta tuttuğunu gösteriyor.
Son 12 ayın verisi dalgalı bir seyre işaret ediyor:
| Dönem | İlan edilen saldırı |
|---|---|
| Kasım 2025 | 11 |
| Aralık 2025 | 11 |
| Ocak 2026 | 4 |
| Şubat 2026 | 4 |
| Mart–Nisan 2026 | 0 |
| Mayıs–Haziran 2026 | 3 |
| Temmuz 2026 | 0 |
| Ağustos 2026 | 7 |
| Eylül 2026 | 12 |
| Ekim 2026 (11 Ekim'e kadar) | 8 |
Son 12 ayda toplam 60 ilan yapılmıştır. Bu rakam, grubun tüm zamanlardaki hacminin yaklaşık beşte birine denk gelir. 2025'in son iki ayındaki istikrarlı tempo, 2026'nın ilk yarısında belirgin biçimde düştü. Mart, Nisan ve Temmuz aylarında hiç ilan görülmedi. Ağustos'tan itibaren ise güçlü bir toparlanma var. Eylül 2026'daki 12 ilan, son bir yılın en yüksek aylık değeridir. Ekim ayının yalnızca ilk on bir gününde 8 ilan yapılmış olması, bu yükselişin sürdüğünü düşündürüyor.
Fidye yazılımı gruplarında bu tür sessizlik dönemleri altyapı değişikliği, iş ortağı kaybı ya da operasyonel bir duraklama gibi nedenlerle görülebilir. Rhysida'nın bahar aylarındaki düşüşünün ardındaki nedenin bu tür bir yeniden yapılanma olduğu değerlendirilmektedir. Ancak sonbaharda tempo yeniden arttı ve bu, grubun kapasitesini kaybetmediğini açıkça gösteriyor.
Sızıntı sitesinde son ilan edilen kurbanlar da bu yeniden hareketlenmenin geniş bir yelpazeye yayıldığını gösteriyor:
| Kurban (grubun iddiası) | Ülke | Sektör | Tespit tarihi |
|---|---|---|---|
| Reed & Giordano PA | ABD | Hizmet | 11 Ekim 2026 |
| Charles E. Tabor AAL LLC | ABD | Diğer | 11 Ekim 2026 |
| Gress Clark Young & Schoepper | ABD | Hizmet | 10 Ekim 2026 |
| Anne Arundel County | ABD | Kamu | 9 Ekim 2026 |
| RealManage | ABD | Hizmet | 9 Ekim 2026 |
| Skaff Group | Belirtilmemiş | Finans | 3 Ekim 2026 |
| Mat Bao Corporation | Vietnam | Teknoloji | 2 Ekim 2026 |
| Electro Heat Sweden AB | İsveç | Enerji | 2 Ekim 2026 |
Bu liste grubun kendi sızıntı sitesindeki iddialara dayanır. Bir kuruluşun burada yer alması, ihlalin kapsamının bağımsız olarak doğrulandığı anlamına gelmez.
Hedef Profili: Sektörler ve Ülkeler
Rhysida'nın sektör dağılımı, grubun kamuoyundaki imajıyla uyumludur. Sağlık ve eğitim ilk iki sırada yer alıyor. Aşağıdaki tabloda, izleme verimizde iki ayrı alt kategori altında görünen Kamu ve Hizmet kayıtları birleştirilmiştir. Oranlar toplam 301 saldırı üzerinden hesaplanmıştır.
| Sektör | Saldırı | Toplam içindeki pay |
|---|---|---|
| Sağlık | 46 | %15,3 |
| Eğitim | 40 | %13,3 |
| Kamu | 29 | %9,6 |
| Hizmet | 29 | %9,6 |
| Üretim | 19 | %6,3 |
| Teknoloji | 14 | %4,7 |
Sağlık, eğitim ve kamu birlikte 115 saldırıyla toplamın yaklaşık %38'ini oluşturuyor. Bu üç sektörün ortak özelliği, kesintiye tahammüllerinin düşük olmasıdır. Hasta kayıtlarına erişilemeyen bir hastane, sınav döneminde sistemleri kilitlenen bir üniversite ya da vatandaş hizmeti veremeyen bir belediye ciddi baskı altında kalır. Bu kurumlar çoğu zaman sınırlı bütçeyle eski sistemleri işletir ve hassas kişisel veri barındırır. Saldırganın gözünde bu, hem kolay erişim hem de güçlü bir pazarlık kozu anlamına gelir.
Ülke dağılımı ise belirgin biçimde ABD ağırlıklıdır:
| Ülke | Saldırı | Toplam içindeki pay |
|---|---|---|
| ABD | 127 | %42,2 |
| Kanada | 17 | %5,6 |
| Almanya | 12 | %4,0 |
| Birleşik Krallık | 10 | %3,3 |
| İtalya | 10 | %3,3 |
| Avustralya | 8 | %2,7 |
| İsviçre | 6 | %2,0 |
| Brezilya | 4 | %1,3 |
| Japonya | 3 | %1,0 |
| Arjantin | 2 | %0,7 |
ABD, Kanada, Birleşik Krallık ve Avustralya birlikte 162 saldırıyla toplamın yarısından fazlasını oluşturuyor. Bu tablo, ödeme gücü yüksek olarak algılanan ve İngilizce iletişimin kolay olduğu pazarlara yönelik yaygın bir tercihi yansıtıyor. Öte yandan ilk on ülke toplamın yaklaşık üçte ikisini kapsıyor. Kalan saldırılar çok sayıda farklı ülkeye dağılmış durumda. Son dönemde Vietnam ve İsveç'ten kurbanların ilan edilmesi de grubun coğrafi olarak sınır tanımadığını gösteriyor.
Saldırı Yöntemi: İçeri Girişten Şifrelemeye
Rhysida'nın saldırı zinciri, olgun bir fidye yazılımı operasyonunun tipik aşamalarını izler. Grubun yöntemlerini özel kılan şey, meşru yönetim araçlarına ne kadar dayandığıdır.
İlk erişim
Grup iki ana kapıdan girer: oltalama (phishing) ve internete açık sistemlerdeki güvenlik açıkları. Saldırı öncesinde hedef ağlar aktif olarak taranır ve oltalama yoluyla bilgi toplanır. İstismar edildiği bilinen açıklar dikkat çekici bir örüntü çiziyor: güvenlik duvarı/VPN ağ geçitleri, e-posta sunucuları ve uzaktan yönetim yazılımları. Bunlar, bir kurumun internete bakan yüzünü oluşturan sistemlerdir. Bu kategorilerde kritik ve yüksek önem derecesine sahip açıkların listede yer alması, yamaların geciktiği her günün doğrudan bir giriş fırsatı olduğunu gösteriyor. Daha önce yayımlanan ortak tehdit uyarılarında da çok faktörlü kimlik doğrulaması olmayan VPN erişimlerinin bu grup tarafından istismar edildiği vurgulanmıştı. Listede bir Windows ayrıcalık yükseltme açığının da bulunması, içeri giren saldırganın yetkilerini hızla artırmayı hedeflediğini gösteriyor.
Yerleşme ve yayılma
İçeri giren saldırgan, sistem yeniden başlatıldığında da varlığını sürdürmek için kalıcılık mekanizmaları kurar. Ardından ağın haritasını çıkarır: çalışan süreçleri, dosya yapısını, kurulu güvenlik yazılımlarını ve Active Directory yapısını keşfeder. Yayılma aşamasında ağırlıklı olarak Windows'un kendi yönetim araçları ve sızma testlerinde de kullanılan açık kaynak araçlar kullanılır. Ticari uzaktan erişim yazılımları da bu aşamada devreye girer. Bu yaklaşım, saldırgan trafiğinin sıradan BT yönetim faaliyetinden ayırt edilmesini zorlaştırır. Etki alanı denetleyicisindeki kimlik bilgisi veritabanının ele geçirilmesi, saldırganın tüm ağ üzerinde yönetici yetkisine ulaşması anlamına gelir. Olay günlüklerinin silinmesi de iz bırakmama çabasının bir parçasıdır.
Savunmadan kaçınma
Rhysida'nın tekniklerinde savunmadan kaçınma belirgin bir ağırlığa sahiptir. Kötü amaçlı kod gizlenir, meşru dosya gibi görünecek şekilde adlandırılır ve doğrudan bellekteki başka süreçlerin içine enjekte edilir. Ayrıca analiz ortamları (sanal makine, sandbox) algılandığında davranış değiştirilir. Bunun pratik anlamı şudur: yalnızca imza tabanlı antivirüs çözümlerine güvenen bir kurum, saldırının erken aşamalarını büyük olasılıkla göremez.
Veri sızdırma ve şifreleme
Şifreleme öncesinde veriler otomatik olarak toplanır. Bu veriler ya komuta-kontrol kanalı üzerinden web protokolleriyle ya da yaygın bir dosya aktarım aracıyla dışarı çıkarılır. Şifreleme bu sürecin son halkasıdır. Saldırgan bu noktaya geldiğinde veriler çoğu zaman zaten kurumun dışındadır. Bu nedenle sistemleri yedekten geri yüklemek tek başına yeterli değildir. Sızdırılmış veri, ayrı bir risk olarak yönetilmek zorundadır.
Gasp Modeli: Sızıntı Sitesi ve Fidye Notu
Rhysida çifte gasp modeliyle çalışır: veriyi hem şifreler hem de çalar, ödeme yapılmazsa yayımlamakla tehdit eder. Grup, sızıntı sitesinde çalınan verileri açık artırmaya çıkarma yöntemiyle tanınır. Kurbana süre tanınır, süre dolduğunda veri başka alıcılara satılmak üzere ilan edilir ya da yayımlanır. İzleme verimizde bu gruba ait müzakere kaydı bulunmadığından fidye talep düzeyi ve ödeme davranışı hakkında değerlendirme yapılmamıştır.
Fidye notu (Rhysida bu notları genellikle PDF olarak bırakır) dikkat çekici bir dil kullanır. Not "Critical Breach Detected – Immediate Response Required" (Kritik İhlal Tespit Edildi – Acil Müdahale Gerekiyor) başlığıyla açılır. Grup kendisini "siber güvenlik ekibi Rhysida" olarak tanıtır ve mesajı otomatik bir güvenlik uyarısı gibi sunar. Notta verinin rakiplere ya da medyaya satılabileceği veya yayımlanabileceği, bunun ciddi itibar ve mali zarara yol açabileceği vurgulanır. Ardından "bu durumun bir çaresi olduğu" ve kuruma özel bir anahtar hazırlandığı söylenir.
Bu kurumsal ve sahte yardımsever üslup bilinçli bir tercihtir. Amaç, saldırıyı bir "güvenlik hizmeti" gibi göstererek yöneticiler üzerinde hem aciliyet hem de itibar kaygısı yaratmaktır. Bu tür baskı karşısında hızlı karar vermek yerine profesyonel destekle durumu değerlendirmek gerekir. Fidye ödemek, verinin silineceğini ya da şifrelemenin eksiksiz çözüleceğini garanti etmez. Aynı kurumun yeniden hedef alınma riskini de artırır. DrDisk Lab olarak fidye ödenmesini önermiyoruz.
Diğer Gruplarla İlişkisi
İzleme verimizde Rhysida ile aynı kurbanları ilan eden gruplar sınırlı sayıdadır. BlackSuit ile iki, Play, CMD Organization, Akira, Interlock ve Anubis ile birer ortak kuruluş tespit edilmiştir. Hiçbirinde birebir mükerrer kayıt yoktur.
| Grup | Ortak kurban kuruluş |
|---|---|
| BlackSuit | 2 |
| Play | 1 |
| CMD Organization | 1 |
| Akira | 1 |
| Interlock | 1 |
| Anubis | 1 |
301 saldırı içinde toplam yedi ortak kuruluş oldukça düşük bir orandır. Bu örtüşmeler büyük olasılıkla aynı kurumun farklı zamanlarda farklı gruplarca hedef alınmasından ya da birden fazla RaaS programıyla çalışan iş ortaklarının erişimleri yeniden kullanmasından kaynaklanıyor. Verimiz, Rhysida'nın bu gruplardan biriyle yeniden markalama ilişkisi içinde olduğuna işaret etmiyor.
Hedef profili benzerliği ise daha çarpıcıdır:
| Grup | Hedef profili benzerliği | Toplam saldırı |
|---|---|---|
| INC Ransom | %93 | 983 |
| Interlock | %93 | 141 |
| Kairos | %93 | 102 |
| Medusa | %92 | 518 |
| Termite | %91 | 81 |
Bu grupların tamamı sektör ve ülke tercihleri bakımından Rhysida ile büyük ölçüde örtüşüyor. Interlock'un hem ortak kurban hem de yüksek hedef benzerliği listesinde yer alması dikkat çekicidir. Ancak bu tek başına kurumsal bir bağı kanıtlamaz. Yüksek benzerlik oranları daha çok, sağlık, eğitim ve kamu kurumlarını hedefleyen geniş bir iş ortağı havuzunun varlığını gösteriyor. Bu havuzdaki saldırganlar bir programdan diğerine geçebiliyor. Bir grubun faaliyeti azaldığında, aynı profildeki saldırıların başka bir marka altında sürmesi bu nedenle şaşırtıcı değildir.
Türkiye'deki Kuruluşlar İçin Anlamı
İzleme verimizde Türkiye, Rhysida'nın en çok hedef aldığı ilk on ülke arasında yer almıyor. Ancak bu durum risk olmadığı anlamına gelmez. Grubun fırsatçı hedefleme yaklaşımı, internete açık zafiyetli bir sistemi olan her kuruluşu potansiyel hedef haline getirir. Grubun öncelikli hedeflediği hastaneler, üniversiteler, okullar ve yerel yönetimler Türkiye'de de benzer bütçe ve personel kısıtlarıyla çalışıyor. İstismar edilen ürün kategorileri, yani güvenlik duvarları, e-posta sunucuları ve uzaktan yönetim yazılımları, Türkiye'deki kurumlarda da yaygın olarak kullanılıyor.
Genel düzeyde öne çıkan korunma önlemleri şunlardır:
- İnternete açık güvenlik duvarı, VPN, e-posta ve uzaktan erişim sistemlerinde güvenlik güncellemeleri öncelikli olarak ve gecikmeden uygulanmalıdır.
- Tüm uzaktan erişim noktalarında ve yönetici hesaplarında çok faktörlü kimlik doğrulama zorunlu olmalıdır.
- Kurumda kullanılan uzaktan yönetim ve dosya aktarım yazılımları envantere alınmalı, onaylanmamış kullanımlar engellenmelidir.
- Active Directory ve ayrıcalıklı hesaplar düzenli olarak gözden geçirilmeli, olağandışı yönetici etkinliği izlenmelidir.
- Olay günlükleri, saldırganın silemeyeceği merkezi bir ortamda saklanmalıdır.
- Yedekler ağdan yalıtılmış ve değiştirilemez biçimde tutulmalı, geri yükleme düzenli olarak test edilmelidir.
- Dışarıya yönelik olağandışı büyük veri aktarımları izlenmeli, çalışanlara oltalama farkındalık eğitimi verilmelidir.
- Saldırı anında kimin ne yapacağını tanımlayan bir olay müdahale planı önceden hazırlanmalıdır.
Saldırıya uğranması durumunda kişisel verilerin etkilendiği ihlaller KVKK kapsamında Kişisel Verileri Koruma Kurulu'na belirlenen süre içinde bildirilmelidir. Olayın USOM'a da iletilmesi gerekir. Etkilenen sistemlere müdahale edilmeden önce profesyonel olay müdahale desteği alınması delillerin korunması açısından önemlidir. DrDisk Lab bu süreçte ücretsiz ön analiz sunmaktadır.
Sonuç
Rhysida, Haziran 2023'ten bu yana 301 kurban ilan etmiş, ağırlıklı olarak sağlık, eğitim ve kamu kurumlarını hedef alan bir RaaS operasyonudur. 2026'nın ilk yarısında belirgin bir durgunluk yaşasa da Ağustos'tan itibaren tempo yeniden arttı. Grup, son bir yılın en yüksek aylık seviyesine ulaştı. Saldırı zinciri internete açık sistemlerdeki açıklar, meşru yönetim araçlarının kötüye kullanımı ve şifreleme öncesi veri sızdırma üzerine kuruludur. Bu nedenle en etkili savunma, saldırganın girdiği kapıları kapatmak ve içeride erken fark edilmesini sağlamaktır.
