Settra Ransomware Grubu Kimdir?
Settra, sızıntı sitesi izleme verimizde ilk kez 2 Haziran 2026'da görülen bir ransomware grubu. Araştırmacı kayıtları da grubun ortaya çıkışını aynı güne tarihliyor. İki tarihin örtüşmesi, izlememizin grubun ilk kamuya açık ilanını yakaladığını gösteriyor. Bu nedenle aşağıdaki sayılar, grubun bilinen faaliyetinin başından itibaren tamamını kapsıyor.
Grubun kökeni, daha önce başka bir adla faaliyet gösterip göstermediği ya da bilinen bir gruptan türeyip türemediği hakkında kamuya açık, güvenilir bir bilgi yok. Veri setimizde de Settra için üst grup veya kardeş grup kaydı bulunmuyor.
İşletim modeli de doğrulanmış değil. Grup bir RaaS (Ransomware-as-a-Service) yapısı olabilir. Bu modelde fidye yazılımını ve altyapıyı geliştiren çekirdek ekip, saldırıları yürüten iş ortaklarına (affiliate) bu altyapıyı kiralar ve fidye gelirini onlarla paylaşır. Diğer seçenek, saldırıların tamamını kendisi yürüten kapalı bir ekip olması. İlk ayda 22 kurbanın ilan edilmesi ve kurbanların kısa sürede çok sayıda sektöre yayılması iki ihtimalle açıklanabilir: önceden hazırlanmış bir kurban havuzuyla sahneye çıkan deneyimli bir ekip ya da eşzamanlı çalışan birden fazla iş ortağı. Hangisinin geçerli olduğu henüz değerlendirme aşamasındadır.
Grubun kamuya açık teknik profili de oldukça zayıf. Belgelenmiş bir taktik ve teknik eşlemesi, istismar edilen güvenlik açığı (CVE) kaydı ya da YARA kuralı bulunmuyor. Somut teknik iz olarak yalnızca bir veri sızdırma aracı ve iki IP göstergesi var. Bu durum, savunmanın neden davranış tabanlı tespite dayanması gerektiğini anlatan bölümlerin temel dayanağı.
Saldırı Hacmi ve Seyri
Settra, 2 Haziran–18 Ekim 2026 arasında sızıntı sitesinde toplam 94 kurban ilan etti. Grubun bilinen faaliyetinin tamamı 2026 yılı içinde.
| Ay | İlan edilen saldırı |
|---|---|
| Haziran 2026 | 22 |
| Temmuz 2026 | 9 |
| Ağustos 2026 | 24 |
| Eylül 2026 | 23 |
| Ekim 2026 (18 Ekim'e kadar) | 16 |
Tablodan üç sonuç çıkıyor:
- Temmuz'daki düşüş geçici oldu. Ağustos ve Eylül'de aylık hacim 20'nin üzerine çıkıp orada kaldı. Bu, ilk ayın birikmiş kurbanlarla yapılmış bir "açılış" olmadığını, operasyonun düzenli bir üretim temposuna oturduğunu gösteriyor.
- Ekim'de tempo sürüyor. Ayın ilk 18 gününde 16 ilan kaydedildi. Bu hız, Ağustos ve Eylül düzeyine yakın bir ay sonu anlamına geliyor.
- İlanlar toplu yayımlanıyor. Son kurban listesindeki sekiz kuruluşun tamamı aynı gün, 18 Ekim 2026'da yayımlandı. Ekim'deki 16 ilanın en az yarısı tek bir günde gelmiş oldu. Sızıntı sitesindeki tarihler sızma anını değil yayın anını gösterir; gerçek sızmalar büyük olasılıkla haftalar önce yaşandı. Temmuz'daki düşüşün de faaliyetin azalmasından çok yayın zamanlamasından kaynaklandığı değerlendirilmektedir.
Kamuya açık araştırmacı kayıtlarında grubun son görülme tarihi 30 Eylül 2026. İzleme verimizde ise 18 Ekim 2026'ya kadar yeni ilanlar var. Bu fark, yalnızca kamuya açık profil kayıtlarına bakılırsa grubun güncel faaliyetinin eksik görüneceğini gösteriyor.
Hedef Profili: Sektörler ve Ülkeler
Sektör dağılımı
| Sektör | Saldırı |
|---|---|
| Teknoloji | 16 |
| Hizmet | 16 |
| Üretim | 10 |
| Perakende | 8 |
| Lojistik | 7 |
| Diğer | 6 |
| Turizm | 5 |
| Tüketici Hizmetleri | 4 |
Teknoloji ve Hizmet 16'şar ilanla ilk sırayı paylaşıyor. Bu iki sektörde yönetilen hizmet sağlayıcıları, yazılım firmaları ve dış kaynak hizmeti veren işletmeler yer alıyor. Bu kuruluşlar, kendi müşterilerinin ağlarına ve verilerine erişim sağlayabilen konumda. Dolayısıyla bu sektörlerde yaşanan bir ihlal, tek bir kurbanla sınırlı kalmayıp tedarik zinciri riski doğurabiliyor.
Üretim, Perakende ve Lojistik ise kesintiye en az tahammülü olan sektörler. Bu sektörlerde operasyonun durması doğrudan gelir kaybı anlamına geldiği için şifreleme baskısı daha etkili olur.
Tablodaki sektörler 94 ilanın tamamını kapsamıyor. Son kurbanlar arasında sektörü belirlenemeyen kayıtlar da var. Ayrıca en çok hedef alınanlar arasında görünmeyen Sağlık sektöründen bir Estonya kuruluşunun 18 Ekim'de ilan edilmesi, hedeflemenin sektör seçici değil fırsatçı olduğu yorumunu destekliyor.
Ülke dağılımı
| Ülke | Saldırı |
|---|---|
| ABD | 39 |
| Almanya | 8 |
| Birleşik Krallık | 6 |
| Kanada | 4 |
| Avustralya | 3 |
| Brezilya | 3 |
| Hollanda | 2 |
| Norveç | 2 |
| Avusturya | 1 |
| Ekvador | 1 |
94 ilanın 39'u ABD'deki kuruluşlara ait. İkinci sıradaki Almanya'da ise yalnızca 8 kurban var. Bu tablo, grubun ABD'yi birincil pazar olarak gördüğünü açıkça gösteriyor. Dağılımın geri kalanı iki kümede toplanıyor: İngilizce konuşulan ekonomiler (Birleşik Krallık, Kanada, Avustralya) ve Batı ile Kuzey Avrupa (Almanya, Hollanda, Norveç, Avusturya). Brezilya ve Ekvador'daki kayıtlar ise Latin Amerika'nın da kapsam içinde olduğunu gösteriyor.
Türkiye, 20 Ekim 2026 itibarıyla ilk on ülke arasında ve son kurban listesinde yer almıyor.
Saldırı Yöntemi
Settra'nın ilk erişim yöntemi ve istismar ettiği güvenlik açıkları kamuya açık kaynaklarda belgelenmiş değil. Bu nedenle aşağıdaki aşamalar, belgelenmiş tek veri noktası (sızdırma aracı) ile bu profildeki grupların yaygın davranışlarının birleştirilmesiyle oluşturulmuş bir değerlendirmedir.
İlk erişim. Bu hacimde ve bu kadar geniş coğrafyada faaliyet gösteren gruplar genellikle birkaç yolu birlikte kullanır: çok faktörlü doğrulaması olmayan uzaktan erişim hizmetleri, internete açık cihazlardaki yamanmamış açıklar ve ilk erişim aracılarından (IAB) satın alınan erişimler. IAB, kurumsal ağlara sızıp bu erişimi fidye gruplarına satan aktörleri tanımlar. Settra için belirli bir CVE kaydının olmaması iki şekilde yorumlanabilir: grup tek bir açığa bağımlı değildir ya da kullandığı yöntemler henüz ilişkilendirilmemiştir. Savunma açısından sonuç aynı: tek bir yamaya öncelik verip rahatlamak mümkün değil, internete açık yüzeyin tamamının sertleştirilmesi gerekiyor.
Yayılma. Ağ içinde ilerleme ve yetki yükseltme konusunda belgelenmiş teknik yok. Kurban profilinin teknoloji ve hizmet şirketlerinde yoğunlaşması, bu tür ortamlarda yaygın olan geniş yetkili yönetim hesaplarının ve uzaktan yönetim kanallarının hedef alındığını düşündürüyor. Bu bir değerlendirmedir.
Veri sızdırma. Grubun belgelenmiş tek aracı, meşru bir bulut depolama senkronizasyon aracı. Bu seçim önemli. Meşru araçlar imza tabanlı korumalara takılmaz ve trafikleri olağan bulut yedekleme trafiğine benzer. Bu nedenle tespit, aracın kendisinden çok davranışa bakmayı gerektirir: alışılmadık saatlerde, alışılmadık hedeflere yapılan büyük hacimli dış veri aktarımları. Sızdırmanın şifrelemeden önce tamamlanması, saldırının en geç fark edilebildiği ama hâlâ veri kaybını sınırlayabilecek son aşamadır.
Şifreleme. Settra'nın şifreleyicisi, hedeflediği platformlar ve kurtarmayı engellemeye yönelik adımları hakkında kamuya açık teknik analiz bulunmuyor. Paylaşılan iki IP göstergesi, kalıcı tespit için zayıf bir dayanak. Saldırganların altyapılarını kısa aralıklarla değiştirmesi, IP tabanlı engellemenin etkisini sınırlar.
Gasp Modeli
Settra, çifte gasp yöntemini kullanıyor. Bu yöntemde saldırgan, sistemleri şifrelemenin yanında hassas verileri de önceden kopyalar ve fidye ödenmezse bu verileri yayımlamakla tehdit eder. Tehdit, sızıntı sitesi (DLS) üzerinden yürütülür. DLS, grubun kurbanlarını ilan ettiği ve verileri yayımladığı, genellikle Tor ağında barındırılan sitedir.
İzleme verimizde Settra'ya ait beş sızıntı sitesi adresi kayıtlı. 20 Ekim 2026 itibarıyla bunlardan yalnızca biri erişilebilir durumdaydı. Henüz beş aylık bir grup için bu kadar çok adres ve bu kadar düşük erişilebilirlik iki ihtimale işaret ediyor: altyapının sık değiştirildiği ya da yansı (mirror) adreslerle sürdürüldüğü. Kurbanlar açısından bunun anlamı şu: bir adresin kapanması verinin yayından kalktığı anlamına gelmez, aynı içerik başka bir adreste yeniden yayımlanabilir.
Müzakere tarafında yalnızca bir kayıt var. Bu kayıtta talep edilen tutar belirtilmemiş ve ödeme yapıldığına dair bilgi yok. Bu kadar sınırlı veriyle grubun fidye talebi düzeyi ya da pazarlık davranışı hakkında genelleme yapmak mümkün değil. Fidye notu metni de kamuya açık kaynaklarda paylaşılmadığı için notun dili ve baskı taktikleri değerlendirilemiyor.
Fidye ödemesi, verilerin silineceğini ya da çalışan bir şifre çözücü verileceğini garanti etmez. Ayrıca kuruluşu sonraki saldırılar için daha cazip bir hedef hâline getirebilir. Bu nedenle ödeme tavsiye edilmez.
Diğer Gruplarla İlişki
Settra'nın ilan ettiği kuruluşlardan biri LockBit 3.0, bir diğeri de Frag tarafından da ilan edilmiş. Her iki durumda da yinelenen kayıt yok. Bu, farklı zamanlarda yaşanmış ayrı olayları ya da daha önce sızdırılmış verinin yeniden kullanılmasını gösterebilir. Yalnızca birer ortak kurban üzerinden bu gruplarla örgütsel bir bağ kurmak için yeterli dayanak yok.
Hedef profili benzerliğinde tablo şöyle:
| Grup | Hedef benzerliği | Toplam saldırı |
|---|---|---|
| Coinbase Cartel | %93 | 207 |
| Chaos | %93 | 96 |
| AiLock | %93 | 51 |
| Cl0p | %92 | 1381 |
| DragonForce | %92 | 663 |
Benzerlik oranları çok yüksek ve birbirine çok yakın. Bu durum, Settra'nın ABD ağırlıklı, teknoloji, hizmet ve üretim odaklı ana akım bir hedef profilini paylaştığını gösteriyor. Belirli bir grupla soy bağı olduğu sonucunu çıkarmak için yeterli değil. Hacmi Settra'ya en yakın olan grup Chaos (96 saldırı). Ancak hedef benzerliği tek başına bir yeniden markalama kanıtı sayılmaz.
Yine de profesyonel ekipler için bir sinyal var. Yeni bir grubun ilk ayından itibaren düzenli ve yüksek tempoda ilan yayımlaması, genellikle sıfırdan kurulan bir operasyondan çok, başka programlardan gelen deneyimli iş ortaklarının ya da yeni ad altında çalışan bir ekibin işareti olarak değerlendirilir. Settra için bu ihtimal açık. Ancak teknik ilişkilendirme (kod benzerliği, ortak altyapı) yayımlanana kadar spekülasyon düzeyinde kalıyor.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
20 Ekim 2026 itibarıyla Türkiye, Settra'nın kayıtlı kurbanları arasında üst sıralarda yer almıyor. Bu, doğrudan riskin düşük olduğu anlamına gelmiyor; risk dolaylı yoldan geliyor. ABD, Almanya ve diğer Avrupa ülkelerindeki müşterilere yazılım, dış kaynak hizmeti, üretim ya da lojistik desteği sağlayan Türk kuruluşları, grubun yoğunlaştığı sektör ve coğrafyaların tedarik zinciri içinde yer alıyor. Grubun hedeflemesinin fırsatçı görünmesi de erişim bulduğu her kuruluşu kurban olarak değerlendirebileceğini düşündürüyor.
Öncelik sırasıyla genel kontroller:
- Büyük hacimli dış veri aktarımlarının izlenmesi. Grubun belgelenmiş tek aracı meşru bir bulut senkronizasyon aracı. Bu nedenle sızdırma, tespit edilebilecek en somut aşama. Bulut depolama hizmetlerine yönelik olağandışı hacim ve zamanlamadaki aktarımlar için uyarı tanımlanmalı.
- Uzaktan erişimde çok faktörlü doğrulama. İlk erişim yöntemi bilinmediği için en yaygın giriş kapısı olan uzaktan erişim hizmetlerinin ve yönetici hesaplarının korunması en yüksek getiriyi sağlar.
- İnternete açık cihazlarda yama önceliği. Grupla ilişkilendirilmiş belirli bir CVE olmaması, tek bir açığa odaklanılamayacağı anlamına geliyor. VPN, güvenlik duvarı ve uzaktan yönetim arayüzleri, kritik yamalar için en kısa süre hedefine alınmalı.
- Değiştirilemez ve ağdan ayrık yedek. Şifreleme aşamasının teknik ayrıntıları bilinmediğinden kurtarma güvencesi, saldırganın erişemeyeceği yedeklere dayanmalı. Bu yedeklerden geri dönüş düzenli olarak sınanmalı.
- Ağ bölümlendirmesi ve ayrıcalıklı hesapların sınırlandırılması. Teknoloji ve hizmet şirketlerinin hedeflerde öne çıkması, müşteri ortamlarına uzanan yönetim erişimlerinin ayrı bölümlerde tutulmasını öncelikli hâle getiriyor.
Bir saldırı yaşandığında kişisel veri ihlali söz konusuysa, ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir. Olayın USOM'a iletilmesi de değerlendirilmelidir. Saldırı sonrası sistemlere müdahale etmeden önce profesyonel olay müdahalesine başvurulmalı. Bu konuda DrDisk Lab'ın ücretsiz ön analizinden yararlanılabilir.
Sonuç
Settra, beş ayı bile doldurmadan 94 kurbana ulaştı ve Temmuz dışında aylık 20'nin üzerinde ilan temposunu korudu. Grubu dikkat çekici kılan asıl unsur ise bu hacimle kamuya açık teknik profili arasındaki dengesizlik: belgelenmiş bir ilk erişim yöntemi, CVE ya da şifreleyici analizi yok. Bu boşluk kapanana kadar savunma, göstergelere değil davranışa dayanmalı. Özellikle meşru araçlarla yapılan veri sızdırma ve sıradışı yönetici erişimi izlenmeli. Önümüzdeki aylarda izlenmesi gereken başlıca gelişmeler şunlar: sızıntı sitesi altyapısının istikrar kazanıp kazanmadığı, hedeflemenin Avrupa'da genişleyip genişlemediği ve grubun başka bir operasyonla teknik olarak ilişkilendirilip ilişkilendirilmeyeceği.
