Vendetta Ransomware Grubu Kimdir?
Vendetta, 2023 yılının şubat ayında sızıntı sitesi üzerinden kurban ilan etmeye başlayan ve kısa bir süre görünür kaldıktan sonra izleme verilerinden kaybolan bir fidye yazılımı (ransomware) grubudur. DrDisk Lab izleme verisindeki ilk kayıt 12 Şubat 2023, son kayıt ise 27 Şubat 2023 tarihlidir. Araştırmacıların grup için tuttuğu ilk ve son görülme kayıtları da aynı tarihleri gösterir. Yani izleme kapsamımız sonradan başlamamıştır; grubun kamuya açık faaliyet penceresi baştan sona kayıt altındadır.
Grubun hangi iş modelini işlettiği konusunda kamuoyunda doğrulanmış, yüksek güvenilirlikte bir bilgi bulunmuyor. Hizmet olarak fidye yazılımı (RaaS) modeliyle iş ortaklarına altyapı kiralayan bir yapı mı, yoksa saldırıları kendi yürüten kapalı bir ekip mi olduğu net değildir. Verimizde bir üst grup (soyağacı) ya da kardeş grup ilişkisi de kayıtlı değil. Bu yüzden Vendetta'yı bilinen büyük bir grubun devamı ya da yeniden markalanmış hali olarak tanımlamak için yeterli dayanak yoktur.
Bu profilin dikkat çeken yanı belirsizliğin kendisidir. Fidye yazılımı ekosisteminde her yıl çok sayıda yeni isim ortaya çıkar. Bunların bir kısmı birkaç kurban ilan edip ortadan kaybolur. Vendetta da veriye bakıldığında bu kısa ömürlü oluşumlardan biri gibi görünüyor.
Saldırı Hacmi ve Seyri
İzleme verimize göre Vendetta toplam 3 kurban ilan etmiştir. Faaliyetin tamamı 2023 yılı içinde, hatta tek bir ayda, şubatta gerçekleşmiştir.
| Ay | İlan edilen saldırı sayısı |
|---|---|
| 2023-02 | 3 |
İlk ve son ilan arasında yaklaşık iki haftalık bir süre var. Kurbanların sızıntı sitesinde görülme tarihleri şöyle:
| Kurban (sızıntı sitesindeki adıyla) | Tespit tarihi |
|---|---|
| albouyassociesconsult | 12 Şubat 2023 |
| Highwealth | 21 Şubat 2023 |
| Chowtaifook | 27 Şubat 2023 |
Bu seyirden çıkan sonuçlar şunlardır:
- Hacim düşüktür. Üç ilan, grubun geniş bir iş ortağı ağıyla yüksek tempoda çalışan bir yapı olmadığına işaret ediyor.
- Faaliyet aniden kesilmiştir. 27 Şubat 2023'ten sonra izleme verimizde yeni bir ilan yok. Bunun nedeni bilinmiyor. Grubun dağılması, altyapısını kaybetmesi, başka bir isimle devam etmesi ya da sızıntı sitesini kapatıp yalnızca doğrudan gasp yöntemine geçmesi gibi olasılıklar ancak değerlendirme düzeyinde konuşulabilir.
- Kısa ömür tehdidin bittiği anlamına gelmez. Sızıntı sitesinin susması, daha önce çalınmış verilerin yok edildiğini göstermez. Bu veriler başka kanallarda satılmış ya da paylaşılmış olabilir.
Hedef Profili: Sınırlı Görünürlük
İzleme verimizde Vendetta kurbanları için sektör ve ülke sınıflandırması yapılmamıştır. Bu nedenle sektör ve ülke dağılımı tablosu verilemiyor. Kurban adlarından yola çıkarak sektör ya da ülke tahmini yapmak istatistiksel açıdan sağlıklı değildir. Üç kurbanlık bir örneklem, herhangi bir sektöre ya da coğrafyaya yönelik bilinçli bir odaklanmayı göstermeye zaten yetmez.
Tecrübemize göre bu ölçekteki gruplar çoğunlukla belirli bir sektörü değil, erişim elde edebildikleri kuruluşu hedef alır. Yani kurban seçimi, sektörel stratejiden çok fırsatçı tarama ve satın alınan erişimlerle şekillenir. Vendetta için de bu tablonun geçerli olduğu değerlendirilmektedir, ancak bunu doğrulayan doğrudan bir veri bulunmuyor.
Saldırı Yöntemi Hakkında Ne Biliniyor?
Vendetta'ya atfedilen saldırı teknikleri, istismar edilen güvenlik açıkları ve kullanılan araçlar konusunda verimizde kayıtlı bir bilgi yok. Grubun ilk erişimi nasıl sağladığı, ağ içinde nasıl yayıldığı ya da veriyi hangi kanallarla dışarı çıkardığı hakkında doğrulanmış bir bulgu bulunmuyor.
Bununla birlikte, sızıntı sitesi işleten grupların büyük çoğunluğunda benzer bir saldırı akışı görülür:
- İlk erişim: Genellikle internete açık uzaktan erişim servisleri, yamalanmamış VPN ve güvenlik duvarı cihazları, ele geçirilmiş kullanıcı hesapları ya da oltalama e-postaları üzerinden sağlanır.
- Yayılma ve yetki yükseltme: Saldırgan ağ içinde yönetici yetkisi elde etmeye ve yedekleme sistemlerine ulaşmaya çalışır.
- Veri sızdırma: Şifreleme öncesinde hassas dosyalar dışarı aktarılır. Sızıntı sitesindeki ilanın dayanağı bu aşamadır.
- Şifreleme: Son aşamada sistemler kullanılamaz hale getirilir ve fidye notu bırakılır.
Vendetta'nın bu akışı izlediği değerlendirilmektedir, ancak bu bir genelleme olup grubun kendisine özgü teknik bulgulara dayanmamaktadır. DrDisk Lab kütüphanesinde grupla ilişkilendirilmiş bir YARA tespit kuralı bulunuyor. Bu kural, güvenlik ekiplerinin ilgili örnekleri sistemlerinde taramasına yardımcı olabilir ve sayfadaki teknik kartlarda yer alıyor.
Gasp Modeli
Vendetta'nın kurbanları, grubun işlettiği sızıntı sitesinde ilan edilmiştir. Bu durum, grubun çifte gasp yöntemini kullandığını gösteriyor: Kurbanın hem sistemlerini kullanılamaz hale getirmek hem de çaldığı verileri yayımlamakla tehdit ederek baskı kurmak. Verimizde sızıntı sitesinin adresi ya da yapısıyla ilgili ayrıntılı bir kayıt bulunmuyor.
Grubun fidye talepleri, müzakere tarzı ve ödeme davranışıyla ilgili bir müzakere kaydı da yok. Fidye notundan bir örnek de kütüphanemizde yer almıyor. Bu nedenle talep edilen tutarlar, müzakere süreleri ya da notun dili ve tonu hakkında değerlendirme yapılamıyor.
Kısa ömürlü gruplarla ilgili önemli bir risk şudur: Fidye ödense bile verilerin silineceğine ya da çalışan bir şifre çözücü verileceğine dair hiçbir güvence yoktur. Faaliyetini kısa sürede bırakan bir grubun ödeme sonrası taahhütlerini yerine getirmesi, yerleşik gruplara kıyasla daha da öngörülemezdir. DrDisk Lab fidye ödenmesini önermez. Ödeme suç ekonomisini besler, verinin geri alınmasını garanti etmez ve kuruluşu tekrar hedef olma riskiyle karşı karşıya bırakır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Vendetta'nın Türkiye'den bir kurbanı kayıtlı değil. Ancak grubun bu ölçekteki ve kısa ömürlü yapısı, Türkiye'deki kuruluşlar için de genel bir ders taşıyor. Fidye yazılımı tehdidi yalnızca adı bilinen büyük gruplardan gelmiyor. Bilinmeyen, az sayıda kurbanla ortaya çıkıp kaybolan aktörler de aynı yöntemleri kullanıyor ve aynı zararı verebiliyor. Bu tür gruplar hakkında istihbarat sınırlı olduğu için korunma, belirli bir gruba özel önlemlerden çok temel güvenlik hijyenine dayanmalı.
Genel düzeyde öne çıkan önlemler şunlardır:
- İnternete açık servisleri azaltmak: Uzaktan erişim noktalarını zorunlu olanlarla sınırlamak ve hepsini çok faktörlü kimlik doğrulamayla korumak.
- Yama disiplini: Özellikle VPN, güvenlik duvarı ve uzaktan erişim çözümleri gibi sınır cihazlarındaki güvenlik açıklarını öncelikli olarak kapatmak.
- Yedeklerin ayrıştırılması: Yedekleri ana ağdan ve yönetici hesaplarından bağımsız tutmak, geri yükleme testlerini düzenli olarak yapmak.
- Yetki yönetimi: Yönetici hesaplarının sayısını azaltmak ve ayrıcalıklı erişimi izlemek.
- Veri sızdırmayı fark etmek: Olağan dışı büyük veri çıkışlarını izleyebilecek bir görünürlük sağlamak. Çifte gasp modelinde asıl baskı aracı çalınan veridir.
- Olay müdahale planı: Saldırı anında kimin neye karar vereceğini, hangi sistemlerin önce ayağa kaldırılacağını ve kimlerle iletişim kurulacağını önceden belirlemek.
Saldırıya uğrayan kuruluşların yasal yükümlülükleri de vardır. Kişisel verilerin etkilendiği durumlarda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir. Kurul bu bildirimin ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmasını bekler. Siber olayların Ulusal Siber Olaylara Müdahale Merkezi'ne (USOM) bildirilmesi de hem yükümlülükler hem de ulusal ölçekte tehdit görünürlüğü açısından önemlidir. Delillerin korunması için etkilenen sistemlere bilinçsiz müdahale edilmemeli. Süreç profesyonel olay müdahale ekipleriyle yürütülmeli. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz hizmeti sunar.
Sonuç
Vendetta, Şubat 2023'te yaklaşık iki haftalık bir süre içinde üç kurban ilan eden ve sonrasında izleme verilerinden kaybolan bir fidye yazılımı grubudur. Grubun iş modeli, soyağacı, saldırı teknikleri, hedef sektörleri ve fidye talepleri hakkında güvenilir bilgi oldukça sınırlıdır. Diğer gruplarla ortak kurban ya da benzer hedef profili de kayıtlı değil.
Bu tablo, Vendetta'yı tek başına büyük bir tehdit olarak öne çıkarmasa da önemli bir gerçeğe işaret ediyor: Fidye yazılımı ekosisteminde kısa ömürlü, az bilinen aktörler sürekli ortaya çıkıyor. Bunlara karşı en etkili savunma, belirli bir grubu takip etmekten çok, ilk erişim yollarını kapatan, yedekleri koruyan ve veri sızdırmayı fark edebilen sağlam bir güvenlik temelidir. DrDisk Lab, Vendetta ve benzeri grupların sızıntı sitesi faaliyetlerini izlemeyi sürdürmekte ve yeni veri oluştukça bu profili güncellemektedir.
