Zerotolerance Ransomware Grubu Kimdir?
Zerotolerance, DrDisk Lab'ın sızıntı sitesi izleme verisinde tek bir kurban ilanıyla yer alan, kısa ömürlü görünen bir fidye yazılımı ve veri gaspı aktörüdür. Araştırmacı kayıtlarına göre grup ilk kez 5 Mayıs 2024'te görülmüş. Araştırmacı kaydındaki son görülme tarihi de aynı gün. İzleme verimizdeki ilk kayıt da 5 Mayıs 2024 tarihli. Yani izleme kapsamımız grubu ortaya çıktığı gün yakalamış; sonradan başlayan bir kapsam yüzünden kaçırılmış bir dönem yok.
Grubun nasıl bir model işlettiği bilinmiyor. RaaS (Ransomware-as-a-Service), fidye yazılımını geliştiren çekirdek ekibin altyapısını, saldırıları yürüten iş ortaklarına (affiliate) gelir paylaşımı karşılığında kiraladığı modeldir. Zerotolerance'ın böyle bir yapı mı, yoksa dışarıya kapalı tek bir ekip mi olduğunu gösteren bir veri yok. Bağlı olduğu bir üst grup ya da kardeş marka kaydı da bulunmuyor. Grubun kökeni veya isim değişikliği hakkında kamuoyunda yüksek güvenle doğrulanmış bir bilgi olmadığından bir soyağacı kurulamıyor.
Bu profilin analitik değeri, eksik bilgilerin kendisinde. Elimizde tek ilan, öne çıkan bir hedef ve ardından gelen bir sessizlik var. Bu tablo üç farklı açıklamayla uyumlu:
- Tek seferlik bir operasyon yürütülmüş ve sonra bırakılmış olabilir.
- Dikkat çekmek ya da itibar kazanmak için yapılmış, doğrulanmamış veya abartılmış bir iddia olabilir.
- Başka bir adla süren bir faaliyetin geçici markası olabilir.
Veri bu açıklamalardan hiçbirini doğrulamıyor. Üçü de birer olasılık olarak değerlendirilmektedir.
Saldırı Hacmi ve Seyri
| Gösterge | Değer |
|---|---|
| Toplam ilan sayısı | 1 |
| Aktif yıl | 2024 |
| Araştırmacı kaydında ilk ve son görülme | 5 Mayıs 2024 |
| İzleme verimizde ilk kayıt | 5 Mayıs 2024 |
| İzleme verimizde son kayıt | 9 Mayıs 2024 |
| Ay | İlan sayısı |
|---|---|
| Mayıs 2024 | 1 |
Grubun izlenen tüm faaliyeti 5–9 Mayıs 2024 arasındaki birkaç günlük bir zamana sığıyor. Araştırmacı kaydı tek bir zaman damgasından oluşuyor. İzleme verimizdeki tek kurban ilanı ise 9 Mayıs 2024'te tespit edilmiş. Bu iki tarih arasındaki fark, grubun görünürlüğünün sürekli bir faaliyete değil, birkaç anlık gözleme dayandığını gösteriyor.
Tek bir veri noktasıyla eğilim hesaplanamaz. Burada tek anlamlı bulgu süreklilik olmaması. 9 Mayıs 2024'ten bu raporun hazırlandığı 19 Ekim 2026'ya kadar izleme verimize yeni bir ilan düşmedi. Gruba ait sızıntı sitesinin erişilebilirliğiyle ilgili bir kaydımız da yok. Bu nedenle 19 Ekim 2026 itibarıyla sitenin açık olup olmadığı hakkında bir şey söylenemiyor. Sessizlik grubun dağıldığını kanıtlamaz. Ama tehdit önceliklendirmesinde bu aktör, düzenli ilan yayımlayan gruplarla aynı düzeye konmamalı.
Hedef Profili: Finans Sektörü ve Arjantin
| Kurban (ilandaki adıyla) | Ülke | Sektör | Tespit tarihi |
|---|---|---|---|
| Banco central argentina | Arjantin | Finans | 9 Mayıs 2024 |
Tek ilanla bir sektör ya da coğrafya uzmanlığından söz edilemez. Finans sektörünün ve Arjantin'in dağılımın tamamını oluşturması istatistiksel bir yoğunlaşma değildir, yalnızca örneklemin büyüklüğünün sonucudur. Asıl dikkat çeken, hedefin niteliği. İlan, bir ülkenin merkez bankasının adıyla yayımlanmış. Böyle bir ilan, tek bir kayıt olmasına rağmen hacmiyle orantısız bir görünürlük sağlar. Hiçbir saldırı geçmişi olmayan bir grubun tek ilanını bu düzeyde bir kuruma ayırması, ikinci açıklamadaki "görünürlük arayışı" ihtimalini güçlendiren bir işaret olarak değerlendirilmektedir.
Analistler için bir ayrımı vurgulamak gerekiyor: sızıntı sitesindeki bir ilan, bir iddiadır. Kurumun sistemlerinin ele geçirildiğini ya da verisinin sızdırıldığını tek başına kanıtlamaz. Hedef kurumun bu iddiayı doğrulayıp doğrulamadığına dair bir bilgi veri setimizde yok. Bu nedenle bu kayıt, doğrulanmış bir ihlal olarak değil, kamuya açık bir gasp iddiası olarak okunmalı.
Saldırı Yöntemi ve Gasp Modeli: Veri Boşluğu Ne Anlatıyor?
Kütüphanemizde Zerotolerance için kayıtlı bir taktik, istismar edilen açık, araç ya da gösterge (IOC) yok. Müzakere kaydı ve fidye notu örneği de bulunmuyor. Gruba ait yalnızca bir tespit kuralı kaydı var. Bu da grupla ilişkilendirilmiş en az bir eserin analiz edildiğini düşündürüyor. Yine de taktik ve gösterge kaydı olmadığından, bu kuralın tek başına bir saldırı zincirini yeniden kurmaya yetmediği değerlendirilmektedir.
Bu boşluk, saldırı aşamalarının her birinde bir bilinmezlik demek:
- İlk erişim: Grubun içeri kendisinin mi girdiği, yoksa ele geçirilmiş kurumsal erişimleri başka saldırganlara satan bir ilk erişim aracısından (IAB, Initial Access Broker) mı erişim satın aldığı bilinmiyor.
- Yayılma ve veri sızdırma: Ağ içinde nasıl ilerlediğine ve veriyi hangi yolla dışarı çıkardığına dair bir kayıt yok.
- Şifreleme: Sistemlerin şifrelendiğine dair bir veri yok. Bu yüzden grubun çifte gasp mı yaptığı, yoksa yalnızca veri gaspı mı yaptığı belirsiz. Çifte gasp, sistemleri şifrelemenin yanında çalınan veriyi yayımlamakla tehdit etmek demektir.
Gasp modelinin gözlemlenebilen tek ayağı sızıntı sitesi (DLS, Data Leak Site), yani grubun kurban adlarını ve çalındığını iddia ettiği verileri yayımladığı sitedir. Fidye talebi, ödeme davranışı ya da notun dili hakkında veri olmadığından grubun pazarlık tarzı yorumlanamıyor.
Savunma tarafı için çıkan sonuç şu: yöntemi bilinmeyen bir aktöre karşı gruba özgü göstergeleri aramak işe yaramaz. Koruma, saldırının hangi aşamada olursa olsun bıraktığı davranış izlerini yakalamaya dayanmalıdır.
Diğer Gruplarla İlişki
İzleme verimizde Zerotolerance ile ortak kurbanı ilan eden ya da benzer hedef profiline sahip bir grup yok. Normalde ortak kurbanlar ve örtüşen hedef profilleri, bir grubun başka bir isimle yeniden ortaya çıkıp çıkmadığını (yeniden markalama) ya da iş ortaklarının başka bir RaaS programına geçip geçmediğini anlamak için kullanılan başlıca göstergelerdir. Tek ilanlık bir aktörde bu karşılaştırmanın istatistiksel gücü zaten düşüktür. Örtüşme olmaması, yeniden markalama ihtimalini ne doğruluyor ne de dışlıyor.
İleride izlenecek sinyal belli: aynı kurumun ya da benzer adlandırmanın başka bir grubun sızıntı sitesinde görünmesi. Böyle bir durumda profil güncellenir ve ilişki analizi yeniden yapılır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Zerotolerance'a bağlı Türkiye'den bir kurban yok. Bu nedenle gruptan Türkiye'ye yönelik doğrudan bir tehdit olduğunu gösteren bir kanıt bulunmuyor. Yine de bu vaka, özellikle finans kuruluşları için önemli bir ders içeriyor: geçmişi olmayan bir grubun tek bir sızıntı sitesi ilanı bile, doğrulanıp doğrulanmadığından bağımsız olarak, bir kurumu itibar krizine sokabilir. Kurumun bu iddiaya ne kadar hızlı ve kanıta dayalı yanıt verebildiği, teknik müdahale kadar belirleyicidir.
Bu gruba özgü bir erişim yöntemi bilinmediğinden aşağıdaki öneriler belirli bir tekniğe değil, en yaygın saldırı yollarını aynı anda daraltan kontrollere dayanıyor. Öncelik sırası şöyle:
- Büyük hacimli dış veri aktarımının izlenmesi: Bu grubun gözlemlenebilen tek eylemi bir veri sızıntısı iddiası. Olağan dışı dışa veri akışını kayıt altına alan bir kurum, böyle bir iddiayla karşılaştığında gerçekten veri çıkıp çıkmadığını kısa sürede gösterebilir.
- Gasp iddiasını doğrulama ve kriz iletişimi prosedürü: Kurumun adı bir sızıntı sitesinde göründüğünde iddiayı kimin değerlendireceği, hangi kayıtlara bakılacağı ve kamuya ne zaman, nasıl açıklama yapılacağı önceden belirlenmiş olmalı. Merkez bankası adıyla yayımlanan bu ilan, iddianın kendisinin de bir saldırı aracı olarak kullanılabildiğini gösteriyor.
- Uzaktan erişimde çok faktörlü doğrulama: İlk erişimin kaynağı bilinmediği için hem çalınmış parolaların kullanılmasını hem de ilk erişim aracılarından satın alınan erişimleri aynı anda zorlaştıran kontrol bu.
- İnternete açık cihazlarda yama önceliği: Grubun kullandığı belirli bir açık kayıtlı olmadığından, önceliklendirme tek bir açığa göre değil, dışarıya açık tüm sistemlerin envanterine göre yapılmalı.
- Değiştirilemez ve ağdan ayrık yedek: Şifreleme yapılıp yapılmadığı bilinmiyor. Bu belirsizlikte, saldırganın erişemeyeceği bir yedek, olası en kötü senaryoda bile iş sürekliliğini korur.
- Ağ bölümlendirmesi: Özellikle finans kuruluşlarında çekirdek ve ödeme sistemlerini kullanıcı ağından ayırmak, bir ihlal yaşandığında saldırganın çalıp ilan edebileceği verinin kapsamını daraltır.
Bir saldırı ya da sızıntı iddiasıyla karşılaşıldığında fidye ödemek, verinin silineceğini ya da yayımlanmayacağını garanti etmez. Bu nedenle ödeme önerilmez. Kişisel veri ihlali söz konusuysa KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de gerekir. Bankacılık gibi düzenlemeye tabi sektörlerde bağlı olunan sektörel düzenleyiciye (bankalar için BDDK) yapılacak bildirimler de unutulmamalı. Olay sonrasında etkilenen sistemlerin profesyonel bir olay müdahale ekibince incelenmesi gerekir; DrDisk Lab bu süreç için ücretsiz ön analiz sunmaktadır.
Sonuç
Zerotolerance, saldırı sayısıyla değil hedef seçimiyle görünür olan bir aktör tipine örnek. Bu tür aktörlerde savunmayı belirleyen şey, gruba özgü göstergelerin peşine düşmek değil; bir gasp iddiasına kanıtla, hızlı ve düzenleyici yükümlülüklere uygun biçimde yanıt verebilmektir. DrDisk Lab izlemesi 19 Ekim 2026 itibarıyla bu gruba ait yeni bir ilan kaydetmedi. Aynı kurbanın ya da benzer bir adlandırmanın başka bir sızıntı sitesinde görünmesi, bu profilin yeniden değerlendirilmesini tetikleyecek ilk sinyal olacak.
