Fidye Yazılımı Sonrası Veri Kurtarma
2007'den Bu Yana Profesyonel Hizmet
Fidye Yazılımı Sonrası Ne Yapılabilir?
Modern fidye yazılımlarında şifrelenmiş dosya, saldırganın anahtarı olmadan çözülemez. Buna rağmen veri sıklıkla geri getirilebilir: şifreyi kırarak değil, saldırının ulaşamadığı kopyalardan ve geride kalan izlerden.
Müdahale Etmeden Önce
Kurtarma şansını en çok düşüren şey arızanın kendisi değil, sonrasında yapılanlardır. Şunlardan kaçının:
- Fidye ödemeyin
- Şifrelenmiş dosyaları silmeyin
- Sunucuyu yeniden kurmayın
- İnternetten çözücü indirmeyin
- Yedeği kontrol etmeden geri yazmayın
Emin değilseniz sistemi kapatın ve bize danışın. Çoğu zaman verinizi kurtarmak için yalnızca bir şansınız vardır.
Veri hangi yollarla geri gelebilir?
| Yöntem | Nasıl çalışır? | Başarı ihtimali |
|---|---|---|
| Etkilenmemiş yedek | Ağdan ayrı, çevrimdışı veya değiştirilemez (immutable) yedekten dönüş | Yedek sağlamsa yüksek |
| Anlık görüntü (snapshot) | NAS, sanallaştırma veya depolama ünitesindeki snapshot'ların kurtarılması | Snapshot silinmediyse yüksek |
| Silinmiş orijinaller | Şifreleme sırasında orijinal dosya silinip yenisi yazılmışsa, silinen sürümün izleri | Değişken — sistem kapatıldıysa artar |
| Kısmen şifrelenmiş dosyalar | Hız için dosyanın yalnızca başını şifreleyen varyantlarda kalan bölümler | Dosya tipine bağlı, kısmi |
| Yarım kalan şifreleme | Saldırı fark edilip kesildiyse işlenmemiş dosyalar | Kesme anına bağlı |
| Bilinen varyant çözücüsü | Eski veya hatalı yazılmış bazı varyantlar için yayınlanmış çözücüler | Nadir — varyanta bağlı |
Analizde önce hangi varyantın söz konusu olduğu ve yukarıdaki yollardan hangilerinin açık olduğu tespit edilir. Kurtarılabilecek veri kapsamı size işleme başlamadan önce bildirilir.
İlk saatte yapılması gerekenler
- Etkilenen sistemleri ağdan ayırın. Fidye yazılımı ağdaki diğer sunuculara, NAS cihazlarına ve bağlı yedek birimlerine yayılır. Kabloyu çekin veya bağlantıyı kesin.
- Sistemleri kapatın. Şifreleme devam ediyor olabilir; her dakika daha fazla dosya işlenir.
- Yedek birimlerini derhal izole edin. Fidye yazılımlarının ilk hedefi yedeklerdir. Bağlı bir yedek diski veya NAS'ı ayırmak, çoğu vakada kurtarmanın tek yolunu korur.
- Hiçbir şeyi silmeyin ve biçimlendirmeyin. Şifrelenmiş dosyalar dahil. Bunlar analizde gereklidir.
- Fidye notunu ve örnek şifreli dosyaları saklayın. Varyant tespiti bunlarla yapılır.
- Sistemi "temizleyip" kullanmaya devam etmeyin. Kurtarma öncesi her yazma işlemi, silinen orijinallerin üzerine gelir.
Yapılmaması gerekenler
- Fidye ödemeyin. Ödeme, anahtarın verileceğini garanti etmez; verilse bile çözücü aracın çalışmadığı veya veriyi bozduğu vakalar yaygındır. Ayrıca ödeme yapan kurumlar tekrar hedef alınır.
- İnternetten rastgele çözücü indirmeyin. Bu araçların önemli bölümü ikinci bir zararlı yazılımdır.
- Şifrelenmiş dosyaları silmeyin.
- Sunucuyu yeniden kurmayın. Format, kurtarma ihtimalini sıfırlar.
- Yedeği kontrol etmeden geri yazmayın. Yedek de şifrelenmiş olabilir; bozuk yedeği geri yazmak mevcut durumu daha kötü hâle getirir.
Bu bir güvenlik olayıdır, sadece veri kaybı değil
Fidye yazılımı vakalarında veri şifrelenmeden önce çoğu zaman dışarı sızdırılmıştır. Bu, KVKK kapsamında bildirim yükümlülüğü doğurabilir. Ayrıca saldırganın sisteme nasıl girdiği tespit edilmeden yapılan geri dönüş, aynı saldırının tekrarlanmasıyla sonuçlanır.
Bu nedenle kurtarma çalışmasıyla birlikte olayın nasıl gerçekleştiğinin incelenmesini öneriyoruz. TeknikNokta bünyesinde adli bilişim ve siber güvenlik tarafında da çalışıyoruz; talep hâlinde süreç birlikte yürütülebilir.
Sık sorulan sorular
Şifrelenmiş dosyalarımı kırabilir misiniz?
Modern varyantlarda hayır. Analizde varyant tespit edilir; bilinen bir zayıflık veya yayınlanmış bir çözücü varsa değerlendirilir, yoksa bu açıkça bildirilir ve diğer yollar üzerinden ilerlenir.
Yedeğim yok, hiç şansım yok mu?
Şans azalır ama sıfır değildir. Snapshot'lar, silinmiş orijinallerin izleri ve kısmen şifrelenmiş dosyalar üzerinden kısmi kurtarma sıklıkla mümkün olur. Belirleyici olan, sistemin saldırıdan sonra ne kadar kullanıldığıdır.
NAS cihazım şifrelendi, ne yapmalıyım?
Cihazı kapatın ve fabrika ayarlarına döndürmeyin. Snapshot özelliği açıksa kurtarma ihtimali yüksektir; ayrıntılar NAS veri kurtarma sayfamızda.
Analiz ücretli mi?
Hayır. Kurtarılabilecek veri kapsamı ve fiyat, siz karar vermeden önce bildirilir.
Fidye yazılımı saldırısı yaşadıysanız sistemleri ağdan ayırıp kapatın ve bize ulaşın. İlgili sayfalar: sunucu veri kurtarma, sanal sunucu veri kurtarma, veri kurtarma sürecimiz.
Fidye Yazılımı Sonrası Veri Kurtarma İçin Uzman Desteği
Veri kaybı yaşadıysanız sistemi kapatın ve bize ulaşın. Analiz ücretsizdir; onayınız olmadan işlem yapılmaz.