LockBit Fidye Yazılımı: Kurtarma ve Müdahale
LockBit, 2019'dan bu yana faaliyet gösteren ve iştirakçilere kiralanan (Ransomware-as-a-Service) bir fidye yazılımıdır. Uzun süre dünyada en çok saldırı düzenleyen gruplar arasında yer aldı; kurumların verilerini hem şifreler hem de sızdırmakla tehdit eder.
Ödeme yapmadan ve sistemleri kapatmadan önce bize ulaşın. İlk saatlerde atılan adımlar kurtarma şansını belirler.
- Model
- Fidye yazılımı hizmeti (RaaS), iştirakçi ağı
- İlk görülme
- 2019; LockBit 2.0 ve 3.0 (Black) sürümleri
- Taktik
- Şifreleme ve veri sızdırma ile çifte şantaj
- Hedef
- Her ölçekte kurum; Windows, Linux ve VMware ESXi
- 01İzolasyon
- 02Tespit
- 03Kurtarma
- 04Güvenli dönüş
Tanım
LockBit fidye yazılımı nedir?
LockBit, 2019'da ortaya çıktı; LockBit 2.0 (2021) ve LockBit 3.0, diğer adıyla LockBit Black (2022) sürümleriyle gelişti. Operatörler yazılımı iştirakçilere kiralar, iştirakçiler de kurumlara sızarak saldırıyı gerçekleştirir.
Şubat 2024'te Birleşik Krallık NCA, FBI ve Europol öncülüğündeki Cronos Operasyonu ile grubun altyapısına el konuldu. Buna rağmen grubun ve türevlerinin faaliyetleri tamamen sona ermedi; LockBit tabanlı saldırılar görülmeye devam ediyor.
Belirtiler
LockBit saldırısının belirtileri
Aşağıdaki işaretler saldırının bu aileye ait olabileceğini gösterir. Uzantılar ve not adları sürüme ve iştirakçiye göre değişebilir.
- Şifrelenmiş dosyalara rastgele karakterlerden oluşan ya da ".lockbit" uzantısının eklenmesi (sürüme göre değişir)
- Klasörlerde "Restore-My-Files" veya rastgele adlı ".README.txt" fidye notları
- Masaüstü arka planının LockBit mesajıyla değiştirilmesi
- Gölge kopyaların silinmesi ve olay günlüklerinin temizlenmesi
Bulaşma yolları
LockBit sistemlere nasıl girer?
Saldırganın kullandığı giriş noktası kapatılmadan yapılan kurtarma, saldırının tekrarlanmasına yol açar. Adli analizde ilk sorduğumuz soru budur.
- Güncellenmemiş VPN, uzaktan erişim ve uç cihaz zafiyetleri
- İnternete açık RDP ve çalınmış ya da zayıf parolalar
- Oltalama e-postaları ve ilk erişim satıcılarından alınan hesaplar
Kurtarma
LockBit ile şifrelenen dosyalar kurtarılabilir mi?
LockBit saldırılarında kurtarma; temiz yedeklere, silinmemiş anlık görüntülere ve şifrelemenin yarıda kaldığı dosyalara bağlıdır. Secunnix şifre çözücü araç önermez; önce sürümü ve saldırının kapsamını tespit eder, ardından gerçekçi bir kurtarma planı sunar.
İnternetten indirilen şifre çözücü araçlar çoğu zaman işe yaramaz, bazıları da zararlı yazılım içerir ve dosyalara kalıcı zarar verebilir. Şifrelenmiş dosyaları olduğu gibi koruyun ve uzman ekibe ulaşın.
Acil durum rehberi
LockBit saldırısında ilk 60 dakika
Sistemleriniz şifrelendiyse panik yapmadan aşağıdaki adımları izleyin. Yanlış bir müdahale, kurtarılabilecek verileri kalıcı olarak kaybettirebilir.
Yapın
- Etkilenen cihazları ağdan ayırın: ağ kablosunu çekin, Wi-Fi ve VPN bağlantısını kesin.
- Fidye notunun, şifrelenmiş dosya uzantılarının ve ekran mesajlarının fotoğrafını çekin.
- Yedekleme sunucularını ve harici yedekleri ağdan ayırarak koruma altına alın.
- Yönetici ve servis hesaplarının parolalarını temiz bir cihazdan değiştirin.
- Olayın ne zaman fark edildiğini ve hangi sistemlerin etkilendiğini not edin.
- Uzman müdahale ekibini arayın; kişisel veri etkilendiyse 72 saatlik KVKK süresi başlamıştır.
Yapmayın
- Sistemleri kapatmayın veya yeniden başlatmayın; bellekteki deliller ve anahtarlar kaybolabilir.
- Şifrelenmiş dosyaları silmeyin, taşımayın veya adlarını değiştirmeyin.
- Saldırganla yazışmayın ve ödeme yapmayın; önce uzman değerlendirmesi alın.
- İnternette bulduğunuz bilinmeyen "şifre çözücü" araçları indirip çalıştırmayın.
- Yedekleri, olay kapsamı netleşmeden etkilenen sistemlere geri yüklemeyin.
- Antivirüs taramasının dosyaları geri getireceğini varsaymayın; temizlik şifreyi çözmez.
Fidye yazılımı aileleri
Diğer fidye yazılımı aileleri
Her ailenin bulaşma yolu, belirtileri ve kurtarma imkânları farklıdır. Maruz kaldığınız aileyi tanımak, doğru kurtarma planının ilk adımıdır.
Akira fidye yazılımı
Windows ve VMware ESXi sistemlerini hedef alan fidye yazılımıBelirtiler ve kurtarma →Phobos fidye yazılımı
Küçük ve orta ölçekli işletmeleri hedef alan yaygın fidye yazılımıBelirtiler ve kurtarma →Babuk fidye yazılımı
Kaynak kodu sızan ve pek çok türeve ilham veren fidye yazılımıBelirtiler ve kurtarma →
Tekrar yaşamamak için
Fidye yazılımına karşı önleyici hizmetler
Fidye yazılımı müdahale sürecimizin tamamı için ana sayfamızı inceleyebilir, LockBit gibi saldırılara karşı sistemlerinizi düzenli olarak test ettirebilirsiniz.
SSS
LockBit hakkında sık sorulan sorular
LockBit saldırılarında kurtarma; temiz yedeklere, silinmemiş anlık görüntülere ve şifrelemenin yarıda kaldığı dosyalara bağlıdır. Secunnix şifre çözücü araç önermez; önce sürümü ve saldırının kapsamını tespit eder, ardından gerçekçi bir kurtarma planı sunar.
En sık görülen belirtiler: şifrelenmiş dosyalara rastgele karakterlerden oluşan ya da ".lockbit" uzantısının eklenmesi (sürüme göre değişir); klasörlerde "Restore-My-Files" veya rastgele adlı ".README.txt" fidye notları; masaüstü arka planının LockBit mesajıyla değiştirilmesi; gölge kopyaların silinmesi ve olay günlüklerinin temizlenmesi. Kesin tespit için fidye notu ve örnek dosyaların incelenmesi gerekir.
LockBit saldırılarında en sık görülen giriş yolları: güncellenmemiş VPN, uzaktan erişim ve uç cihaz zafiyetleri; i̇nternete açık RDP ve çalınmış ya da zayıf parolalar; oltalama e-postaları ve ilk erişim satıcılarından alınan hesaplar. Adli analizle sizin sisteminizde kullanılan giriş noktası tespit edilir ve kapatılır.
Ödeme yapılsa bile saldırganın verdiği anahtarın çalışacağı veya verilerin sızdırılmayacağı garanti değildir; ayrıca yaptırım riski doğabilir. Önce kurtarma seçeneklerini uzman bir ekiple değerlendirin. Secunnix saldırganlarla müzakere hizmeti vermez.
LockBit saldırısı mı yaşıyorsunuz? Hemen arayın
7/24 acil hattımızdan ulaşın; varyant tespiti, kurtarma değerlendirmesi ve adli analizi hemen başlatalım.
Müşteri Portföyümüz
