Phobos Fidye Yazılımı: Kurtarma ve Müdahale
Phobos, 2018'den bu yana özellikle küçük ve orta ölçekli işletmeleri, sağlık ve eğitim kurumlarını hedef alan bir fidye yazılımıdır. Çoğunlukla internete açık uzaktan masaüstü (RDP) bağlantıları üzerinden sisteme girer.
Ödeme yapmadan ve sistemleri kapatmadan önce bize ulaşın. İlk saatlerde atılan adımlar kurtarma şansını belirler.
- İlk görülme
- 2018
- Hedef
- KOBİ'ler, sağlık, eğitim ve yerel yönetimler
- Giriş yolu
- Ağırlıklı olarak internete açık RDP
- Taktik
- Gölge kopya ve yedek kataloglarının silinmesi
- 01İzolasyon
- 02Tespit
- 03Kurtarma
- 04Güvenli dönüş
Tanım
Phobos fidye yazılımı nedir?
Phobos, Dharma (CrySiS) ailesine benzerliğiyle bilinir ve farklı iştirakçiler tarafından farklı uzantılarla kullanılır. 8Base gibi gruplar da Phobos tabanlı fidye yazılımı kullanmıştır.
Şubat 2025'te uluslararası bir operasyonla Phobos ve 8Base bağlantılı şüpheliler gözaltına alındı. Phobos tabanlı varyantlar farklı iştirakçiler tarafından kullanılmaya devam ediyor.
Belirtiler
Phobos saldırısının belirtileri
Aşağıdaki işaretler saldırının bu aileye ait olabileceğini gösterir. Uzantılar ve not adları sürüme ve iştirakçiye göre değişebilir.
- Dosya adlarına kimlik numarası, e-posta adresi ve ".phobos", ".eking", ".eight" gibi uzantıların eklenmesi
- "info.hta" ve "info.txt" adlı fidye notları
- Gölge kopyaların ve yedekleme kataloglarının silinmesi
- Saldırı öncesinde RDP üzerinden yapılan başarılı oturum açma denemeleri
Bulaşma yolları
Phobos sistemlere nasıl girer?
Saldırganın kullandığı giriş noktası kapatılmadan yapılan kurtarma, saldırının tekrarlanmasına yol açar. Adli analizde ilk sorduğumuz soru budur.
- İnternete açık ve zayıf parolalı RDP bağlantıları
- Kaba kuvvet (brute force) ile ele geçirilen hesaplar
- Oltalama e-postalarıyla bulaşan zararlı ekler
Kurtarma
Phobos ile şifrelenen dosyalar kurtarılabilir mi?
Phobos saldırılarında gölge kopyalar çoğunlukla silindiğinden kurtarma; çevrim dışı yedeklere, sunucu dışındaki kopyalara ve kısmi veri kurtarmaya dayanır. Secunnix internette dolaşan şifre çözücü araçları önermez; bu araçlar verilere kalıcı zarar verebilir.
İnternetten indirilen şifre çözücü araçlar çoğu zaman işe yaramaz, bazıları da zararlı yazılım içerir ve dosyalara kalıcı zarar verebilir. Şifrelenmiş dosyaları olduğu gibi koruyun ve uzman ekibe ulaşın.
Acil durum rehberi
Phobos saldırısında ilk 60 dakika
Sistemleriniz şifrelendiyse panik yapmadan aşağıdaki adımları izleyin. Yanlış bir müdahale, kurtarılabilecek verileri kalıcı olarak kaybettirebilir.
Yapın
- Etkilenen cihazları ağdan ayırın: ağ kablosunu çekin, Wi-Fi ve VPN bağlantısını kesin.
- Fidye notunun, şifrelenmiş dosya uzantılarının ve ekran mesajlarının fotoğrafını çekin.
- Yedekleme sunucularını ve harici yedekleri ağdan ayırarak koruma altına alın.
- Yönetici ve servis hesaplarının parolalarını temiz bir cihazdan değiştirin.
- Olayın ne zaman fark edildiğini ve hangi sistemlerin etkilendiğini not edin.
- Uzman müdahale ekibini arayın; kişisel veri etkilendiyse 72 saatlik KVKK süresi başlamıştır.
Yapmayın
- Sistemleri kapatmayın veya yeniden başlatmayın; bellekteki deliller ve anahtarlar kaybolabilir.
- Şifrelenmiş dosyaları silmeyin, taşımayın veya adlarını değiştirmeyin.
- Saldırganla yazışmayın ve ödeme yapmayın; önce uzman değerlendirmesi alın.
- İnternette bulduğunuz bilinmeyen "şifre çözücü" araçları indirip çalıştırmayın.
- Yedekleri, olay kapsamı netleşmeden etkilenen sistemlere geri yüklemeyin.
- Antivirüs taramasının dosyaları geri getireceğini varsaymayın; temizlik şifreyi çözmez.
Fidye yazılımı aileleri
Diğer fidye yazılımı aileleri
Her ailenin bulaşma yolu, belirtileri ve kurtarma imkânları farklıdır. Maruz kaldığınız aileyi tanımak, doğru kurtarma planının ilk adımıdır.
LockBit fidye yazılımı
Dünyanın en yaygın fidye yazılımı operasyonlarından biriBelirtiler ve kurtarma →Akira fidye yazılımı
Windows ve VMware ESXi sistemlerini hedef alan fidye yazılımıBelirtiler ve kurtarma →Babuk fidye yazılımı
Kaynak kodu sızan ve pek çok türeve ilham veren fidye yazılımıBelirtiler ve kurtarma →
Tekrar yaşamamak için
Fidye yazılımına karşı önleyici hizmetler
Fidye yazılımı müdahale sürecimizin tamamı için ana sayfamızı inceleyebilir, Phobos gibi saldırılara karşı sistemlerinizi düzenli olarak test ettirebilirsiniz.
SSS
Phobos hakkında sık sorulan sorular
Phobos saldırılarında gölge kopyalar çoğunlukla silindiğinden kurtarma; çevrim dışı yedeklere, sunucu dışındaki kopyalara ve kısmi veri kurtarmaya dayanır. Secunnix internette dolaşan şifre çözücü araçları önermez; bu araçlar verilere kalıcı zarar verebilir.
En sık görülen belirtiler: dosya adlarına kimlik numarası, e-posta adresi ve ".phobos", ".eking", ".eight" gibi uzantıların eklenmesi; "info.hta" ve "info.txt" adlı fidye notları; gölge kopyaların ve yedekleme kataloglarının silinmesi; saldırı öncesinde RDP üzerinden yapılan başarılı oturum açma denemeleri. Kesin tespit için fidye notu ve örnek dosyaların incelenmesi gerekir.
Phobos saldırılarında en sık görülen giriş yolları: i̇nternete açık ve zayıf parolalı RDP bağlantıları; kaba kuvvet (brute force) ile ele geçirilen hesaplar; oltalama e-postalarıyla bulaşan zararlı ekler. Adli analizle sizin sisteminizde kullanılan giriş noktası tespit edilir ve kapatılır.
Ödeme yapılsa bile saldırganın verdiği anahtarın çalışacağı veya verilerin sızdırılmayacağı garanti değildir; ayrıca yaptırım riski doğabilir. Önce kurtarma seçeneklerini uzman bir ekiple değerlendirin. Secunnix saldırganlarla müzakere hizmeti vermez.
Phobos saldırısı mı yaşıyorsunuz? Hemen arayın
7/24 acil hattımızdan ulaşın; varyant tespiti, kurtarma değerlendirmesi ve adli analizi hemen başlatalım.
Müşteri Portföyümüz
