Cryptolocker ve Ransomware (fidye) virüsleri en tehlikeli zararlı yazılımlardan ve maalesef ki farklı varyasyonları ile karşımıza çıkmaya devam ediyor. İlk zamanlarda çözüm bulunamayan virüslere karşı geliştirilen önlem ve çözümler söz konusu ancak bu çözümler yeni virüs varyantları nedeniyle kısa süre içerisinde çözümler etkinliğini yitirebiliyor. 2014 yılı sonlarından itibaren ülkemizde yayılmaya başlayan bu virüs türlerinin dünya genelinde otuzdan fazla ransomware çeşidi bulunmaktadır. Bunların ülkemizde 11 çeşidi etkili olmuştur. Virüsü yayan ağın şimdiye kadar 1,5 milyon doları aşan gelir elde ettiği tahmin ediliyor. Böylesine büyük bir pastanın varlığını bilmek sorunu anlamamıza yardımcı olacaktır.
Bu tip virüsler, bilgisayar kullanıcılarının dikkatsizliği ve zaaflarını kullanarak etkinlik sağlamak üzere tasarlanmışlardır. Tabi ki kullanıcının yetersizliği de virüsün etkinliğini sağlayan en önemli faktörler arasında. Bu tip virüslerden korunmanın en etkili yolu, tüm bilgisayar kullanıcılarında farkındalık yaratarak, konu hakkında bilgilendirmek. İşimizin doğası gereği Ofislerimizdeki bilgisayarlarda depoladığımız verilerimiz en önemli sermayemiz doğal olarak teknoloji ilerledikçe korunmak hayati derecede önemli olmaktadır.
Cryptolocker zararlı yazılımları etkinleştiği bilgisayarda, kullanıcı yetkisinin erişimine açık olan tüm sabit diskler, flash diskler, usb diskler, bulut tabanlı depolama alanları ve ağ sürücülerindeki tüm verileri şifreler. Özet olarak ofisinizde virüsün etkinleştiği bir Terminal makinaya bulaşan virüs paylaşım yetkisi bulunan tüm bilgisayarlardaki verileri de etkilemektedir.
Önceleri Türk Telekom ve TTNET e-faturaları, PTT kargo gibi gönderilen sahte e- postalar, zamanla yerini devlet kurumları adıyla gönderilmiş sahte e-postalara ve son zamanlarda ise Turkcell e-fatura sahte e-postaları şeklinde daha profesyonelce hazırlanmış ve daha hedefli ataklarla karşımıza çıkıyor. Üstelik tek risk e-posta ekleri veya linkler değil, websiteleri, RDP (uzak masa üstü bağlantısı) portlarından ve güvelik açıklarından bulaşabiliyor.
Cryptolocker 19.01.2016 tarihinden itibaren sahte Turkcell e-postası olarak gönderilmektedir.
Virüs şifrelediği dosyaların uzantısını “.encrypted” olarak değiştirmektedir.
Aşağıda sahte Turkcell e-posta örneği verilmiştir. Bu tip e-postalarda ancak ekler açıldığında veya e-posta içindeki linklere giriş yapıldığında virüs bilgisayarınıza bulaşır. Bu tip sahte e-postaları belirlemek için şu hususlara dikkat ediniz;
Unutmayınız ki “.zip, .rar, .7z, .pdf” gibi uzantılı dosyalara kolaylıkla zararlı kodlar yerleştirilerek virüs yazılımı haline getirilebilir.
Asla şunları yapmayınız:
Örnek bir sahte e-posta
Virüs bilgisayarınızda ya da mobil cihazlarınızda ulaşabildiği tüm dosyalarınızı şifreler ve bu şifrenin çözülmesi için sizden para talep edilir. Virüsün son versiyonu kurbanlarını ödeme için tor ağı üzerindeki ödeme noktasına yönlendiriyor. İstenen fidye miktarı ise; 500$, 500eur veya 0,5 bitcoin gibi tutarlar olabiliyor.
Bu tür sorunlarda kesinlikle fidye ödemeyiniz. Yaşanan deneyimlerden ödeme yapanlardan büyük bir kısmına ödeme ulaşmadı bahanesiyle çözüm sunulmuyor. Üstelik fidye ödemesi yapmak etik olmadığı gibi illegal bir durum ve hepsinden önemlisi yeni kurbanlar için finansör olmanız anlamına da geliyor.
Lütfen bu yazımızı ofislerinizdeki tüm çalışanlarınızın da okumasını sağlayınız.
Saldırıya uğramış bilgisayarın masaüstüne bırakılmış uyarı;
Cryptolocker virüsü bilgisayarınızın işletim sistemine ve çalışma prensibine zarar vermez. (Yeni tip virüsün bilgisayarı çalışamaz hale getirdiği iddia edilse de, şimdilik böyle bir vaka ile karşılaşılmamıştır.) Virüs; aslında sizin de farklı araçlarla yapabileceğiniz bir şifreleme uygular ve dosyalarınızın uzantısını değiştirerek “.encrypted, ccc, vvv, xxx, ttt, micro, LOL” vb. uzantılara çevirebilir, ya da dosya ismini tamamen değiştirebilir. Çeşitli açık kaynak şifreleme kütüphaneleriyle ve çok güçlü olan bu şifreleme, çeşitli yol ve yöntemlerle kırılmaya çalışılsa dahi, yıllar alacak kadar karışık ve uzun bir şifrelemedir. Ancak bazı tersine mühendislik çalışmaları ile şifrenin elde edilebilmesi mümkün olabilmektedir.
Cryptolocker virüsleri bilgisayardan kolaylıkla temizlenebilir, asıl sorun bilgisayardan temizlemek değil, şifreli dosyaları açabilmektir. Virüsü temizleseniz ve hatta işletim sisteminizi yeniden yükleseniz dahi verileriniz şifreli olarak kalmaya devam edecektir. Bu sebeple, önceliğiniz virüsü temizlemek değil, verileri kurtarmak olmalıdır.
Ülkemiz Cryptolocker saldırılarında dünyada 4. Sırada yer almaktadır. Bu tip virüslerin bulaşma yol ve yöntemleri genel olarak şöyledir;
UNUTMAYINIZ; virüslerden, sistem çökmelerinden, donanım arızalarından korunmanın en önemli ve en kolay yolu, DÜZENLİ VE SÜREKLİ YEDEK ALMAKTIR.
Zemana Antimalware: Bilgisayarınızı taratarak zararlıdan temizleyebilirsiniz. Yerli bir üretici tarafından geliştirilen bu yazılımı isterseniz satın alarak cihazlarınızı daha sonra gelebilecek malware saldırılarına karşı koruyabilirsiniz.
Zemana Antimalware indirmek için: https://www.zemana.com/AntiMalware
Alternatif olabilecek bir başka yazılım;
Malwarebytes uygulaması ile bilgisayarınızı zararlıdan temizleyebilirsiniz. Malwarebytes indirmek için: http://downloads.malwarebytes.org/file/mbam/
Daha sonra bilgisayarınızda Combofix çalıştırabilirsiniz:
Combofix için (opsiyonel): http://www.bleepingcomputer.com/download/combofix/
Ve son olarak Antivirüs yazılımınız ile tam sistem taraması yaptırınız.
Hatırlatmak isteriz, zararlı yazılımları (virüs) temizlemek tek başına yeterli değildir, esas önemli olan şifrelenmiş verilerin şifrelerinin çözülmesidir.
Virüs bulaştı ve yukarıda örneğini verdiğimiz dosya şifrelemesiyle karşılaştığınızda öncelikle asla panik yapmayınız. Ülkemizde şu ana kadar görülen virüslerin oluşturduğu hasarların yaklaşık %80 ‘i çözüme kavuşturulmuştur. Maruz kaldığınız virüs türüne göre çözüm maliyeti ve süresi değişmektedir. Maruz kaldığınız virüs versiyonu ve verilerinizin durumu değerlendirilerek çözüm geliştirilmesi gerekmektedir. Örneğin, verilerinizin istikrarlı ve güncel yedeği varsa ek maliyete katlanmadan çözüme kavuşabilirsiniz. Bunlar yoksa sisteminizin durumuna ve maruz kaldığınız hasara göre çözüm önerileri için Odamız Bilgi Teknolojileri İzleme Komisyonu üyelerinden destek alabilirsiniz. Oda üyelerimiz için ülkemizdeki en yetkin çözüm ortaklarıyla görüşmeler yapılmış, uygun ücret karşılığı destek sağlanması amacıyla ön anlaşma sağlanmıştır.
Verileriniz şifrelendiğinde;
Yukarıda verilen kullanıcı tedbirlerine ek olarak;
Yukarıdaki tedbirler önemli ölçüde güvenlik sağlayacaktır ancak bunlara ek olarak İleri düzey kullanıcılar İçin veya Sistem Uzamanı yardımıyla alınabilecek önlemler şunlardır;