SafePay Fidye Yazılımı 600 Kurumu Vurdu: CISA AA26-293A Uyarısının Türkçe Özeti 10-22-2026, 08:18 AM
Selamlar,
CISA, FBI, ABD Gizli Servisi, Almanya Rheinland-Pfalz Eyalet Kriminal Dairesi ile İngiltere NCA ve NWROCU, 20 Ekim 2026'da SafePay fidye yazılımı grubu hakkında ortak bir #StopRansomware uyarısı (AA26-293A) yayınladı. Uyarıya göre SafePay Ağustos 2024'ten bu yana Kuzey ve Güney Amerika, Avrupa ve Avustralya'da en az 600 ayrı kurbanı etkiledi ve 2026'nın en aktif fidye gruplarından biri oldu. Bu yazıda uyarının savunma açısından kritik kısımlarını Türkçe özetliyorum.
Konuda anlatılacaklar
- İlk erişim: hangi açıklar ve hangi yöntemler?
- İçeride ne yapıyorlar: LOTL, yatay hareket, yedek imhası
- Şifreleme ve şantaj modeli
- Önceliklendirilmiş savunma listesi
İlk erişim
Uyarıya göre SafePay aktörleri ağlara üç ana yoldan giriyor: açığa çıkmış kimlik bilgileri, kaba kuvvet parola saldırıları ve VPN erişiminin istismarı. Dikkat çeken detay, saldırganların ilk erişimde Mullvad VPN sağlayıcısının IP adreslerini kullanması ve oltalanmış hesap profilleriyle uç cihaz açıklarını sömürmesi. Uyarıda adı geçen CVE'ler:
Kod:
CVE-2020-3259 Cisco ASA/FTD - hassas bilgi ifşası (CWE-200)
CVE-2023-20269 Cisco ASA/FTD - alternatif yol ile kimlik doğrulama atlatma (CWE-288)
CVE-2023-27532 Veeam B&R - kritik fonksiyonda kimlik doğrulama eksikliği (CWE-306)
CVE-2024-40711 Veeam B&R - güvenilmeyen verinin deserialization'ı (CWE-502)
CVE-2024-40766 SonicWall SonicOS - hatalı erişim kontrolü (CWE-284)İçeride ne yapıyorlar?
- Kalıcılık: Mevcut hesaplara yönetici yetkisi verme veya yeni hesap oluşturma, yerleşik yönetim araçlarıyla (living off the land).
- Yatay hareket: PsExec, WinRM, RDP ve uzaktan yönetim (RMM) yazılımları. Paylaşım keşfi için ShareFinder.ps1 ve SharpShares.exe.
- Savunmayı bozma: Güvenlik yazılımlarını devre dışı bırakma, bazı durumlarda kullanıcı parolalarını değiştirip meşru girişleri engelleme.
- Yetki yükseltme: UAC atlatma ve token taklidi.
- Veri toplama/sızdırma: 7-Zip, WinRAR, FileZilla, WinSCP, RClone; bazı vakalarda OneDrive ve Backblaze b2.exe. AnyDesk/TeamViewer kurulumu.
- Kurtarmayı engelleme: Volume Shadow Copy servisini durdurma ve yedeklerin bulunduğu NAS cihazlarını fabrika ayarlarına sıfırlama.
Şifreleme ve şantaj
SafePay dosyaları ChaCha20 akış şifresi ile RSA'yı birleştiren hibrit bir şemayla şifreliyor ve .SafePay uzantısı ekliyor. Fidye notu .onion bir sohbet portalına yönlendiriyor; baskı için kurbanlar telefonla da aranıyor. Ödeme yapılmazsa veriler sızıntı sitesinde yayınlanıyor. Şifreleme sonrası zararlının kendini dosya sisteminden silebildiği de not edilmiş. Ajanslar fidye ödemesinin dosyaların kurtarılmasını garanti etmediğini özellikle vurguluyor.
Önceliklendirilmiş savunma listesi
- Uç cihazlar: Yukarıdaki beş CVE'den etkilenen Cisco ASA/FTD, SonicWall ve Veeam sistemlerini bugün yamalayın veya değiştirin. KEV listesindeki internete açık sistemlere öncelik verin.
- MFA: VPN, webmail ve kritik sistemlere erişen tüm hesaplarda zorunlu çok faktörlü kimlik doğrulama.
- Parola politikası: Uyarı NIST rehberine atıfla en az 15 karakterlik uzun parolalar, başarısız denemelerde kilitleme ve gereksiz sık parola değişikliği zorunluluğundan kaçınmayı öneriyor.
- Yedekler: Şifrelenmiş, değiştirilemez (immutable) ve çevrim dışı kopya; geri yükleme testleri. NAS yönetim arayüzleri kullanıcı ağından sıfırlanamamalı.
- Yönetim araçları: PsExec, WinRM, RMM ve uzak masaüstü araçlarını sadece ihtiyacı olanlara; tam zamanında (JIT) yönetici erişimi.
- Segmentasyon ve izleme: Sunucu-istemci ayrımı, EDR ile yatay bağlantıların izlenmesi, yeni/tanınmayan hesapların düzenli gözden geçirilmesi.
- IOC'ler: Uyarıdaki STIX dosyalarını SIEM/EDR'a yükleyip Kasım 2024 - Ağustos 2026 aralığına geriye dönük arama yapın. Ajanslar IP'lerin bulut ortamlarında yeniden atanabileceğini hatırlatıyor; engellemeden önce doğrulayın.
Mavi takım için hızlı av fikirleri
Kod:
# Windows (kendi ortamınız) - yeni yerel yönetici ve hizmet kurulumları
# Event ID 4720 (hesap oluşturma), 4732 (gruba ekleme), 7045 (yeni servis)
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4720,4732} -MaxEvents 50
Get-WinEvent -FilterHashtable @{LogName='System';Id=7045} -MaxEvents 50
# VSS manipülasyonu izleri
Get-WinEvent -FilterHashtable @{LogName='System';ProviderName='Service Control Manager'} -MaxEvents 200 |
Where-Object { $_.Message -match 'Volume Shadow Copy' }Kurumunuzda VPN girişlerinde ticari VPN IP aralıklarını izliyor musunuz? Pratik deneyimlerinizi paylaşın.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar