MODERN KORSANLIK CRYPTOLOGY VİRÜSÜ
İşletme sahibi veya yalnızca çevrimiçi ortamda korunmak isteyen bir kişi olmanızdan bağımsız olarak, muhtemel korsanlar ve dolandırıcılar hakkında bilgi sahibi olmak ve yükselmekte olan Cryptology virüsü dalgasına karşı koruma sağlamak çok önemlidir. Bu sebepten dolayı Cryptology virüsü denen modern korsanlık organizasyonunu yürütenlerin ne gibi yöntemlerle ve hangi iş akışını kullanarak yaptıklarını bilmemiz gerekiyor. Özellikle bilişimci & yazılımcılar olarak konuları bilmemiz ve çözümlerini müşterilerimizle, dostlarımızla paylaşmamız gerektiğini düşünüyorum.
Organize olarak özel uğraşılarla içeri sokulan trojan tipi uygulamalar ile genelde RDP(uzak masaüstü portları) ile iç ağa erişilerek şirket yada kurumun verilerini şifreleyek işlemleri başlatıyorlar.
Korsan, sunucu yada masaüstüne bir not bırakır. Benimle şu mail adresinden irtibata geçin yazılı bir txt dosyası bırakarak kurbanı iş yapamaz hale getirir.
Danışmanlık hizmeti verdiğimiz firmalardan bu sabotajla ilgili hikayelerini dinlediğimizde, yaklaşık 450-500 bin TL gibi bir ödeme talep edilenlere de denk geldik. Ödeme bitcoin ile (takip edilemediği için) talep edilmiş. Korsana bu rakam çok dediğinde bakın korsan çok ilginç bir cevap vermiş.
“Böyle bir ciroya az bile istedik”
Bu virüsün görüldüğü ilk senelerdeki gibi rastgele erişim yapıp saldırılmıyor. Kurbanlar seçiliyor ve organize şekilde sabote ediliyorlar. Bu o kadar çok yapılıyor ki artık sektörel olarak da bu şifreleri çözen ulusal ve uluslararası şirketler oluştu.
Cryptology virüsü artık virüs olmaktan çıkmış uluslararası korsanlar tarafından yönetilen gelir kaynağı yüksek bir gelir kapısı olarak kullanılmaya başlanmış. Müşteri görüşmeleri Rusya üzerinden yapılıyor. Ama konuşan kişi Türk(Burda bu işi y.dışından yapıyor izlenimi verdiriliyor olabilir).
Özellikle reel sektörde ilk bin’e giren firmaları hedef aldıklarını duydum. İçeri girdikten sonra tüm veritabanlarını, dokumanları, muhasebe kayıtlarına (borc alacaklar) erişip bu dosyaları şifreliyorlar. Firma öyle bir hale geliyor ki, iş emirleri olmadığı için üretim bile yapamıyorlar.
Saldırılardan dolayı firewall firmaları, güvenlik firmalarına talep artmış durumda. Bu hikayeleri sektörede çalışan arkadaşlarımızdan da dinliyoruz. Bir arkadaşım , bir beton firmasının 5.kez sabote edildiğini söylenmişti…
Firewalllarınız da olsa 3. Parti şirketler ile çalışıyorsanız, dış hizmet aldığınız firmanın personelinin korsanlardan biri olmadığını bilemezsiniz. Örneğin e-fatura entegrastörü bir firma e-imzanızı kullanarak sisteme tanıtım yapmak için RDP portu istediğinde, karşıdaki insanın korsan olun olmadığı aklınızın ucundan bile geçmeyecektir. Yada o anda, sürekli portlarınızı tarayan başka bir yazılım tarafından açık bulundu sinyalini korsanalara iletecek bir trojan olup olmadığını bilemezsiniz.
Şifrenenler ne yapmalı, bunları sıralarsak;
Şifreleri çözmeye yönelik çalışan bazı firmalar var. Panik yapmadan örnek bir dosyayı onlara ulaştırmanız ve şifrelemeyi çözdürme yoluna gitmeniz gerekiyor. Bazı dosyaların başına ve sonuna kripto kodlar yerleştirilmiş oluyor. 16 bit SHA ile şifreli keylerin çözülmesi için ciddi bir işlemci gücüne ve zamana ihtiyaç var. Bu işler için kurulmuş büyük datacenterlarda bu işin çözüldüğü söylenmektedir.
Sonuç;
Bu tip bir cluster server yapısı emniyet teşkilatımızda (yada bir firmada) olsa, en azından bu işin çözümünün bir adresi olur. Organize olarak yürütülen bu korsanlara başka şekilde dur demek pek mümkün görünmüyor.
Kobiler Ne yapmalı:
Dış bağlantılar mutlaka VPN (openvpn) ile yapılmalı. Öyle pahalı firewall ve sunucu yatırımlara ihtiyaç yok. 2-3 gigabit ethernetli bir sunucu yeterli olacaktır.
Modemi bridge mode ile serverın bir portuna bağlanmalı , Nethserver gibi açık kaynak kodlu bir gateway yazılımı ile inanılmaz şeyler yapabilirsiniz.
Arkasından OpenVPN gibi bir çok ürünü 1 gb ramli 1 ghz lik bir sanal sunucu üzerinden kullanabilir, 2048 bitlik bir şifrelemeyle tüm ağınızı korumaya alabilirsiniz.
Kesinlikle OpenVPN destekli modemleri önermiyorum. Donanımsal olarak open vpn arada kilitleniyor.
IP santral kullananlar (SIP Helper) denen tuhaf firewall takılmalarını da önlemiş olacaksınız. 3cx Ip santral kullananlara mutlaka öneririm.