Ransomware saldırısı: İlk dakikalarda YAPILMAMASI gerekenler — her şeyi kötüleştiren hatalar

Neslihan S***2 ay önce·46 mesaj·7,2 B görüntülenme#siber güvenlik #ransomware #fidye yazılımı #olay müdahalesi

Görev: İcra kurulu üyesi
Sektör: Kozmetik
Yapı: orta ölçekli işletme
Katılım: Eyl 2025
Mesaj: 325

Doki · Sunucu bakım anlaşması · 2023

2 ay önce#1

Bologna yakınlarında 30 çalışanı olan bi otomotiv yan sanayi işletmesiyiz. Bu sabah teknik ofisteki bi bilgisayarda ve yerel dosya sunucumuzda dosyaların uzantılarının değiştiğini ve masaüstünde bi fidye metni belirdiğini fark ettik. Şans eseri üretim hattı henüz etkilenmedi ama muhasebe ve sipariş arşivimiz tamamen kilitlenmiş durumda.

Ofiste büyük bi panik havası hakim. Dışarıdan destek aldığımız bilgi işlem personeli yolda ancak ofisteki bazı çalışanlar makineleri hemen yeniden başlatmayı, genel bi antivirüs taraması açmayı ve hatta fidye notundaki iletişim adresine hemen yazmayı öneriyor. Ben ise yanlış bi hamle yapıp kurtarılabilir verileri tamamen kaybetmekten endişe ediyorum.

Böyle bi kriz anında, ilk 15-30 dakika içinde kesinlikle YAPILMAMASI gereken kritik hatalar nelerdir? Neyi yaparsak durumu geri dönülmez şekilde kötüleştiririz?

Nuri K***Katılımcı

Görev: Satın alma sorumlusu
Sektör: Plastik
Yapı: butik ajans
Katılım: Eyl 2024
Mesaj: 335

2 ay önceEn çok yardımcı olan#2

Kısa cevap: Ransomware saldırısı fark edildiği ilk dakikalarda cihazların gücünü fişten çekerek kapatmayın, makineleri yeniden başlatmayın ve kesinlikle saldırganlarla hemen temasa geçip fidye ödemeyi düşünmeyin. Bu refleksler bellekteki (RAM) adli bilişim kanıtlarını ve şifre çözme anahtarlarını yok eder, zararlının kendini daha derin şifrelemesine yol açabilir.

İlk olarak cihazları kapatmak veya yeniden başlatmak yerine fiziksel ağ kablosunu çekin ve Wi-Fi bağlantısını kesin. Bilgisayarı kapatırsanız veya yeniden başlatırsanız geçici bellekteki uçucu veriler kaybolur. Bazı durumlarda şifre çözme anahtarları saldırganın sunucusuna iletilirken RAM üzerinde kalabilir ve adli analiz uzmanları bu veriyi kurtarabilir. Makineyi kapatmak yerine sadece ağdan izole etmek zararlının diğer sunuculara yayılmasını durdurur.

İkinci olarak aceleyle virüs temizleme veya genel antivirüs taraması çalıştırmayın. Antivirüs yazılımları saldırganın bıraktığı şifrelenmiş kütükleri, komut dosyalarını veya fidye notlarını karantinaya alıp silebilir; bu durum kurtarma araçlarının ihtiyaç duyacağı göstergeleri yok eder.

Üçüncü olarak yedekleme disklerini hemen etkilenen sunucuya bağlamayın. Saldırganın zararlı yazılımı arka planda hâlâ çalışıyor olabilir ve taktığınız temiz harici diski veya yedek ünitesini saniyeler içinde şifreleyebilir.

Son olarak panikle fidyecilere hemen yazmayın ve nottaki adrese ödeme taahhüdünde bulunmayın. İtalya'da veri koruma otoritesine (Garante Privacy) GDPR kapsamında yetmiş iki saat içinde bildirim zorunluluğunuz olabilir; önce hukuki ve teknik kapsamı belirleyin.

DefneKatılımcı

Görev: SOC analisti
Yapı: holding bünyesinde bir şirket
Katılım: Şub 2024
Mesaj: 146

2 ay önce#3

Kesinlikle sanal sunucu snapshot'larını silmeyin veya üzerlerine yazmayın. Mümkünse RAM dökümünü (memory dump) alabilecek bir uzman gelene kadar işletim sisteminde hiçbir dosya taşıma işlemi yapmayın. Dosya özniteliklerinin değişmesi zararlının türünü tespit etmeyi zorlaştırır.

Taner V***KatılımcıTopluluk üyesi

Katılım: Oca 2023
Mesaj: 307

2 ay önce#4

Hemen şu an yapılacak tek şey: Etkilenen ve etkilenmeyen tüm bilgisayarların arkasındaki ağ kablolarını elle çekin, ofis modeminin ve kablosuz erişim noktalarının fişini çıkarın... Ağ iletişimini sıfıra indirin ama cihazları açık bırakın.

Fatih O***Katılımcı

Görev: Proje yöneticisi
Sektör: İnşaat
Yapı: tek kişilik işletme
Katılım: Kas 2023
Mesaj: 1

2 ay önce#5

Geçen yıl benzer bi olayda panikle sunucuyu kapatıp açan bi müşterimiz geçici bellekte kalan şifreleme anahtarını kaybetti. Kurtarma laboratuvarı cihaz açık kalsaydı yüzde yetmiş ihtimalle anahtarı bellekten çekebileceğini raporladı.

Hakan G***Katılımcı

Görev: Satın alma sorumlusu
Sektör: Su ürünleri
Yapı: 300 kişilik kurum
Katılım: Eki 2024
Mesaj: 185

2 ay önce#6

en büyük hata temiz sandığınız harici diksi hemen sunucuya takıp yedeği kontrol etmek olur zararlı arka planda açıksa yedeği de anında şifreler elinizde sıfır kalır

Tuba E***Uzman

Görev: Veri koruma danışmanı
Katılım: Eki 2023
Mesaj: 158

Doki · Yedekleme kurulumu · 2024

2 ay önce#7

Avrupa Birliği Genel Veri Koruma Tüzüğü uyarınca kişisel veri sızıntısı riski varsa, durumu öğrendikten sonraki 72 saat içinde yetkili veri koruma kurumuna bildirim yapılması yasal bir zorunluluktur. İletişim kayıtlarını ve sistem loglarını titizlikle saklayınız.

Tülay Y***KatılımcıTopluluk üyesi

Katılım: Oca 2025
Mesaj: 412

2 ay önce#8

Fidye ödemeyi düşünen çalışanları dinlemeyin. Parayı ödeseniz bile anahtarı vereceklerinin ya da sistemin tekrar çalışacağının hiç bir garantisi yok. Ayrıca fidyecilerin listesinde kolay hedef olarak kalırsınız.

Osman D***Uzman

Görev: Tedarik zinciri yöneticisi
Sektör: İnşaat
Yapı: 120 kişilik şirket
Katılım: Mar 2025
Mesaj: 43

2 ay önce#9

İlk yarım saatte şu üç şeyi asla yapmayın: 1) Sunucuları yeniden başlatmayın veya fişten kapatmayın, 2) Temiz yedek ünitelerini ağa veya makinelere bağlamayın, 3) Fidye notundaki e-posta ya da bağlantı üzerinden saldırganla yazışma başlatmayın.

Ferhat T***Katılımcı

Görev: İnsan kaynakları uzmanı
Sektör: Hayvancılık
Yapı: 20 kişilik firma
Katılım: Ağu 2022
Mesaj: 286

2 ay önce#10

Geçmiş olsun, son derece stresli bi durum ancak panik yapmadan hareket ederseniz çözülme ihtimali var... Uzmanınız geldiğinde sadece ağdan koparılmış cihazları incelemesine izin verin sakin kalmak kurtarmanın ilk kuralıdır.