Fidye Yazılımı Bulaşan Bilgisayarda İlk Ne Yapılmalı? Adım Adım Müdahale ve Kurtarma Rehberi

Fidye yazılımı (ransomware), bilgisayardaki dosyaları şifreleyerek veya sisteme erişimi kısıtlayarak kullanıcılardan ödeme talep eden zararlı yazılım türüdür. Bu saldırılar sonucunda fotoğraflar, videolar, belgeler ve diğer önemli dosyalar açılamaz hâle gelebilir.

Bazı fidye yazılımı saldırılarında dosyaların şifrelenmesinin yanında kişisel veya kurumsal bilgilerin çalınması da söz konusu olabilir.

Bilgisayarda fidye yazılımı bulunduğundan şüpheleniliyorsa ilk yapılması gereken, saldırının etkisini sınırlandırmak ve mevcut verilerin kurtarılma ihtimalini korumaktır.

Yanlış müdahaleler dosyaların kurtarılmasını zorlaştırabileceği için işlemler belirli bir sırayla gerçekleştirilmelidir.

Fidye Yazılımı Bulaştığında İlk Yapılması Gereken Nedir?

İlk adım, etkilenen bilgisayarı ağdan izole etmektir.

Bilgisayarın internet ve yerel ağ bağlantılarının kesilmesi, saldırının başka sistemlere yayılma veya uzak sunucularla iletişim kurma riskini azaltabilir.

Bunun için:

1. Ethernet kablosunu çıkarın.

2. Wi-Fi bağlantısını kapatın.

3. Bluetooth bağlantısını gerekli değilse devre dışı bırakın.

4. Bilgisayarı diğer cihazlardan ve ağ depolama sistemlerinden ayırın.

5. Paylaşılan klasörlere erişimi durdurun.

Ancak ağ bağlantısının kesilmesi, bilgisayarda çalışmakta olan fidye yazılımının dosyaları şifrelemeye devam etmesini mutlaka durdurmaz.

Şifreleme işleminin sürdüğü açıkça görülüyorsa ve bilgisayarı hızlıca izole etmek mümkün değilse, daha fazla veri kaybını sınırlamak amacıyla cihazın kapatılması gerekebilir. Bununla birlikte kapatma işlemi olay incelemesinde kullanılabilecek geçici verilerin kaybolmasına neden olabilir.

Özellikle kurumsal sistemlerde mümkün olduğunca bilgi güvenliği ekibinin yönlendirmesi izlenmelidir.

1. Bilgisayarı İnternet ve Yerel Ağdan Ayırın

Fidye yazılımları bazı durumlarda ağ üzerindeki başka cihazlara, paylaşılan klasörlere veya sunuculara erişmeye çalışabilir.

Bu nedenle etkilenen bilgisayarın diğer sistemlerle bağlantısının kesilmesi önemlidir.

Windows 11'de Wi-Fi Nasıl Kapatılır?

1. Görev çubuğundaki ağ simgesine tıklayın.

2. Hızlı ayarlar panelini açın.

3. Wi-Fi bağlantısını devre dışı bırakın.

Alternatif olarak kablosuz bağlantı, Windows ağ ayarlarından kapatılabilir.

Ethernet bağlantısı kullanılıyorsa ağ kablosu fiziksel olarak çıkarılabilir.

Bilgisayar bir iş ağına bağlıysa saldırıdan etkilenmiş olabilecek diğer sistemlerin de incelenmesi gerekebilir.

2. Harici Diskleri ve Yedekleme Cihazlarını Koruyun

Fidye yazılımları yalnızca bilgisayarın dahili diskini hedef almayabilir.

Erişilebilir durumdaki harici HDD, SSD, USB bellek ve ağ depolama cihazlarındaki dosyalar da etkilenebilir.

Bu nedenle:

• Yeni bir harici disk bağlamayın.

• Temiz yedekleme disklerini etkilenen bilgisayara takmayın.

• Bağlı harici depolama cihazlarını değerlendirin.

• Ağ üzerinden erişilen yedeklerin korunmasını sağlayın.

• Yedekleme sunucularında şüpheli etkinlik olup olmadığını kontrol ettirin.

Bağlı bir harici diskin saldırıdan etkilenmiş olabileceği unutulmamalıdır.

Önemli: Şüpheli harici diski başka bir bilgisayara doğrudan bağlayarak dosyaları açmaya çalışmayın. İnceleme gerekiyorsa güvenli ve izole bir ortam kullanılmalıdır.

3. Fidye Mesajını ve Hata Belirtilerini Kaydedin

Fidye yazılımı saldırılarında ekranda ödeme talep eden bir mesaj görüntülenebilir.

Bazı saldırılarda masaüstü arka planı değişebilir veya klasörlerin içine fidye notları bırakılabilir.

Bu bilgiler saldırının türünü belirlemeye yardımcı olabilir.

Kaydedilebilecek bilgiler:

• Fidye mesajının ekran görüntüsü

• Şifrelenen dosyaların uzantıları

• Şüpheli dosya isimleri

• Saldırının fark edildiği saat

• Güvenlik yazılımının verdiği uyarılar

• Bilgisayarda son gerçekleştirilen işlemler

• Açılmış olabilecek şüpheli e-posta ekleri

Bu bilgiler olayın incelenmesi sırasında kullanılabilir.

Fidye mesajında yer alan bağlantılara tıklanmamalı ve saldırganların gönderdiği programlar çalıştırılmamalıdır.

4. Şifrelenen Dosyaları Silmeyin veya Değiştirmeyin

Fidye yazılımı bulaşan bilgisayarlarda dosyaların uzantıları değişebilir.

Örneğin normalde:

rapor.docx

olarak görünen bir dosya, saldırı sonrasında farklı bir uzantıya sahip olabilir.

Ancak dosyanın uzantısını eski hâline getirmek, şifrelemeyi ortadan kaldırmaz.

Şifrelenen dosyalar üzerinde rastgele değişiklik yapılması kurtarma çalışmalarını zorlaştırabilir.

Bu nedenle:

1. Şifrelenen dosyaları hemen silmeyin.

2. Dosya uzantılarını rastgele değiştirmeyin.

3. Bilinmeyen şifre çözme programlarını çalıştırmayın.

4. Önemli dosyaların mevcut durumunu koruyun.

5. Kurtarma işleminden önce mümkünse uzman desteği alın.

Bazı durumlarda olay incelemesi için etkilenen depolama cihazının adli kopyasının alınması gerekebilir.

5. Fidye Yazılımının Türü Nasıl Belirlenir?

Fidye yazılımları farklı ailelere ve sürümlere ayrılır.

Kullanılan şifreleme yöntemi ve saldırı biçimi, dosyaların kurtarılma ihtimalini etkileyebilir.

Saldırının türünü belirlemek için şu bilgiler incelenebilir:

• Fidye notunun içeriği

• Dosya uzantıları

• Güvenlik yazılımının tespit adı

• Şüpheli işlemler

• Oluşturulan dosyalar

• Sistem günlükleri

Ancak yalnızca dosya uzantısına bakarak kesin teşhis koymak her zaman mümkün değildir.

Farklı fidye yazılımı türleri aynı veya benzer uzantıları kullanabilir.

6. Fidye Yazılımı Bulaşan Bilgisayarda Antivirüs Taraması Yapılmalı mı?

Güvenlik taraması, zararlı yazılımın tespit edilmesine yardımcı olabilir.

Ancak saldırı sonrasında hemen rastgele temizleme işlemleri yapmak, olay incelemesinde kullanılabilecek bazı bilgilerin kaybolmasına neden olabilir.

Özellikle önemli verilerin bulunduğu sistemlerde önce olayın kapsamı değerlendirilmeli ve gerekli kanıtlar korunmalıdır.

Bireysel kullanıcılar için güvenilir güvenlik araçlarıyla tarama yapılması uygun olabilir.

Windows 11'de güvenlik taraması için:

1. Windows Güvenliği uygulamasını açın.

2. Virüs ve tehdit koruması bölümüne girin.

3. Tarama seçenekleri bölümünü açın.

4. Uygun tarama türünü seçin.

Ancak zararlı yazılımın kaldırılması, şifrelenmiş dosyaların otomatik olarak açılacağı anlamına gelmez.

7. Fidye Ödemesi Yapılmalı mı?

Fidye yazılımı saldırılarında saldırganlar genellikle şifre çözme anahtarı veya dosyalara yeniden erişim sağlama karşılığında ödeme talep eder.

Ancak ödeme yapılması dosyaların kurtarılmasını garanti etmez.

Ödeme sonrasında:

• Şifre çözme anahtarı gönderilmeyebilir.

• Gönderilen araç düzgün çalışmayabilir.

• Ek ödeme talep edilebilir.

• Çalınan veriler yine de yayımlanabilir.

• Saldırganlar yeniden iletişime geçebilir.

Ayrıca bazı durumlarda ödeme yapılması hukuki veya yaptırımlarla ilgili riskler doğurabilir.

Bu nedenle fidye ödemek güvenilir bir veri kurtarma yöntemi olarak değerlendirilmemelidir.

8. Fidye Yazılımı Şifrelediği Dosyalar Kurtarılabilir mi?

Dosyaların kurtarılabilmesi saldırının türüne ve mevcut yedeklere bağlıdır.

Kullanılabilecek yöntemler arasında:

• Temiz yedeklerden geri yükleme

• Uygun ve güvenilir şifre çözme araçları

• Bulut sürüm geçmişi

• Önceden oluşturulmuş bağımsız dosya kopyaları

• Profesyonel veri kurtarma ve olay müdahalesi

bulunabilir.

Ancak bütün fidye yazılımlarının şifrelediği dosyalar çözülemez.

Modern fidye yazılımlarında kullanılan güçlü şifreleme yöntemleri nedeniyle anahtar olmadan dosyaların kurtarılması mümkün olmayabilir.

9. Temiz Yedeklerden Dosyalar Nasıl Geri Yüklenir?

Fidye yazılımı saldırısı sonrasında veri kurtarmanın en güvenilir yollarından biri, saldırıdan etkilenmemiş yedekleri kullanmaktır.

Ancak yedeklerin doğrudan enfekte bilgisayara bağlanması güvenli olmayabilir.

Genel kurtarma süreci:

1. Saldırının kontrol altına alındığını doğrulayın.

2. Temiz yedeklerin bulunduğunu belirleyin.

3. Yedeklerin saldırıdan etkilenmediğini kontrol edin.

4. Bilgisayarı güvenli bir duruma getirin.

5. Gerekirse işletim sistemini temiz kurulumla yeniden yükleyin.

6. Güvenlik güncellemelerini uygulayın.

7. Yedekleri kontrollü şekilde geri yükleyin.

8. Geri yüklenen dosyaları doğrulayın.

Yedekleme sırasında zararlı dosyaların da saklanmış olabileceği unutulmamalıdır.

Bu nedenle yedeklerin güvenliği ve bütünlüğü kontrol edilmelidir.

10. OneDrive ve Google Drive Üzerinden Dosyalar Kurtarılabilir mi?

Bulut depolama hizmetleri bazı durumlarda dosyaların önceki sürümlerini saklayabilir.

Örneğin OneDrive veya Google Drive üzerinde bulunan sürüm geçmişi, şifrelenmeden önceki dosya sürümlerine dönülmesine yardımcı olabilir.

Ancak:

• Sürüm geçmişinin etkin olması

• Önceki sürümlerin hâlâ saklanması

• Hesabın erişilebilir olması

• Dosyaların kurtarma kapsamına girmesi

gibi koşullar önemlidir.

Her dosyanın kurtarılabileceği garanti değildir.

Ayrıca kurtarma işlemi yapılmadan önce saldırının devam etmediğinden emin olunmalıdır.

11. Windows 11'de Sistem Geri Yükleme Fidye Yazılımını Temizler mi?

Windows Sistem Geri Yükleme özelliği, belirli sistem dosyalarını ve ayarlarını önceki bir duruma döndürmek için kullanılabilir.

Ancak bu özellik kişisel dosyaların eksiksiz yedeği değildir.

Sistem Geri Yükleme:

• Şifrelenmiş dosyaların tamamını kurtarmayabilir.

• Bütün zararlı yazılım bileşenlerini kaldırmayabilir.

• Saldırı sırasında silinen geri yükleme noktalarını geri getiremez.

Bu nedenle Sistem Geri Yükleme, fidye yazılımı saldırılarında güvenilir birincil kurtarma yöntemi olarak görülmemelidir.

12. Bilgisayara Format Atmak Fidye Yazılımını Temizler mi?

Güvenilir bir kurulum ortamıyla gerçekleştirilen temiz Windows kurulumu, birçok fidye yazılımı bulaşmasını ortadan kaldırabilir.

Ancak formatlama işlemi şifrelenen dosyaların kurtarılmasını sağlamaz.

Ayrıca saldırının kapsamına bağlı olarak başka cihazlar, kullanıcı hesapları veya ağ kaynakları da etkilenmiş olabilir.

Temiz kurulum öncesinde:

1. Kurtarma ihtimali bulunan verileri değerlendirin.

2. Gerekli olay bilgilerini koruyun.

3. Temiz yedeklerin bulunduğunu doğrulayın.

4. Güvenilir kurulum ortamı kullanın.

5. Yeniden kurulum sonrasında güvenlik ayarlarını yapılandırın.

Önemli verilerin bulunduğu sistemlerde formatlama kararı verilmeden önce uzman desteği alınması yararlı olabilir.

13. Fidye Yazılımı Sonrasında Şifreler Değiştirilmeli mi?

Evet. Özellikle hesap bilgilerinin ele geçirilmiş olabileceği durumlarda parolaların değiştirilmesi önemlidir.

Ancak bu işlem enfekte bilgisayardan yapılmamalıdır.

Güvenilir ve temiz bir cihaz kullanılarak şu hesapların güvenliği kontrol edilebilir:

• E-posta hesapları

• Microsoft hesabı

• Google hesabı

• Bulut depolama hesapları

• Bankacılık hesapları

• İş hesapları

• Uzak erişim hesapları

Parolalar benzersiz olacak şekilde değiştirilmeli ve desteklenen hesaplarda çok faktörlü kimlik doğrulama etkinleştirilmelidir.

Şüpheli oturumlar ve bağlı cihazlar da incelenmelidir.

14. Fidye Yazılımı Saldırısı Nereye Bildirilebilir?

Türkiye'de fidye yazılımı saldırısı mağdurları, olayın niteliğine göre kolluk kuvvetlerine veya Cumhuriyet başsavcılığına başvurabilir.

Kurumsal sistemlerde ayrıca bilgi güvenliği sorumlularına, ilgili olay müdahale ekiplerine ve gerekiyorsa yetkili kurumlara bildirim yapılmalıdır.

Kişisel verilerin ihlal edildiği durumlarda, ilgili mevzuat kapsamındaki bildirim yükümlülükleri ayrıca değerlendirilmelidir.

Başvuru sırasında fidye notları, ekran görüntüleri, olay zamanı ve diğer ilgili bilgiler yararlı olabilir.

15. Fidye Yazılımı Sonrasında Tekrar Bulaşma Nasıl Önlenir?

Saldırıdan sonra yalnızca bilgisayarın çalışır duruma getirilmesi yeterli değildir.

Saldırının hangi yöntemle gerçekleştiğinin de araştırılması gerekir.

Aksi hâlde aynı güvenlik açığı üzerinden yeni bir saldırı yaşanabilir.

Alınabilecek önlemler:

• Windows ve uygulamaları güncellemek

• Güvenlik yazılımlarını etkin tutmak

• Kullanılmayan uzak erişim hizmetlerini kapatmak

• Hesap parolalarını değiştirmek

• Çok faktörlü kimlik doğrulamayı kullanmak

• Gereksiz yönetici yetkilerini kaldırmak

• Güvenilmeyen yazılımları temizlemek

• Yedekleme sistemini yeniden değerlendirmek

• Ağdaki diğer cihazları kontrol etmek

• Düzenli güvenlik taramaları gerçekleştirmek

Fidye Yazılımı Bulaştığında Yapılması ve Kaçınılması Gerekenler

Fidye Yazılımı Bulaşması Hakkında Sık Sorulan Sorular

Fidye Yazılımı Bulaşınca Bilgisayar Hemen Kapatılmalı mı?

Öncelikle bilgisayarın ağdan izole edilmesi gerekir. Ancak şifreleme devam ediyorsa cihazın kapatılması daha fazla veri kaybını sınırlamak için gerekli olabilir. Kapatma işlemi bazı geçici inceleme verilerini kaybettirebileceğinden durumun koşullarına göre karar verilmelidir.

İnterneti Kesmek Fidye Yazılımını Durdurur mu?

Her zaman hayır. Bazı fidye yazılımları internet bağlantısı olmadan da dosyaları şifreleyebilir. Ağ bağlantısını kesmek, yayılma ve dış iletişim risklerini azaltmaya yardımcı olur.

Antivirüs Fidye Yazılımını Silince Dosyalar Açılır mı?

Genellikle hayır. Zararlı yazılımın kaldırılması, dosyalara uygulanan şifrelemenin otomatik olarak çözüleceği anlamına gelmez.

Şifrelenen Dosyaların Uzantısını Değiştirmek İşe Yarar mı?

Hayır. Dosya uzantısını değiştirmek şifrelenmiş içeriği eski hâline getirmez.

Fidye Yazılımı Diğer Bilgisayarlara Bulaşabilir mi?

Evet. Bazı saldırılar ağ bağlantıları, paylaşılan klasörler veya ele geçirilmiş hesaplar üzerinden başka sistemleri de etkileyebilir.

Yedek Olmadan Dosyalar Kurtarılabilir mi?

Bazı durumlarda mümkün olabilir. Ancak bu, fidye yazılımının türüne ve mevcut kurtarma seçeneklerine bağlıdır. Bütün dosyaların kurtarılabileceği garanti değildir.

Sonuç

Fidye yazılımı bulaşan bir bilgisayarda ilk yapılması gereken, cihazı ağdan izole ederek saldırının etkisini sınırlandırmaktır.

Ardından yedeklerin korunması, fidye mesajının ve saldırı belirtilerinin kaydedilmesi, zararlı yazılımın türünün araştırılması ve güvenilir kurtarma yöntemlerinin değerlendirilmesi gerekir.

Şifrelenen dosyaların rastgele değiştirilmesi, bilinmeyen kurtarma programlarının çalıştırılması veya gerekli incelemeler yapılmadan sistemin formatlanması veri kurtarma ihtimalini azaltabilir.

Fidye yazılımı saldırılarından sonra veri kaybının etkisini azaltmanın en önemli yollarından biri, saldırı öncesinde hazırlanmış güvenilir ve bağımsız yedeklere sahip olmaktır.