Dışarıdan bakıldığında fidye yazılımı saldırıları, fidye notu bırakılan bir hırsızlık gibi algılanabilir. Saldırgan sisteme sızar, kritik dosyaları şifreler ve ödeme talebinde bulunur. Ancak bu, sürecin yalnızca görünen kısmıdır. Saldırıyı mümkün kılan asıl yapı, arka planda işleyen ve çoğu zaman göz ardı edilen unsurlardan oluşur. Fidye yazılımının arkasında; iş gücü ve araç pazarları, abonelik tabanlı hizmetler, tedarikçiler ve iş ortaklarından oluşan, hizmet seviyesi anlaşmalarını andıran ilişkilerle kurulu bir yapı yer alır. Bu yapı, fidye notu ortaya çıkmadan çok önce saldırıya zemin hazırlar. Kuruluşların fidye yazılımı olaylarını ani ve rastlantısal saldırılar olarak değerlendirmesi, savunma stratejilerinin de eksik kalmasına neden olabilir. Oysa tehdit, yüksek derecede organize, kaynaklı ve tekrarlanabilir bir yapıya sahiptir.
ESET’in tespit verileri, 2025’in ilk yarısında yüzde 30’luk bir artışın ardından, ikinci yarıda fidye yazılımı faaliyetlerinin önceki altı aya göre yüzde 13 arttığını gösteriyor. Verizon’un 2025 Veri İhlali Araştırma Raporu (DBIR), fidye yazılımı içeren ihlallerin oranının yüzde 32’den yüzde 44’e yükseldiğini ortaya koyarken ortalama fidye ödemesinin 150 bin dolardan 115 bin dolara gerilediğini gösteriyor. Mandiant’ın analizleri ise saldırganların, savunmaları daha az olgun olan daha küçük ölçekli kuruluşlara yöneldiğine işaret ediyor.
Fidye yazılımı operasyonları, bireysel katılımcıların yetkinliklerinden bağımsız olarak ölçeklenebilir şekilde tasarlanır. Bu yapı, katılımcılar arasındaki güvene ve onları bir arada tutan teşvik mekanizmalarına dayanır. Zaman içinde bireysel saldırganlar, organize gruplara; bu gruplar ise pazar payı için rekabet eden, birbirine bağlı uzman ağlarına dönüşmüştür. Geleneksel sektörlerde yıllar süren gelişim süreçleri, siber suç ekosisteminde çok daha kısa sürede gerçekleşmiştir. Kolluk kuvvetlerinin müdahaleleri belirli ölçüde kesinti yaratsa da rekabetçi yapı nedeniyle bir grubun ortadan kalkması pazarı ortadan kaldırmaz. Aynı teşvikler varlığını sürdürdüğü sürece yeni oyuncular ortaya çıkar, mevcut gruplar yeniden yapılanır veya iş birlikleri geliştirir. Bu dinamik, fidye yazılımı ekosisteminin sürekliliğini sağlar.
Kırmızı Kraliçe’nin yarışı
Siber tehdit ortamı sürekli değişim hâlinde. Geçmişte yaygın olan dosya şifreleme temelli saldırılar, yerini veri hırsızlığı ve ifşa tehdidini içeren çift şantaj yöntemlerine bıraktı. Ancak dönüşüm bununla sınırlı değil. Kısa süre öncesine kadar neredeyse bilinmeyen bazı teknikler, bugün yaygın şekilde kullanılıyor. Örneğin, kullanıcıları sahte hata mesajlarıyla kandırarak kötü amaçlı komutları çalıştırmaya yönlendiren ClickFix yöntemi hem siber suç grupları hem de devlet destekli aktörler tarafından kullanılmaktadır. Bu adaptasyon hızı, bir versiyonunun doğada, aslında sonsuza dek devam ettiğini fark ettiğinizde pek de şaşırtıcı değil. Rekabet içinde olan türler, sadece konumlarını korumak için sürekli olarak adapte olmak zorunda. Avcılar hızlanır, bu yüzden avlar da hızlanır. Avlar kamuflaj geliştirir, bu yüzden avcılar daha keskin bir görüş geliştirir. Biyoloji buna, Lewis Carroll’un Aynanın İçinden kitabındaki, sadece yerinde kalmak için koşmaya devam etmek zorunda olan bir karakterin adını taşıyan Kırmızı Kraliçe etkisi adını verir. Siber güvenlikte de benzer bir dinamik söz konusu: Savunma sistemleri geliştikçe saldırganlar da buna karşılık verir. Bu durumun en somut örneklerinden biri, güvenlik çözümleri ile bu çözümleri devre dışı bırakmaya yönelik araçlar arasındaki rekabette görülür. Uç nokta tespit ve müdahale (EDR) ve genişletilmiş tespit ve müdahale (XDR) çözümleri, saldırgan faaliyetlerini tespit etmede kritik rol oynarken saldırganlar da bu sistemleri etkisiz hâle getirmeye yönelik araçlar geliştiriyorlar.
ESET araştırmacıları, aktif olarak kullanılan yaklaşık 90 farklı “EDR katili” aracı izliyor. Bunların 54’ü, güvenlik açığı bulunan ancak meşru bir sürücünün sisteme yüklenmesi ve bu sayede çekirdek seviyesinde ayrıcalık elde edilmesine dayanan aynı tekniği kullanıyor. “Kendi Güvenlik Açığı Bulunan Sürücünü Getir” (BYOVD) olarak bilinen bu yöntem, farklı saldırı araçlarında tekrar tekrar karşımıza çıkıyor. EDR katili araçlar, tıpkı fidye yazılımı ekosisteminin kendisi gibi, düzenli güncellenen ve abonelik modeliyle sunulan hizmetlerle destekleniyor. Bu araçların seçimi çoğu zaman doğrudan saldırıyı gerçekleştiren operatörlerden ziyade, bağlı kuruluşlar tarafından yapılır. Savunma sistemleri güncellendikçe, bu sistemleri aşmaya yönelik araçlar da aynı hızla evrilir. Bu döngü, siber tehdit ortamında Kırmızı Kraliçe etkisinin somut bir yansımasıdır.
Kaynak : 