Ransomware Analizi Derinlemesine: Şifreleme Mekanizmaları ve Zayıf Noktalar

Ransomware (fidye yazılımı), bugün en yıkıcı ve en yaygın zararlı yazılım kategorilerinden biridir. Bu makale, genel davranıştan öte, ransomware'in dosya şifreleme mimarisine ve bazı ailelerde bulunan teknik zayıflıklara odaklanır.

Hibrit Şifreleme Mimarisi

Neredeyse tüm modern ransomware aileleri, iki farklı şifreleme türünü birlikte kullanan bir hibrit şifreleme modeli uygular:

1. Simetrik şifreleme (genelde AES): Kurbanın dosyalarının kendisi, hızlı olduğu için simetrik bir algoritmayla (AES-256 gibi) şifrelenir. Her dosya (veya tüm oturum) için genelde rastgele üretilen bir AES anahtarı kullanılır.
2. Asimetrik şifreleme (genelde RSA): Dosyaları şifrelemek için kullanılan AES anahtarının kendisi, saldırganın sahip olduğu bir RSA ÖZEL anahtarına karşılık gelen RSA AÇIK anahtarıyla şifrelenir ve bu şifreli hâl dosyanın yanına eklenir.

Bu mimarinin mantığı şudur: kurban, kendi dosyasının yanındaki şifreli AES anahtarını görse bile, bu anahtarı çözmek için gereken RSA özel anahtarı SADECE saldırganda bulunur — fidye ödendiğinde (teorik olarak) saldırgan bu özel anahtarı veya onunla çözülmüş AES anahtarını kurbana verir.

Dosya Şifreleme Stratejileri: Tam mı, Kısmi mi?

Büyük dosyaları (örneğin birkaç GB'lık veritabanı dosyalarını) tamamen şifrelemek zaman alır ve bu süre, kurbanın veya güvenlik yazılımının işlemi fark edip müdahale etme şansını artırır. Bu yüzden gelişmiş ransomware aileleri genelde kısmi şifreleme (intermittent encryption) stratejisi kullanır: dosyanın tamamı yerine, belirli aralıklarla (örneğin her 1MB'ın ilk birkaç KB'ı) şifrelenir. Bu, dosyayı yine de kullanılamaz hâle getirirken (çünkü modern dosya formatları genelde başlangıç bloklarına yoğun şekilde bağımlıdır) şifreleme süresini ciddi ölçüde kısaltır — saldırgan için "hız", tespit edilmeden önce mümkün olduğunca çok dosyayı şifreleyebilmek anlamına gelir.

Gölge Kopyaları (Shadow Copies) Silme

Windows'un yerleşik yedekleme özelliği olan Volume Shadow Copy Service (VSS), kurbanın şifrelenmiş dosyalarını "geri alma" (restore) yoluyla kurtarmasına imkan tanıyabilir. Bu yüzden neredeyse tüm ransomware aileleri, şifrelemeye başlamadan önce şu tür komutlarla gölge kopyaları kasıtlı olarak siler:

vssadmin delete shadows /all /quiet
wmic shadowcopy delete

Bu komutların çalıştırılması, bir uç nokta güvenlik ürünü için son derece güçlü bir erken uyarı sinyalidir — meşru hiçbir günlük kullanıcı işlemi bu komutları normal şartlarda çalıştırmaz.

Uygulama Hatalarından Kaynaklanan Kurtarma Fırsatları

Teorik olarak sağlam bir hibrit şifreleme doğru uygulandığında kırılamaz, ancak pratikte bazı ransomware aileleri UYGULAMA HATALARI (implementation flaw) nedeniyle kırılabilir olmuştur:

• Zayıf/öngörülebilir rastgele sayı üreteci (RNG): AES anahtarını üretmek için kullanılan rastgele sayı üreteci yeterince güçlü değilse (örneğin sistem saatine dayanıyorsa), anahtar tahmin edilebilir hâle gelebilir.
• Anahtarın yanlışlıkla diskte/bellekte bırakılması: Bazı aileler, teorik olarak sadece saldırganda olması gereken anahtarı, hatalı bir kodlama nedeniyle kurbanın kendi sisteminde (geçici bir dosyada veya bellekte, silinmeden) bırakabilir.
• Offline şifreleme + sabit anahtar: Ağ bağlantısı olmadan çalışan bazı basit aileler, her kurban için AYRI bir anahtar üretmek yerine tüm kurbanlar için SABİT bir anahtar kullanabilir — bir güvenlik araştırmacısı bu sabit anahtarı bir örnekte bulursa, TÜM kurbanlar için geçerli bir kurtarma aracı üretilebilir.

Bu tür zayıflıklar keşfedildiğinde, güvenlik topluluğu (No More Ransom projesi gibi girişimler) ücretsiz kurtarma araçları yayınlayabilir — ancak bu her ailede mümkün değildir; iyi uygulanmış modern bir ransomware ailesinde böyle bir zayıflık genelde bulunmaz.

Pratik Senaryo

Bir güvenlik araştırmacısı, yeni bir ransomware ailesini analiz ederken, örneğin AES anahtarını ürettiği rutini disassemble ediyor ve anahtarın, sistemin o anki saatine (GetSystemTime API çağrısına) dayalı, zayıf bir sözde-rastgele sayı üreteciyle oluşturulduğunu fark ediyor. Şifrelenen dosyaların meta verisindeki zaman damgası (dosyanın şifrelendiği yaklaşık an) bilindiği için, araştırmacı olası zaman aralığını (birkaç saniyelik bir pencere) tarayarak anahtarı BRUTE-FORCE ile yeniden üretebiliyor ve bu aile için ücretsiz bir kurtarma aracı geliştiriyor. Bu, "şifreleme algoritması güçlü olsa bile, anahtar üretim sürecindeki bir zayıflığın tüm sistemi kırılabilir hâle getirebileceğinin" klasik bir örneğidir.

Bu makale, ransomware şifreleme mekanizmalarının orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.