Dosyalarınızın uzantısı değiştiyse, klasörlerde bir fidye notu belirdiyse ve hiçbir belge açılmıyorsa: panik yapmayın, ama acele de etmeyin. Kurtarma ihtimalinizi belirleyen kararların çoğu ilk saatte verilir — ve en sık yapılan hatalar tam da o saatte yapılır.
Önce durun: ilk 10 dakikada YAPMAYIN
Fidye yazılımı bulaşmış bir sistemde ilk refleksler genellikle zararlıdır. Aşağıdakiler, sahada en sık gördüğümüz ve kurtarma şansını doğrudan azaltan hatalardır:
- Sunucuyu kapatmayın. Bazı fidye yazılımları şifreleme anahtarını bellekte tutar. Cihaz kapatılınca o anahtar kaybolur ve bir daha geri gelmez.
- Format atmayın, yeniden kurmayın. Bu, hem kanıtı hem de kurtarılabilecek verinin kalıntılarını siler.
- Şifreli dosyaları silmeyin. Çözücü bulunursa onlara ihtiyacınız olacak. Yer sıkıntısı varsa harici diske taşıyın.
- Yedeği hemen bağlamayın. Zararlı hâlâ aktifse yedeğiniz de şifrelenir. Önce sistemin temiz olduğundan emin olun.
- Fidyeyi hemen ödemeyin. Bu ayrı bir karar; teknik alternatifler tükenmeden verilmemeli.
Yapılacak tek şey var: cihazı ağdan ayırın (kabloyu çekin, Wi-Fi'yi kapatın) ama açık bırakın. Sonra yardım çağırın.
Kurtarma ihtimalinizi belirleyen dört şey
"Dosyalar kurtarılır mı?" sorusunun cevabı size değil, dört teknik gerçeğe bağlıdır:
- Sağlam bir yedeğiniz var mı? Ağa bağlı, sürekli erişilebilir bir yedek çoğu zaman zararlıyla birlikte şifrelenmiş olur. Kurtarma şansı, çevrimdışı veya değiştirilemez (immutable) yedekte yatar.
- Gölge kopyalar (VSS) duruyor mu? Windows'un kendi anlık görüntüleri. Fidye yazılımlarının çoğu bunları siler — ama hepsi başaramaz.
- Hangi fidye ailesi? Bazı ailelerin şifrelemesi hatalı yazılmıştır veya anahtarları kolluk operasyonlarıyla ele geçirilip yayınlanmıştır. Bu ailelerde ücretsiz çözücü olabilir.
- Şifreleme tamamlandı mı? Erken fark edilen olaylarda dosyaların önemli bir bölümü henüz sıraya gelmemiş olur.
Yol 1 — Yedekten dönüş
En temiz ve en hızlı yol budur. Ama şu sırayla yapılmalı: önce sistemin temizlendiğinden emin olun, sonra kimlik bilgilerini değiştirin, en son yedeği bağlayın. Sırayı bozarsanız aynı olayı ikinci kez yaşarsınız.
Yedeğin varlığı yetmez; geri dönüş testi yapılmış olması gerekir. Sahada en acı anlardan biri, yedek işinin aylardır sessizce hata verdiğinin kriz anında fark edilmesidir.
Yol 2 — Gölge kopyalar (Volume Shadow Copy)
Windows sunucularda ve istemcilerde, sistem geri yükleme noktalarıyla birlikte dosyaların eski sürümleri tutulabilir. Fidye yazılımlarının standart davranışı bunları silmektir; ancak yetki yetersizliği, disk yapılandırması veya zararlının erken durdurulması nedeniyle kopyalar sağlam kalabilir.
Bu yolu denemeye değer — özellikle sürücü haritalaması olmayan veya farklı bir birimde duran veriler için. Kontrol sırasında sisteme yazma yapmamaya dikkat edin.
Yol 3 — Bilinen bir çözücü var mı?
Önce hangi aileyle karşı karşıya olduğunuzu tespit etmek gerekir. Fidye notu, dosya uzantısı ve şifreli dosyanın kendisi bu tespiti mümkün kılar. Aile belirlendikten sonra, o aile için yayınlanmış ücretsiz bir çözücü olup olmadığına bakılır.
Burada dürüst olalım: modern, hizmet olarak satılan (RaaS) ailelerin büyük çoğunluğunda ücretsiz çözücü yoktur. Çözücü bulunan aileler genellikle eski veya hatalı yazılmış olanlardır. Bu konuyu ayrıntılı ele aldığımız yazı: fidye yazılımı şifre çözme araçları.
Yol 4 — Silinmiş orijinalleri kurtarmak
Bu, en çok göz ardı edilen yoldur. Birçok fidye yazılımı dosyayı yerinde şifrelemez: şifreli bir kopya oluşturur, orijinali siler. Silinen dosya diskten hemen yok olmaz; üzerine yeni veri yazılana kadar kalıntısı durur.
Bu yüzden "format atmayın" ve "diske yazmayın" uyarıları hayati. Adli veri kurtarma yöntemleriyle, hiçbir çözücü olmadan da ciddi miktarda dosya geri gelebilir. Bunun ne kadar işe yaradığı fidye ailesine, dosya sistemine ve olaydan sonra diske ne kadar yazıldığına bağlıdır.
Sahada gördüğümüz en belirleyici fark, teknik beceri değil zamanlamadır. Olaydan sonra sisteme dokunulmamış bir disk ile bir hafta çalışmaya devam etmiş disk arasında kurtarma açısından dağlar kadar fark vardır.
Yol 5 — Veri hâlâ bir yerlerde olabilir
Şifrelenen sunucu tek kaynak olmayabilir. Kontrol etmeye değer yerler: kullanıcıların yerel bilgisayarlarındaki kopyalar, e-posta eklerindeki gönderilmiş belgeler, bulut senkronizasyon geçmişi (sürüm geçmişi özelliği açıksa), muhasebe veya ERP sisteminin ayrı veritabanı yedeği, hatta basılı arşiv.
Ne zaman kurtarılamaz?
Dürüst cevap: güçlü ve doğru uygulanmış bir şifreleme, çevrimdışı yedek yoksa, gölge kopyalar silinmişse ve disk üzerine uzun süre yazılmışsa, teknik olarak kurtarma şansı çok düşüktür. Bu durumda yapılacak iş veriyi kurtarmak değil, olayın kapsamını belirlemek, verinin dışarı çıkıp çıkmadığını tespit etmek ve yasal bildirim yükümlülüklerini yerine getirmektir.
Size "her dosyayı kesin kurtarırız" diyen bir taraf varsa temkinli olun. Ciddi bir müdahale ekibi önce durumu ölçer, sonra ihtimal verir.
113SEC olarak nasıl ilerliyoruz
Vaka bazlı çalışırız; müşterimiz olmanız gerekmez. İlk görüşme telefonda başlar ve amacı yayılmayı durdurmaktır. Ardından kanıt alınır, aile tespit edilir, kurtarma yolları sırayla denenir ve kök neden kapatılır. Çünkü aynı açık kapalı kalmazsa olay tekrar eder.
Şu anda bu durumdaysanız acil müdahale hattımızı arayın: 0549 904 46 80. Sistemleri kapatmayın, formatlamayın, bekleyin.