The Gentlemen Fidye Yazılımı: Yeni Nesil Sızma ve Arka Kapı İçeren Gelişmiş Saldırı Raporu

Kaspersky GReAT ekibinin yaptığı son çalışma, The Gentlemen adlı fidye yazılımı grubu için gelişmiş bir dizi araç ve teknik kullanıldığını ortaya koyuyor. Araştırma, grup tarafından devreye alınmadan önce hedef sistemler üzerinde uzun süreli bilgi toplamaya yönelik özel bir arka kapı (Go dilinde yazılmış) ve daha sonra çalıştırılan fidye yazılımı im yetenekli bir dosya kullanıldığını gösteriyor. Bu yaklaşım, saldırıların dünyadaki birçok sektörü kapsayan geniş bir hedef yelpazesine yayılmasını kolaylaştırıyor.

Rapor, 2025 yılında fidye yazılımı tehdidinin en çok etkilediği bölgelerin artan oranlarda kaydedildiğini de ortaya koyuyor. Latin Amerika, %8,13 ile zirvede yer alırken, Asya-Pasifik %7,89 ve Afrika %7,62 gibi oranlarla onu izliyor. Geri kalan bölgeler arasında Orta Doğu, BDT ve Avrupa da kayda değer paylara sahip.

Şubat-orta 2025 civarında ortaya çıkan The Gentlemen, hızla büyüyen bir RaaS (Ransomware-as-a-Service) yapısına dönüştü ve çoğu hedefe ulaşmak için güvenlik açıklarını ya da ele geçirilmiş kimlikleri kullanıyor. Grup, ilk erişim için Initial Access Brokers (IAB) ile iş birliği yapma ihtimalini de göz önünde bulundurarak sızma stratejilerini çeşitlendiriyor. Özellikle bazı kurbanlarda, The Gentlemen doğrudan hareket etmek yerine IAB tarafından sağlanan erişim kanallarını kullanarak ön çalışma yapabilir görünüyor.

Birçok RaaS grubundan ayrışan yönleriyle dikkat çeken The Gentlemen, özel olarak geliştirilmiş araçlarını ve esnek sızma taktiklerini kullanıyor. Araştırmaya göre, fidye yazılımı çalıştırılmadan bir gün önce hedef sistemlere Go ile yazılmış ve bilinmeyi zorlaştıran bir arka kapı yerleştiriliyor. Bu zararlı program, sistem ve ağ bilgisini toplayıp, konsol ekranını saklayarak çift yönlü iletişim kurma, komutlar yürütme ve keşif işlevlerini yerine getiriyor. Böylece güvenlik ekiplerine fark edilmeden hareket etmek mümkün hale geliyor ve saldırganlar ağ içinde hızlıca yayılıyor.

Ek olarak, az sayıda kurbanı etkileyen ve C diliyle yazılmış yeni bir Windows odaklı varyantın keşfi, grubun araç setini çeşitlendirdiğini gösteriyor. Go tabanlı implantlar geleneksel olarak tercih edilse de bu C tabanlı sürümün Windows odaklı olması, operasyonların test edilip tespit edilmesini kolaylaştırıyor.

Bir diğer dikkat çekici unsur ise saldırı sürecinde Kaspersky güvenlik çözümlerinin devre dışı bırakılmasını hedefleyen kavrmvr.exe aracının kullanılmaya çalışılmasıdır. Ancak güvenlik ekibi müdahale ederek bu çabayı engelledi ve zararlı aktiviteler olarak işaretledi.

Kaspersky GReAT Kıdemli Güvenlik Uzmanı Fatih Şensoy şu değerlendirmeyi paylaştı: “Grup nispeten yeni bir aktör olsa da siber suç dünyasında hızla itibar kazanıyor ve teknik kapasitesini artırıyor. C tabanlı varyantların test edilmesi, gelecekte daha güvenilir ve ölçeklenebilir saldırı zincirlerinin habercisi olabilir. Kuruluşlar için zafiyet yönetimi ve hardening önlemlerine odaklanmak kritik öneme sahip.”

Güvenlik araştırması, fidye yazılımı tehditlerine karşı kurumları şu biçimde korumaya çağırıyor:

• Güçlü yazılım güncellemeleriyle tüm cihazları güvenli tutarak güvenlik açıklarının önüne geçin.
• Ağ içi hareketleri ve veri sızdırma olaylarını tespit etmeye odaklanan savunma stratejileri geliştirin; özellikle dışa doğru trafiği yakından izleyin ve offline yedeklemelerin güvenli bir şekilde erişilebilir olduğundan emin olun.
• Anti-APT ve EDR çözümleriyle kurumsal güvenliği güçlendirin; SOC ekiplerinde tehdit istihbaratını düzenli olarak paylaşın ve personeli sürekli eğitin. Tüm bu koruma bileşenlerine Kaspersky Next üzerinden erişilebiliyor.

Raporun daha ayrıntılı versiyonuna Securelist.com üzerinden ulaşabilirsiniz. Kaynak: Beyaz Haber Ajansı (BYZHA).