Online İşlemler
Ransomware

Stormous Ransomware Grubu

Bu rapor, Mart 2022’den bu yana faaliyet gösteren Stormous fidye yazılımı (RaaS) grubunun teknik evrimini, saldırı taktiklerini, hedef profilini ve özellikle Türkiye turizm sektöründeki son vakaları derinlemesine incelemektedir. Veriler, başta tehdit istihbarat raporlarında yayınlanan veriler olmak üzere Cisco Talos, The Hacker News ve Talos Intelligence blog yazıları gibi birincil ve ikincil threat intelligence kaynaklarından derlenmiştir. Analizde; grup içi iş birlikleri, teknik zincir adımları (TTP’ler), vaka incelemeleri ve proaktif savunma önerileri kapsamlı bir şekilde açıklanmaktadır.

  • Kuruluş ve Model: Stormous, Mart 2022’de kuruldu ve “Ransomware-as-a-Service” (RaaS) iş modelini benimseyerek, saldırı altyapısını siber saldırganlara kiralamaktadır. Bu yapı, gruba ölçeklenebilirlik ve gizlilik avantajı sağlar.
  • GhostSec Ortaklığı: 2023’ün son çeyreğinde hacktivist GhostSec ile stratejik olarak birleşen grup, Go diliyle yazılmış GhostLocker 2.0 varyantını baz alan STMX_GhostLocker RaaS programını başlattı. Bu program, ücretsiz veri sızdırma (PYV), standart ve premium olmak üzere üç farklı afiliye seçeneği sunuyor.
  • Gelir Modeli: Affiliate katılım ücretleri, fidye geliri paylaşımları ve “veri yayınlama” hizmetleri, Stormous’un ana gelir kaynaklarını oluşturuyor. Bu sayede saldırılar hem daha profesyonel bir çerçeveye bürünüyor hem de dezenformasyon riski artıyor.
  • Genel Vaka Sayısı: Grup, 21 Mayıs 2025 itibarıyla 141’den fazla kurbanı veri sızdırma platformlarına eklemiş durumda.
  • Sektörel Dağılım: Finansal hizmetler %25, turizm & konaklama %25, kamu & eğitim %20, üretim & endüstri %15 ve teknoloji & telekom %15 oranlarında hedefleniyor. Bu dağılım, grubun hem kritik altyapıları hem de müşteri verisi yoğun sektörleri eş zamanlı olarak vurduğunu gösteriyor.
  • Coğrafi Yayılım: 20’den fazla ülkede faaliyet gösteren Stormous, Brezilya, Hindistan, Katar, Türkiye, Polonya ve Güney Afrika gibi pazarlara yoğun saldırılar gerçekleştirdi.

  • GhostSec Deep Scan & GhostPresser: Cisco Talos’un raporuna göre, GhostSec iş birliğiyle geliştirilen “Deep Scan” (web keşfi otomasyonu) ve “GhostPresser” (XSS/SQL enjeksiyon otomasyonu) araçları, hem zafiyet taraması hem de web uygulaması istismarını hızlandırıyor.
  • Zafiyet İstismarları: STMX_GhostLocker çerçevesi, sıklıkla Fortinet SSL VPN (CVE-2018-13379) ve ConnectWise ScreenConnect (CVE-2024-1709/1708) gibi bilinen açıkları hedef alıyor; bu açıklar gruba hızlı ilk erişim sağlıyor.
  • Komuta-Kontrol ve Veri Yayını: C2 sunucuları, ayrı .onion adreslerinde barındırılıyor; bunlar hem fidye notu dağıtımı hem de veri indirme / pazarlık sürecinde kullanılıyor.

  • Zaman Çizelgesi: 21 Mayıs 2025’te tespit edilen geniş çaplı turizm saldırıları, Antalya ve çevresindeki konaklama tesislerinin rezervasyon sistemlerine odaklandı. Toplamda 2.5 TB üzeri veri sızdırıldı.
  • Sızdırılan Veri Kategorileri:
    • Müşteri kişisel verileri (isim, pasaport detayları, doğum tarihleri)
    • İletişim bilgileri (e-posta, telefon)
    • Rezervasyon & ödeme kayıtları
    • İç operasyonel veriler (personel listeleri, tedarikçi sözleşmeleri)

Stormous’un gelir modeli, hem kuru fidye ödemeleri hem de “veri yayınlama” hizmetleri üzerinden şekilleniyor:

  1. Ücretsiz PYV Kategorisi: Sadece veri ifşa etmek isteyen küçük çaplı afiliyelere açık.
  2. Standart Katman: Temel şifreleme modülleri ve sınırlı müşteri desteği içerir.
  3. Premium Katman: Otomatik savunma atlatma, geniş kapsamlı raporlama ve özel C2 altyapısı sunar.

Her düzeyin fiyatlandırması, aylık abonelik veya saldırı başına ödeme şeklinde belirlenerek, gruba hem düzenli gelir hem de büyüyen bir ekosistem sağlıyor.


  • Çok Faktörlü Kimlik Doğrulama (MFA): VPN, RDP ve yönetim panelleri için şart koşulmalı.
  • SSH & RDP Kısıtlamaları: IP beyaz listeleme ve zayıf protokol varsayılanlarının kapatılması.
  • Yama Yönetimi: Otomatik güncellemeler ve acil yama politikaları oluşturulmalı.
  • Zafiyet Taraması: Düzenli dışa açık port ve web uygulaması taramaları yapılmalı.
  • 3-2-1 Yedekleme Kuralı: En az üç kopya, iki farklı ortam, bir tanesi çevrimdışı.
  • Şifreli Yedekleme: Yedekler ayrıca şifrelenerek fiziksel/lojik erişimden ayrılmalı.
  • SIEM & EDR Çözümleri: Anormal dosya şifreleme etkinlikleri ve PowerShell komut kullanımına karşı davranış tabanlı uyarılar tanımlanmalı.
  • Ağ Trafik Analizi: Tor çıkış/noktalarına yönelik dışa giden trafik anomali tespiti kurulmalı.
  • Kimlik Avı Simülasyonları: Düzenli olarak güncel senaryolarla testler yapılmalı.
  • Olay Müdahale Planı: Saldırı anında adım adım izlenecek standart iş akışları hazırlanmalı.

Stormous’un GhostSec ortaklığıyla gerçekleştirdiği STMX_GhostLocker programı, modern fidye yazılımı ekosisteminin nasıl profesyonelleştiğini göstermektedir. Çift extortion taktiği ve gelişmiş otomasyon araçları, grubun etkisini küresel ölçekte katlayarak, özellikle müşteri verisi yoğun sektörlerde (turizm, sağlık, finans) ciddi riskler oluşturmaktadır.

Önemli Çıkarımlar:

  • RaaS modelinin sunduğu ölçeklenebilirlik, siber suçun giderek kurumsallaştığını işaret ediyor.
  • Proaktif güvenlik mimarileri, saldırı zincirinin her halkasında savunma katmanları oluşturarak potansiyel zararları minimize edebilir.
  • Sektörel iş birliği ve istihbarat paylaşımı, Stormous gibi yapılarla mücadelede kritik bir rol oynayacaktır.

Bu analiz, fidye yazılımı araştırmacıları ve kurumsal güvenlik ekipleri için Stormous grubunun taktiksel evrimini, saldırı yöntemlerini ve etkili savunma stratejilerini detaylandırarak yol gösterici bir kaynak sunmayı amaçlamaktadır.

Veri Kurtarma

CLEAN ROOM

Clean room, özellikle veri kurtarma, elektronik tamir, tıbbi üretim ve biyoteknoloji gibi hassas uygulamalarda kullanılan, partikül ve kontaminasyon seviyelerinin kontrollü tutulduğu özel odalardır. Bu odalarda hava akışı, filtreleme sistemleri ve pozitif basınç gibi unsurlar bir arada çalışarak ortamı steril ve tozsuz hale getirir.

Bu yazıda, clean room nasıl tasarlanır, hangi ekipmanlar kullanılır ve tasarımda nelere dikkat edilmelidir, adım adım ele alacağız ve mühendislik hesaplarıyla anlatacağız. Fan seçiminden HEPA filtreye, hava akımından pozitif basınca kadar her detayı elimizden geldiğince anlatmaya çalışacağız.

İlk adım, clean room’un hangi amaçla kullanılacağının net olarak tanımlanmasıdır. Örneğin:

  • Veri kurtarma işlemleri için ISO 14644-1’e göre genellikle ISO Class 5–7 arası bir sınıflandırma yeterlidir.
  • Medikal ve mikroelektronik üretim için daha sıkı sınıflar (ISO 4 ve altı) gerekebilir.

Sınıf belirlenirken ortamdaki maksimum partikül yoğunluğu (0.3 µm, 0.5 µm ve 1 µm boyutlarındaki partiküller için) baz alınır.

Clean room’un iç yapısı kolay temizlenebilir, elektrostatik üretmeyen ve partikül tutmayan malzemelerden oluşmalıdır. Bu örnekte mobil veri kurtarma ve adli bilişim aracımız için tasarladığımız clean room'a göre inceleme yapacağız.

  • Örnek Boyut: 60×80×40 cm ölçülerinde mikro clean box tipi, küçük çaplı veri kurtarma işlemleri için idealdir.
  • Malzeme Tercihi: Antistatik kaplama, paslanmaz çelik iskelet, pleksi veya temperli cam kaplama
  • Çalışma Açıklığı: Ön panel, yaklaşık 20 cm yükseklikte hareketli açıklık sağlayarak operatörün el girişi için yeterli alan sunar.


Mini clean room’un boyutları:

  • Genişlik: 60 cm
  • Derinlik: 80 cm
  • Yükseklik: 40 cm

Oda hacmi:


Ön kapakta 60x20 cm’lik bir açıklık çalışma esnasında sürekli açık kalacak. Bu açıklıktan içeriye toz girmemesi için, HEPA filtreden çıkan hava doğrudan bu bölgeye yönlendirilerek hava perdesi oluşturulacak.

Gerekli hava hızı: 0.6 m/s


  • Laminer hava debisi: 153.6 m³/h
  • Hava perdesi için debi: 259 m³/h
  • Toplam:

Bu değeri karşılayabilecek fan ve filtre sistemi kullanılmalıdır.


  • Büyük parçacıkları yakalar
  • Temizlenebilir
  • Düşük basınç kaybı (30–50 Pa)

G4 ön filtre, genellikle HEPA filtrelerin önüne yerleştirilen ve büyük partikülleri (toz, lif, saç, kum vb.) yakalayan ön koruma katmanıdır. Bu filtre sayesinde HEPA filtre daha uzun ömürlü olur, tıkanma süresi uzar ve sistemin toplam enerji verimliliği artar.

  • Daha küçük partikülleri tutar
  • HEPA'nın ömrünü uzatır
  • Yaklaşık 70 Pa basınç kaybı

F7 orta filtre, G4 gibi ön filtrelerin ardından gelen ve daha küçük partikülleri (%1–10 mikron arası) yakalayabilen gelişmiş bir filtre katmanıdır. Temiz oda sistemlerinde, özellikle HEPA filtrelerin yükünü azaltmak ve ömrünü uzatmak için kritik rol oynar. Hem insan sağlığı hem de HEPA filtrenin koruma seviyesi açısından arada önemli bir geçiş sağlar.

  • %99.995 verimlilik (0.3 µm partikül)
  • ~250–300 Pa basınç kaybı

Toplam filtre basınç kaybı: Yaklaşık 300–350 Pa

H14 sınıfı HEPA filtre, temiz oda (clean room) ortamlarında kullanılan en hassas filtrasyon elemanıdır. 0.3 mikron boyutundaki partikülleri %99.995 verimlilikle tutarak ortam havasını neredeyse steril seviyeye getirir. Bu, özellikle veri kurtarma, mikroelektronik, biyomedikal ve ilaç üretimi gibi alanlarda kritik öneme sahiptir.


Üç Filtrenin Karşılaştırması (Özet Tablo)

Fan seçiminde dikkat edilmesi gereken iki temel kriter:

  • Debi: En az 500 m³/h
  • Basınç: En az 300 Pa

Bir clean room (temiz oda) tasarlarken doğru fan seçimi, sistemin başarısı açısından kritik mühendislik kararıdır. Fan, filtreler üzerinden havayı zorlayarak geçireceği için yalnızca yüksek debi değil, aynı zamanda yeterli basınç gücü de sağlamalıdır. 

Hava Debisi (Flow Rate – Q)

  • Clean room’un iç hacmine göre gereken hava değişim sayısı (ACH) ve açık kalan alan (örn: el açıklığı gibi) göz önüne alındığında, en az 500 m³/h debiye sahip bir fan seçilmelidir.
  • Bu debi, hem ortama taze ve temiz hava girişi sağlar hem de HEPA filtreden sonra çıkış yönünde laminer hava perdesi oluşturur.

Not: 60 × 80 × 40 cm’lik bir kabin yaklaşık 0.2 m³ hacme sahiptir. 500 m³/h debi, bu hacmi dakikada 40–50 kez yenileyebilecek güçtedir.

Statik Basınç (Pressure – ΔP)

  • G4, F7 ve H14 filtrelerin toplam basınç kaybı yaklaşık 300–350 Pascal aralığındadır.
  • Fan bu dirençle başa çıkabilecek statik basınç üretmelidir.
  • Yetersiz basınç gücüne sahip bir fan seçilirse, filtreler hava geçişini kısıtlar ve sistem yetersiz hava akışı nedeniyle çalışmaz hale gelir.

Fan üretici kataloglarında genellikle "Basınç vs Debi eğrileri" (P–Q grafik) yer alır. Seçtiğiniz filtrasyon sistemine göre bu grafikten çalışma noktanızı belirleyin (örn. 500 m³/h @ 300 Pa).

Vortice CA 200 MD Kanal Fanı

  • Serbest debi: 1050 m³/h
  • 300 Pa’da yaklaşık 450–500 m³/h sağlayabiliyor
  • Gürültü seviyesi: 47 dB(A)
  • Motor gücü: 57–89 W

Bu fan, hem filtre basıncını yenebilir hem de laminer akışı ve hava perdesini destekleyebilir.


Pozitif basınç, dış ortamdan partikül girişini engeller. İçeride dışarıya göre yaklaşık +10–20 Pa fark yaratılmalıdır. Bu da dışarıdan hiçbir hava sızıntısı olmadan sadece filtrelenmiş havanın içeri girmesini sağlar.

  • Malzeme: Antistatik iç yüzeyler, toz tutmaz ve kolay temizlenir
  • Köşeler: Yuvarlatılmış tasarım, partikül birikimini engeller
  • Filtre Yerleşimi: En altta G4 + F7, üstte HEPA
  • Hava Akımı: Alttan üste veya arkadan öne laminer akış
  • El Girişi: Sabit hava perdesi ile korunmalı

Ayrıca fan periyodik olarak tozdan arındırılmalı, motor rulmanları yılda 1 kez kontrol edilmelidir.


  • UV sterilizasyon modülü eklenebilir
  • İç ortam sıcaklık ve nem sensörleri ile izleme
  • Hava hızı sensörleri ile periyodik kontrol
  • Sessiz çalışma için fanın dışarıya monte edilmesi

Veri kurtarma gibi hassas işlerde başarılı olmanın yolu, iyi tasarlanmış bir mini clean room’dan geçer. Bu tasarımda kullanılan mühendislik hesapları sayesinde:

  • Gereken hava debisi doğru belirlenir
  • Filtre seçimi bilimsel temele dayanır
  • Fan, sistem basıncını rahatça karşılar
  • Dış ortamla olan etkileşim minimuma indirilir

Böylece hem daha başarılı sonuçlar elde edilir, hem de uzun ömürlü ve profesyonel bir sistem kurulmuş olur. Clean room tasarımı, sadece filtre ve fan seçmekten ibaret değildir. Hava akışı mühendisliği, ergonomi, partikül kontrolü ve basınç yönetimi gibi birçok parametre birlikte düşünülmelidir. Veri kurtarma gibi hassas işlemlerde, uygun clean room sistemi verinin güvenli kurtarılmasında kritik rol oynamaktadır.

Ransomware

LockBit Fidye Virüsü Grubu Hacklendi

LockBit ransomware grubu, son yıllarda siber güvenlik dünyasında adından sıkça söz ettiren, organize ve etkili bir fidye yazılımı (ransomware) topluluğudur. Temel olarak, kurumların bilgisayar sistemlerine sızarak verileri şifreleyen ve ardından şifreyi çözmek için fidye talep eden bu grup, özellikle 2020’li yıllarda saldırılarını artırarak küresel ölçekte büyük zararlara yol açmıştır.

LockBit ransomware grubu ilk olarak Eylül 2019’da siber güvenlik araştırmacıları tarafından tespit edilmiştir. Başlangıçta şifrelediği dosya uzantılarına “.abcd” uzantısı eklediği için “ABCD” fidye yazılımı olarak adlandırılan bu zararlı yazılım, kısa sürede evrilerek LockBit ismini almıştır. Grup, ilk dönemlerinde daha çok küçük ve orta ölçekli işletmeleri hedef alırken, zamanla saldırılarını büyük ölçekli kurumlara ve kritik altyapılara yöneltmiştir.

2020 yılına gelindiğinde LockBit, “Ransomware-as-a-Service” (RaaS) modelini benimseyerek faaliyetlerini genişletmiştir. Bu modelde, LockBit geliştiricileri fidye yazılımını diğer siber saldırganların kullanımına sunar ve elde edilen fidye gelirini paylaşırlardı. Bu sayede saldırıların sayısı ve çeşitliliği hızla artmıştır.

2021 yılına gelindiğinde, LockBit 2.0 sürümü piyasaya sürülmüş ve grup, şifreleme hızını artıran, tespit edilmesi daha zor hale gelen yeni teknikler geliştirmiştir. Ayrıca, mağdurları fidye ödemeye zorlamak için “double extortion” yani çifte şantaj yöntemini kullanmaya başlamışlardır. Bu yöntemde mağdurların verileri şifrelenmekle kalmaz, aynı zamanda dışarıya sızdırılırdı. Grup, talep edilen fidye ödemesi yapılmazsa verileri kamuya açıklanmakla tehdit ediyordu.

2022 ve 2023 yıllarında LockBit, LockBit 3.0 diğer adıyla LockBit Black sürümünü tanıtmış ve fidye yazılımı pazarında lider gruplardan biri haline gelmiştir. Bu sürümde, özelleştirilebilir fidye notları, daha gelişmiş anti-analiz teknikleri ve yeni saldırı vektörleri eklenmiştir. Grup, ayrıca kendi ödül programını başlatarak yazılımlarındaki açıkları bulanlara ödül vermeye başlamış ve bu alanda bir ilke imza atmıştır.

Takvimler 2024 yılını gösterdiğinde pazardaki en aktif ve en tehlikeli grup haline gelen LockBit Ransomware grubuna karşı, NCA, FBI ve Europol öncülüğünde “Operation Cronos” adı verilen büyük bir operasyon yapıldı. Bu operasyon kapsamında LockBit’in veri sızdırma sitesi ve bağlı olduğu sekiz ülkeye dağılmış 34 sunucu ele geçirildi. 14.000’den fazla yasa dışı hesap kapatıldı ve 200 kripto para hesabı donduruldu. Ayrıca, LockBit’in veri sızdırma aracı olan Stealbit de ele geçirildi.

Operasyon sırasında Polonya ve Ukrayna’da iki LockBit üyesinin tutuklandığı açıklandı. Fransa ve ABD tarafından üç uluslararası tutuklama emri ve beş iddianame hazırlandığı da belirtiliyor. Bu operasyonun en önemli sonuçlarından biri de, LockBit’in şifreleme anahtarlarının ele geçirilmesi ve mağdurlar için ücretsiz çözüm araçlarının geliştirilmesi oldu. Bu sayede birçok kurum, şifrelenen verilerine ücretsiz olarak yeniden erişim sağladı. Öte yandan bu grup için büyük bir itibar kaybıydı.

Grubun altyapısının büyük ölçüde dağıtılmış ve yedekli olması, hızlı bir şekilde yeniden organize olmalarını sağladı. Grup, kendi içinde yeniden yapılanmaya gittiğini ve LockBit 4.0 adlı yeni bir fidye yazılımı sürümüyle geri dönmeyi planladıkları hakkında Dark Web'de paylaşımlarda bulundu. Grup her ne kadar geri dönmüş olsa da hem operasyonel hem de itibar anlamında büyük kayıplar yaşadılar ve rakip gruplar pazarda daha aktif hale geldi.

29 Nisan 2025 tarihinde, LockBit büyük bir siber saldırıya maruz kaldı. Bu saldırıda, LockBit’in dark web üzerindeki yönetim paneli ele geçirildi ve grubun iç operasyonlarına dair çok sayıda hassas veri sızdırıldı. Saldırganlar, LockBit’in affiliate paneline erişerek, grubun işleyişi, kurbanlarla yapılan pazarlıklar ve affiliate ağının detayları gibi kritik bilgilere ulaştı.

Saldırının ardından, LockBit’in affiliate panelinin ana sayfası değiştirilerek, “Don’t do crime. CRIME IS BAD xoxo from Prague.” şeklinde bir mesaj bırakıldı. Bu mesajın yanı sıra, ele geçirilen MySQL veritabanının bir dökümü de yayınlandı. Bu döküm, 59975 Bitcoin cüzdan adresi, 19 Aralık 2024 - 28 Nisan 2025 arasında gerçekleşmiş 4.442 fidye pazarlık mesajı, 76 affiliate kullanıcısının bilgileri ve LockBit’in saldırı operasyonlarına dair teknik detaylar gibi önemli verileri içeriyordu.

Sızdırılan veriler, siber güvenlik araştırmacıları için LockBit’in işleyişi, affiliate yapısı ve fidye pazarlık süreçleri hakkında eşsiz bir bakış açısı sunuyor. Özellikle, LockBit’in hangi coğrafi bölgelerde daha aktif olduğu, hangi affiliate’lerin hangi kurbanlara saldırdığı ve pazarlık süreçlerinde nasıl bir yol izlediği gibi detaylar ortaya çıktı. Ayrıca, kullanıcı adları ve şifrelerin düz metin (plaintext) olarak tutulduğu da tespit edildi, bu da LockBit’in güvenlik uygulamalarındaki zayıflıkları gözler önüne serdi.

LockBit’in lideri olarak bilinen LockBitSupp, saldırıyı doğruladı fakat şifreleme anahtarları veya fidye yazılımı kaynak kodunun ele geçirilmediğini iddia etti. Bu saldırı , Operation Cronos sonrası toparlanmaya çalıştığı bir dönemde geldi ve grubun siber suç dünyasındaki itibarına ve güvenilirliğine daha da büyük bir darbe indirdi.

1 / 30

Kategoriler

Kategoriler
Kategoriler