Siber güvenlik dünyası son günlerde yeni bir fidye yazılımıyla çalkalanıyor. HybridPetya adı verilen bu zararlı yazılım, bilgisayarların en önemli güvenlik özelliklerinden biri olan UEFI Secure Boot sistemini atlatabiliyor. Bu durum, fidye yazılımlarının ulaştığı yeni seviyeyi göstermesi açısından oldukça dikkat çekici.
UEFI Secure Boot, modern bilgisayarlarda işletim sisteminin güvenli bir şekilde açılmasını sağlayan bir mekanizma. Normalde bu özellik, yetkisiz uygulamaların veya zararlı yazılımların bilgisayarın açılış sürecine sızmasını engelliyor. Ancak HybridPetya, Microsoft tarafından imzalanmış bir güvenlik açığını kullanarak bu korumayı etkisiz hale getiriyor.
Petya ve NotPetya’nın İzinde Yeni Tehdit
HybridPetya, adını 2016 ve 2017 yıllarında dünyada büyük ses getiren Petya ve NotPetya saldırılarından alıyor. O dönem milyonlarca bilgisayarı etkileyen bu saldırılar, kullanıcıların verilerini şifrelemiş, sistem açılışını engellemiş ve herhangi bir geri dönüş şansı bırakmamıştı.
Yeni türev olan HybridPetya ise, bu eski saldırılardan hem görsel stilini hem de saldırı yöntemlerini almış durumda. Yine de sadece bir kopya değil, üzerine yeni teknikler eklenmiş daha gelişmiş bir sürüm.
En büyük farkı, EFI System Partition içine yerleşebilmesi ve buradan sistemi kontrol altına alabilmesi. Ayrıca CVE-2024-7344 kodlu güvenlik açığını kullanarak Secure Boot’u by-pass edebiliyor.
HybridPetya Nasıl Çalışıyor?
HybridPetya’nın saldırı süreci oldukça sistematik:
- İlk olarak bilgisayarın UEFI ve GPT bölümlendirme kullanıp kullanmadığını kontrol ediyor.
- Eğer uygunsa, EFI System Partition içine kötü amaçlı dosyalarını bırakıyor.
- Bu dosyalar arasında değiştirilmiş önyükleyici (bootloader), yapılandırma dosyaları, şifreleme anahtarı bilgileri ve saldırı ilerleme durumunu kaydeden dosyalar bulunuyor.
- Orijinal Windows önyükleyici de yedekleniyor. Bu sayede kurban fidyeyi öderse sistem tekrar çalışır hale getirilebiliyor.
Saldırının dikkat çeken yönlerinden biri de, kurbanın karşısına çıkan sahte hata ekranı. HybridPetya, sistemde mavi ekran (BSOD) oluşturuyor ve ardından bilgisayar yeniden başlatılıyor. İşte bu noktada zararlı bootkit devreye giriyor.
Tıpkı eski NotPetya saldırılarında olduğu gibi, bilgisayarda sahte bir CHKDSK (disk kontrolü) ekranı beliriyor. Ancak aslında bu sırada disk üzerindeki veriler Salsa20 algoritması ile şifreleniyor.
Şifreleme tamamlandığında kullanıcı bir kez daha yeniden başlatılıyor ve bu sefer karşısına fidye notu çıkıyor.
Fidye Notu ve Ödeme Talebi
HybridPetya, kurbandan 1.000 dolar değerinde Bitcoin talep ediyor.
Bu ödeme karşılığında, ekranda girilmesi gereken 32 karakterlik özel bir anahtar veriliyor. Kullanıcı bu anahtarı girdiğinde:
- Orijinal önyükleyici geri yükleniyor.
- Şifrelenmiş veriler çözülüyor.
- Bilgisayar yeniden başlatılarak eski haline dönüyor.
Bu, daha önceki Petya sürümlerine kıyasla “teorik” olarak bir çıkış yolu sunuyor. Ancak geçmişteki fidye yazılımı saldırılarında kullanıcıların ödemelerine rağmen dosyalarını geri alamadıkları çokça görüldü. Yani bu yöntemin güvenilirliği oldukça şüpheli.
Henüz Gerçek Saldırılarda Görülmedi
İyi haber şu ki, HybridPetya şu anda gerçek saldırılarda yaygın bir şekilde kullanılmıyor. ESET araştırmacıları bu zararlıyı VirusTotal üzerinde keşfetti. Bu da yazılımın ya bir araştırma projesi, ya da halen geliştirilme aşamasında olan bir siber suç aracı olduğunu düşündürüyor.
Ancak uzmanlara göre durum hafife alınmamalı. Daha önce BlackLotus, BootKitty ve Hyper-V Backdoor gibi örnekler, UEFI tabanlı saldırıların çok ciddi tehditler oluşturabileceğini göstermişti.
Kullanıcılar Ne Yapmalı?
Microsoft, HybridPetya’nın kullandığı CVE-2024-7344 güvenlik açığını 2025 Ocak ayındaki güvenlik güncellemesiyle kapattı. Yani Windows Update üzerinden güncellemelerini yapmış olan kullanıcılar korunmuş durumda.
Buna ek olarak uzmanlar şu önlemleri öneriyor:
- Her zaman en son güvenlik güncellemelerini yüklemek.
- Önemli verilerin çevrimdışı yedeklerini almak. (Bulut yedeklemeler tek başına yeterli olmayabilir.)
- Bilinmeyen dosya ve eklentileri açmamak.
- Güvenilir antivirüs ve güvenlik yazılımları kullanmak.
Sonuç
HybridPetya, fidye yazılımlarının geldiği noktayı göstermesi açısından oldukça kritik bir örnek. UEFI Secure Boot gibi güçlü bir güvenlik katmanını bile aşabilen bir zararlı yazılım, gelecekte karşılaşılabilecek saldırıların ne kadar sofistike olabileceğini ortaya koyuyor.
Henüz vahşi doğada (wild) görülmemiş olsa da, siber suçluların bu tip zararlıları geliştirmesi an meselesi. Bu nedenle kullanıcıların sistemlerini güncel tutmaları, bilinçli davranmaları ve mutlaka yedekleme alışkanlığı edinmeleri büyük önem taşıyor.
Ek olarak, bu tarz saldırılar yalnızca bireysel kullanıcılar için değil, kurumsal sistemler için de ciddi tehdit anlamına geliyor. Kritik altyapılar, finans kuruluşları ve devlet sistemleri bu tür gelişmiş fidye yazılımlarının hedefi olabilir. Özellikle çevrimdışı yedekleme, düzenli güvenlik güncellemeleri ve çalışanların siber farkındalık eğitimi bu noktada daha da değerli hale geliyor. Kısacası HybridPetya, yalnızca bir zararlı yazılım örneği değil, aynı zamanda geleceğin siber güvenlik savaşlarının habercisi niteliğinde.
