The Gentlemen Grubu Yeni Tehditlerle Büyüyor

Siber güvenlik kuruluşu Kaspersky'nin Küresel Araştırma ve Analiz Ekibi (GReAT) tarafından yapılan son incelemeler, hızla yayılan fidye yazılımı grubu The Gentlemen'ın saldırı stratejilerini daha sofistike araçlarla güçlendirdiğini gözler önüne serdi. Araştırma, grubun fidye yazılımını devreye sokmadan önce hedef sistemlerde bilgi toplamak ve kontrol sağlamak amacıyla özel tasarlanmış bir arka kapı (backdoor) ile yeni bir fidye yazılımı yürütülebilir dosyası kullandığını ortaya koydu.

Küresel Hedefler ve Gelişmiş Taktikler

The Gentlemen, dünya genelinde üretimden IT hizmetlerine, sağlıktan finansa, inşaattan lojistiğe kadar geniş bir yelpazede birçok sektörü hedef alıyor. Kaspersky'nin fidye yazılımı eğilimlerine ilişkin son raporu, 2025 yılında Latin Amerika'nın %8,13 ile fidye yazılımı saldırılarından en çok etkilenen bölge olduğunu gösteriyor. Bu bölgeyi sırasıyla Asya-Pasifik (%7,89), Afrika (%7,62), Orta Doğu (%7,27), Bağımsız Devletler Topluluğu (%5,91) ve Avrupa (%3,82) takip ediyor. İlk olarak 2025 ortalarında ortaya çıktığı düşünülen The Gentlemen, Fidye Yazılımı Hizmeti (RaaS) olarak hızla öne çıkıyor. Grup ve ona bağlı operatörler, genellikle internete açık servislerdeki güvenlik açıklarını veya ele geçirilmiş kimlik bilgilerini kullanarak hedef sistemlere ilk erişimi sağlıyor. Saldırganların, değerli fikri mülkiyete sahip kuruluşlara kolayca sızmak için İlk Erişim Aracıları (IAB) ile işbirliği yapma arayışında olabileceği belirtiliyor. Kaspersky araştırmacıları, grubun normalde kullanmadığı tekniklerle bazı kurban sistemlerine, fidye yazılımı bulaşmadan çok önce erişildiğini saptadı. Bu durum, ilk erişimin doğrudan The Gentlemen tarafından değil, büyük olasılıkla bir IAB gibi başka bir tehdit aktörü tarafından gerçekleştirildiğini düşündürüyor.

Çoğu RaaS grubundan farklı olarak The Gentlemen, özel geliştirilmiş araçları ve esnek sızma yöntemleriyle dikkat çekici derecede gelişmiş teknik yeteneklere sahip. Kaspersky uzmanları, saldırganların fidye yazılımını çalıştırmadan bir gün önce hedef sistemlere, Go programlama diliyle geliştirilen ve daha önce bilinmeyen özel bir arka kapı yerleştirdiğini belirledi. Bu zararlı yazılım, sistem ve ağ bilgilerini topluyor, tespit edilmemek için konsol penceresini gizliyor ve saldırganlarla çift yönlü iletişim kurma, sunucu tarafından iletilen komutları çalıştırma ve keşif faaliyetleri yürütme gibi gelişmiş yetenekler sunuyor. Bu sayede saldırganlar, ele geçirdikleri ortamdaki faaliyetlerini genişletebiliyor ve duruma göre adapte edebiliyor. Kaspersky ayrıca, az sayıda kurumsal hedefi etkileyen ve C diliyle yazılmış yeni bir fidye yazılımı varyantı daha keşfetti. The Gentlemen bugüne kadar ağırlıklı olarak farklı platformlarda çalışabilen Go tabanlı bir fidye yazılımı kullanırken, bu yeni C tabanlı varyantın doğrudan Windows odaklı olması, grubun teknik araç setini genişletirken yeni zararlı yazılımını gerçek mağdur ortamlarında test ettiğine işaret ediyor. Dikkat çekici bir diğer nokta ise, saldırganların eylemleri sırasında Kaspersky güvenlik çözümlerini sistemden kaldırmak amacıyla resmi kaldırma aracı olan "kavrmvr.exe"yi kullanmaya çalışması oldu. Ancak Kaspersky çözümü aktif kalarak saldırganların bu girişimini engelledi ve süreci zararlı faaliyet olarak işaretledi.

Siber Güvenlik Uzmanından Uyarılar ve Öneriler

Kaspersky GReAT Kıdemli Güvenlik Uzmanı Fatih Şensoy, The Gentlemen grubunun siber suç dünyasında hızla itibar kazandığını ve yeni iş ortakları çekerek geniş yankı uyandıran saldırılar düzenlediğini belirtti. Şensoy, "C tabanlı yeni fidye yazılımı varyantlarının test edilmesi, grubun teknik kabiliyetlerini aktif olarak geliştirdiğini gösteriyor. Bu durum, yakın gelecekte daha istikrarlı ve ölçeklenebilir saldırı zincirleriyle karşılaşabileceğimiz anlamına geliyor. Kuruluşların, fidye yazılımı faaliyetlerinde artış yaşanabileceğini göz önünde bulundurarak zafiyet yönetimi ve sistem sıkılaştırma süreçlerine öncelik vermesi, güvenlik ihlali riskinin azaltılmasına katkı sağlayacaktır" ifadelerini kullandı. Kaspersky, şirketleri fidye yazılımı tehditlerine karşı korunmaları için şu önlemleri almaya çağırıyor: Tüm cihazlardaki yazılımları güncel tutmak, ağ içi yatay hareketleri ve veri sızdırmayı tespit etmeye odaklanmak, dışarı giden trafiğe özel dikkat göstermek, ağdan izole yedekleme sistemleri kurmak ve Kaspersky Next gibi gelişmiş tehdit keşfi, analizi ve müdahale imkanı sunan anti-APT ve EDR çözümlerini kullanmak hayati önem taşıyor. Ayrıca, Siber Güvenlik Operasyon Merkezleri (SOC) ekiplerine en güncel tehdit istihbaratını sağlamak ve profesyonel eğitimlerle yetkinliklerini düzenli olarak artırmak da öneriler arasında yer alıyor.