⚖️ Bilirkişi Topluluk Forumu: Resmi mevzuat, kurul kararları ve uzmanlık alanı paylaşımları başlamıştır. 🚀 HTS Analizi Paneli: Otomatik baz istasyonu haritalama ve raporlama sistemi aktif.

🛡️ Vaka Analizi: LockBit Ransomware Saldırısının Kök Neden Analizi, Bellek (Memory) Forensics ve Saldırı Zinciri

Yönetici

🛡️ Vaka Analizi: LockBit / BlackCat Ransomware Saldırısının Kök Neden Analizi, Bellek Forensics ve Adli Raporlama

DFIR & Adli Bilişim Vaka İncelemesi: Bir kurumsal ağa yönelik gelişmiş fidye yazılımı (Ransomware) saldırısının MITRE ATT&CK çerçevesinde adli rekonstrüksiyonu, Volatility 3 ile bellek dökümü (RAM) analizi, Event Log artefaktları ve bilirkişi teknik tespit raporu.

┌────────────────────────────────────────────────────────────────────────┐
│               RANSOMWARE SALDIRI ZİNCİRİ (ATTACK LIFECYCLE)            │
│                       (MITRE ATT&CK Framework)                         │
└───────────────────────────────────┬────────────────────────────────────┘
                                    │
                       [ 1. İLK ERİŞİM (INITIAL ACCESS) ]
               • Zafiyetli SSL-VPN (CVE-2023-XXXX) veya RDP Brute-Force
               • Dış Dünyadan Sızma ve Yerel Kullanıcı Oturumu (T1133)
                                    │
                                    ▼
                      [ 2. YETKİ YÜKSELTME & KALICILIK ]
               • Mimikatz / LSASS Bellek Dökümü (T1003.001)
               • Zamanlanmış Görev (Schtasks) ve Servis Kurulumu (T1053)
                                    │
                                    ▼
                      [ 3. SAVUNMA ATLATMA (DEFENSE EVASION) ]
               • vssadmin delete shadows /all /quiet (Gölge Kopya İmhası)
               • Windows Defender ve EDR Servislerinin Durdurulması
                                    │
                                    ▼
                      [ 4. YANAL İLERLEME (LATERAL MOVEMENT) ]
               • WMI ve PsExec İle Domain Controller (DC)'a Sıçrama (T1021)
               • Domain Admin Yetkileriyle Ağ Genelinde Dağıtım
                                    │
                                    ▼
                      [ 5. VERİ SIZDIRMA (EXFILTRATION) ]
               • Rclone / MegaSync İle Veritabanlarının C2'ye Aktarımı (T1567)
                                    │
                                    ▼
                      [ 6. ŞİFRELEME VE ETKİ (IMPACT) ]
               • AES-256 + RSA-4096 Hibrit Şifreleme (T1486)
               • README.txt Fidye Notu Bırakılması

🏢 1. Vaka Senaryosu ve Olay Yeri Durumu

Mağdur Kurum: 450 kullanıcılı bir finans/lojistik firması.
Olayın Ortaya Çıkışı: Pazartesi sabahı tüm sanal sunucuların (VMware ESXi ve Windows Server 2022) kilitlendiği, dosyaların uzantısının .lockbit / .enc olarak değiştiği ve masaüstlerinde fidye notu bırakıldığı bildirilmiştir.
Adli Müdahale Kararı: Adli bilişim uzmanları sunucuların fişini çekmemiş; çalışan makinelerden derhal Uçucu Bellek (RAM) Dökümleri (Memory Dump) alınmış ve ağ kabloları çekilerek sistemler izole edilmiştir.

🔬 2. Volatility 3 ile Bellek (Memory) Forensics İncelemesi

Kalıcı disklerdeki loglar saldırganlarca temizlenmiş olsa dahi, uçucu bellekte (RAM) çalışan süreçler ve injected kodlar gizlenemez:

A) Gizlenen Süreçlerin Tespiti (`windows.pslist` vs `windows.psscan`):

python3 vol.py -f memory.raw windows.pslist
python3 vol.py -f memory.raw windows.psscan

Adli Tespit: pslist çıktısında görünmeyen fakat psscan çıktısında tespit edilen PID: 4812 (svchost.exe) sürecinin, explorer.exe altından başlatıldığı ve ana işlem ağacından (Process Tree) bağlantısının koparıldığı (Unlinked Process) tespit edilmiştir.

B) Bellek Enjeksiyonu ve Hollow Process Tespiti (`windows.malfind`):

python3 vol.py -f memory.raw windows.malfind --pid 4812

Bulgu: PID: 4812 sürecinin bellek alanında PAGE_EXECUTE_READWRITE (RWX) yetkisinde bir bellek bloğu bulunmuş; bloğun ilk baytlarında 4D 5A (MZ) sihirli baytları (Magic Bytes - Taşınabilir Yürütülebilir Dosya Header) tespit edilmiştir. Bu durum, meşru bir Windows sistem sürecinin içerisine zararlı shellcode enjekte edildiğini (Process Hollowing - T1055.012) kanıtlamaktadır.

C) Aktif C2 Ağ Bağlantısının Tespiti (`windows.netscan`):

python3 vol.py -f memory.raw windows.netscan

PID: 4812 sürecinin 185.220.101.5:443 harici IP adresine şifreli TLS soket bağlantısı kurduğu ve komut beklediği (C2 Beaconing) ortaya çıkarılmıştır.

📂 3. Disk ve Olay Günlüğü (Windows Event Log) Artefaktları

Adli kopyası (E01) alınan Domain Controller diski üzerinde yapılan incelemede şu kritik kayıtlar bulunmuştur:

⚖️ 4. Bilirkişi Raporundaki İlliyet Bağı ve Sonuç

Adli bilişim bilirkişisi, 6754 sayılı Kanun m. 3/2'ye uygun olarak raporun sonuç bölümünü şu şekilde tanzim etmelidir:

SONUÇ VE TEKNİK KANAAT:
Yapılan bellek ve adli disk imajı incelemeleri neticesinde:
1. Kurum ağına ilk girişin 14.10.2026 saat 02:14'te zafiyetli VPN ağ geçidi üzerinden
   "admin_backup" kullanıcı kimliği kullanılarak sağlandığı,
2. "PID: 4812" nolu sürece bellek içi zararlı kod enjeksiyonu (Process Injection)
   yapılarak 185.220.101.5 IP adresli C2 sunucusu ile veri iletişimi kurulduğu,
3. Saat 03:45'te PowerShell üzerinden sistem gölge kopyalarının silinmesini müteakip
   şifreleme modülünün çalıştırıldığı teknik olarak tespit edilmiştir.
İşbu tespitler objektif dijital artefakt loglarına dayalı olarak mahkemenin takdirine arz olunur.

📚 5. Kaynakça

NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide.
SANS Institute FOR508: Advanced Incident Response, Threat Hunting, and Digital Forensics.
MITRE ATT&CK Framework: Enterprise Matrix (v14.1).
CISA & FBI Joint Cybersecurity Advisory: #StopRansomware Guide.

Harici Bağlantı Uyarısı