JanaWare: Türkiye’yi Hedef Alan Sessiz Fidye Yazılımı

Bir sabah Outlook’unuzu açıyorsunuz, tanıdık görünen bir e-posta var — belge paylaşımı, fatura, kargo bildirimi… İçindeki linke tıklıyorsunuz, bir Google Drive sayfası açılıyor, bir dosya iniyor. Birkaç dakika sonra masaüstünüzdeki her şey erişilemez hale geliyor. İşte JanaWare‘in tipik bir kurbanının hikayesi tam olarak böyle başlıyor.

JanaWare Nedir?

JanaWare, güvenlik araştırma firması Acronis’in Tehdit Araştırma Birimi (TRU) tarafından ortaya çıkarılan, özellikle Türkiye’deki bireysel kullanıcıları ve küçük-orta ölçekli işletmeleri hedef alan bir fidye yazılımı ailesi. Büyük fidye yazılımı gruplarının aksine milyon dolarlık kurumsal hedefler yerine, kişi başına 200-400 dolar gibi görece düşük fidye talep ederek hacim üzerinden kazanç modeli izliyor. Araştırmacılara göre kampanya en az 2020’den beri aktif, ama yerel ve düşük profilli hedefleme sayesinde uzun süre radarın altında kalmayı başarmış.

Nasıl Bulaşıyor?

Bulaşma zinciri klasik ama etkili bir kimlik avı (phishing) senaryosuyla başlıyor:

1. Kurban, Outlook üzerinden gelen bir kimlik avı e-postasını açıyor.
2. E-postadaki link, tarayıcıda bir Google Drive sayfasına yönlendiriyor.
3. Oradan zararlı bir Java arşiv (.jar) dosyası indiriliyor.
4. Dosya javaw.exe üzerinden çalıştırıldığında, Adwind RAT‘ın özelleştirilmiş bir sürümü sisteme yerleşiyor ve bu, fidye yazılımı modülünü indirip devreye sokuyor.

Burada dikkat çeken nokta, saldırının klasik bir “tıkla-indir-çalıştır” tuzağı olması: özel bir güvenlik açığından değil, kullanıcının bir dosyayı kendi elleriyle çalıştırmasından besleniyor.

Neden Bu Kadar Sinsi?

JanaWare’i ilginç kılan, teknik olarak son derece agresif olmasa da tespitten kaçmak için katman katman önlem içermesi:

• Coğrafi hedefleme (geofencing): Zararlı yazılım çalışmadan önce sistem dilini, bölge ayarlarını ve dış IP adresini kontrol ediyor; yalnızca Türkiye’ye ait göstergeler eşleşirse devreye giriyor. Bu da global güvenlik analiz sistemlerinin örneği yakalama ihtimalini düşürüyor.
• Çok katmanlı gizleme (obfuscation): Stringer ve Allatori gibi bilinen Java obfuscator’ları, özel class loader’larla birlikte kullanılarak statik analiz zorlaştırılıyor.
• Polimorfik davranış: “FilePumper” adı verilen bir bileşen, her bulaşmada JAR dosyasına rastgele veri ekleyerek benzersiz bir hash üretiyor. Böylece imza tabanlı antivirüs tespiti büyük ölçüde etkisiz kalıyor.

Şifreleme ve Verdiği Zarar

Kurbanın Türkiye’de olduğu doğrulandıktan sonra zararlı yazılım önce savunmayı devre dışı bırakıyor: Microsoft Defender ve güvenlik bildirimlerini kapatıyor, geri yükleme için kritik olan Gölge Kopyaları (Volume Shadow Copy) siliyor, Windows Update’i ve fidye yazılımı korumasını engelliyor. Ardından tüm sürücülerdeki dosyaları AES şifreleme ile kilitliyor. Komuta-kontrol (C2) sunucusuyla iletişim Tor ağı üzerinden yürütülüyor, bu da hem trafiğin izlenmesini hem de saldırganların konumunun tespitini zorlaştırıyor. Şifreleme tamamlandığında Türkçe yazılmış bir fidye notu bırakılıyor; saldırganlarla iletişim için qTox veya Tor tabanlı .onion adresleri öneriliyor.

Neden Ücretsiz Bir Çözümü Yok?

Bilinen birçok eski fidye yazılımı ailesi için (No More Ransom projesi gibi girişimler sayesinde) ücretsiz decryptor araçları mevcut — ama bunlar genelde saldırganın kodlama hatası yapması, anahtarların sızdırılması ya da kolluk kuvvetlerinin operasyonu çökertmesi sonucu ortaya çıkıyor. JanaWare için böyle bir açık henüz kamuya yansımadı; üç temel sebebi var:

1. Görece yeni ve az bilinen bir aile — geniş çaplı, kurumsal ölçekli saldırılar kadar dikkat çekmediği için güvenlik topluluğunun tersine mühendislik kaynağı sınırlı kalıyor.
2. Standart, iyi uygulanmış AES şifreleme kullanılıyor; kriptografik bir zayıflık ya da uygulama hatası rapor edilmedi.
3. Sürekli güncellenen obfuscation ve polimorfizm, her örneği biraz farklılaştırdığı için tek bir evrensel çözüm üretmeyi zorlaştırıyor.

Kısacası: dosyalarınız JanaWare tarafından şifrelendiyse, şu an için güvenilir, ücretsiz bir geri açma aracı yok. Bu da önlemi, iyileştirmeden çok daha değerli kılıyor.

Nasıl Korunuruz?

• Bilinmeyen e-postalardaki linklere ve eklere tıklamayın — özellikle “belge”, “fatura”, “kargo” temalı ve sizi bir bulut depolama linkine yönlendiren mesajlara karşı temkinli olun.
• JAR dosyalarını doğrudan çalıştırmayın. Kişisel bilgisayarlarda Java’ya olağan iş akışında ihtiyacınız yoksa, .jar uzantısının çift tıklamayla otomatik çalışmasını sistem ayarlarından kapatabilirsiniz.
• Düzenli, çevrimdışı/bulut yedek alın. JanaWare Gölge Kopyaları sildiği için, yerel yedekleme tek başına yeterli değil; harici disk veya bulut tabanlı, sürüm geçmişi tutan bir yedekleme şart.
• Uç nokta koruma yazılımınızı ve tanımlarını güncel tutun, Kurcalama Koruması (Tamper Protection) gibi özellikleri aktif bırakın ki zararlı yazılım korumayı sessizce kapatamasın.
• E-posta ağ geçidinde ek/URL taraması kullanan bir filtreleme çözümü, zararlı JAR dosyasının kutunuza ulaşmadan yakalanmasına yardımcı olur.
• Şüpheli PowerShell etkinliğini izleyin. JanaWare savunmayı kapatmak için PowerShell komutları kullanıyor; bir EDR/izleme aracı bu adımı erken yakalayabilir.
• Ekip içinde farkındalık eğitimi verin. Bu tarz kampanyaların en büyük zayıf noktası hâlâ insan faktörü — teknik önlemler kadar “bu linke tıklamadan önce bir kez daha düşün” alışkanlığı da işe yarıyor.

Sonuç

JanaWare, büyük manşetlere çıkan devasa fidye yazılımı operasyonları kadar gösterişli değil — ama tam da bu yüzden yıllardır sessizce varlığını sürdürebiliyor. Türkiye’ye özel hedefleme, düşük fidye talepleri ve katmanlı gizleme teknikleri bir araya geldiğinde ortaya, bireysel kullanıcı ve küçük işletmeler için gerçek bir risk çıkıyor. En güçlü savunma hattı hâlâ aynı: şüpheli bağlantılara tıklamamak, düzenli yedek almak ve sistemleri güncel tutmak.

---

Kaynaklar: Acronis Threat Research Unit, The Record, GBHackers, Cybersecurity News, SC Media