🔥 Ransomware 2025 - Saldırı Senaryoları

Senaryo 1 (PowerShell AES CBC Şifreleme)

Saldırgan, PowerShell script’i aracılığı ile kullanıcının profil dizinindeki .txt ve .png uzantılı dosyaları AES CBC algoritmasıyla şifrelemekte ve dosya isimlerini .dust uzantısı ekleyerek değiştirmektedir. Fidye notu masaüstüne bırakılmış ve kullanıcıya ödeme talebinde bulunulmuştur.

Senaryo 2 (PowerShell + UI Manipülasyonu)

Saldırgan, PowerShell aracılığıyla kullanıcı masaüstündeki .txt, .docx ve .pdf dosyalarını Notepad uygulaması üzerinden açmakta, içeriğini WScript Shell ile silmekte ve belgeyi boş şekilde kaydetmekte, ardından masaüstünü siyah bir pencere ile kapatarak kullanıcıya ekran manipülasyonu uygulamaktadır.

Senaryo 3 (Batch + PowerShell XOR Şifreleme)

Saldırgan, Windows Batch script’i aracılığıyla masaüstündeki .txt ve .pdf dosyalarını listelemekte ve her dosyayı PowerShell üzerinden 0xAA sabit XOR anahtarı kullanarak şifrelemekte ve bu işlemi komut satırında otomatik şekilde yürütmektedir.

Senaryo 4 (C - Kernel Troll + Ransomware)

Saldırgan, C dilinde geliştirdiği yük aracılığıyla ilk aşamada kernel API çağrılarını kullanarak sistem saatini manipüle etmekte, Event Tracing for Windows (ETW) logging mekanizmasını bypass etmek için EtwEventWrite fonksiyonunu patch’lemekte, ardından RAM ve disk dolumu gerçekleştirerek sistemi yavaşlatmakta ve son aşamada masaüstündeki .txt dosyalarını XOR algoritmasıyla şifrelemekte ve fidye notu bırakmaktadır.

Bu saldırı çok kapsamlı ve hem davranışsal hem de performans bazlı tespitleri atlatmaya yönelik ciddi bir “trolling” içeriyor.

Senaryo 5 (PowerShell + C# AES + DNS Tünelleme)

Saldırgan, PowerShell aracılığıyla disk üzerindeki dosya yollarını toplamakta ve .NET Assembly (C#) compile ederek AES CBC algoritmasıyla .txt ve .png dosyalarını şifrelemekte, aynı zamanda UDP 53 portunu kullanarak DNS query’leri üzerinden C2 iletişimi kurmakta ve şifreleme tetik komutlarını bu tünel üzerinden almaktadır. Ayrıca EDR altyapılarına karşı hosts dosyasında domain engelleme girişimi yapılmaktadır.

Bu senaryo fileless (PowerShell + C# assembly) ve network tünelleme içerdiği için ileri seviye AV tespitlerini zorlayabilir.

Senaryo 6 (C - Windows API XOR Şifreleme + MessageBox)

Saldırgan, C dilinde geliştirdiği yük aracılığıyla Windows API fonksiyonlarını kullanarak masaüstündeki .txt ve .pdf dosyalarını XOR algoritmasıyla şifrelemekte, dosya boyutlarını ve erişimlerini doğrudan WinAPI çağrılarıyla kontrol etmekte ve sonunda kullanıcıya MessageBox aracılığıyla fidye talebinde bulunmaktadır.

🧪 AntiVirüs Test Sonuçları

AntiVirüs Senaryo 1 Senaryo 2 Senaryo 3 Senaryo 4 Senaryo 5 Senaryo 6 Genel Değerlendirme
Kaspersky (KS) ❌ ❌ ❌ ✅ ❌ ❌ 1/6 (Sadece kernel patch yakaladı)
BitDefender (BT) ❌ ⚠️ * ❌ ✅ ❌ ❌ 2/6 (Biri gecikmeli algılama)
Malwarebytes (MB) ❌ ❌ ❌ ❌ ❌ ❌ 0/6 — Tümünü kaçırdı
Windows Defender (DF) ❌ ❌ ❌ ❌ ❌ ❌ 0/6 — Sıfır algılama

🌐 VirusTotal Tespit Oranları

📌 Genel Değerlendirme

Bu rapor, günümüz antivirüslerinin özellikle ileri düzey, kernel seviyesi ve fileless saldırılara karşı ciddi açıkları olduğunu gösteriyor. Script kiddie seviyesindeki basit saldırılarda bile çoğu AV zorluk yaşıyor, güçlü saldırganlara karşı ise etkisiz kalıyor.