Cl0p Nedir?
Cl0p, ilk olarak 2020 yılında gözlemlenen bir Fidye Yazılımı (Ransomware)'dır. Temel amacı dosya sistemini şifreleyerek fidye talep etme olan bu zararlı yazılım, Windows ortamlarını hedef almaktadır. C++ programlama dili ile geliştirilmiş olup C2 iletişiminde TCP protokolünü kullanmaktadır.
Cl0p, Fidye Yazılımı (Ransomware) kategorisinde aktif olan ve dünya genelinde yaygın biçimde gözlemlenen bir zararlı yazılım ailesidir. Bu örnek, kurban sistemindeki dosyaları şifreleyerek erişimi engelleyen ve şifre çözme anahtarı karşılığında fidye talep eden bir fidye yazılımı olarak analiz edilmiştir. Güçlü asimetrik şifreleme algoritmalarını kullanan bu tehdit aktörü, şifreleme sonrasında Tor
Atıf / Tehdit Aktörü: NULL
Teknik Detay: Ransomware ailesi: AES/RSA hibrid sifreleme, dosya uzantisi degistirme, shadow copy silme, C2 ile anahtar alis-verisi, fidye notu birakma, kullanici belgelerine odaklanma
Nasıl Bulaşır?
- Kimlik Avı E-postaları: Sahte fatura, kargo bildirimi veya iş teklifleri içeren kötü amaçlı ekler
- Crack / Keygen: Lisanssız yazılım arayan kullanıcılara yönelik truva atı yükleniciler
- Drive-By İndirme: Zafiyetli tarayıcı eklentileri üzerinden otomatik yükleme
- Sosyal Mühendislik: Discord, Telegram, YouTube yorumları üzerinden paylaşılan bağlantılar
- USB/Harici Medya: Enfekte çıkarılabilir sürücüler aracılığıyla yayılma
Enfeksiyon Belirtileri
- Sistem performansında ani ve açıklanamayan düşüş
- Antivirüs yazılımının kendiliğinden kapanması veya güncelleme yapamaması
- Görev Yöneticisi'nde tanımadığınız yüksek CPU/RAM kullanan süreçler
- Ağ trafiğinde açıklanamayan artışlar, bilinmeyen giden bağlantılar
- 파일larınızın şifreli hale gelmesi ve fidye notu oluşması
파일 Hash 값leri (Antivirüs Tespiti İçin)
Gerçek Cl0p örneklerinden alınan hash değerleri. Antivirüs veya EDR çözümünüzde bu imzaları kontrol edin:
| Hash 값i | 유형 | Not |
|---|---|---|
| 3320f11728458d01eef62e10e48897ec1c2277c1fe1aa2d471a16b4dccfc1207 | SHA256 | NULL |
| d21908dc0c08da389aa9e4829aa934ab7f250fece1430ed5a644e0590d8876f7 | SHA256 | NULL |
| f55e4553ed04f085bc5b93cf7e5386c3d938abcb13a95ef1d2c3f8b21c454db8 | SHA256 | NULL |
| e805dd0124b9f062f6b5bc9de627eabc601b9d6e8ffe1d90ee552a1ece598a89 | SHA256 | NULL |
| ae355c321f1fe36c9539457301a3cf5d8babc58c72a3f6a5ef160253b4002b1a | SHA256 | NULL |
| 8752a7a052ba75239b86b0da1d483dd7 | MD5 | NULL |
| 9246b822f94eb24b49bac245153c7fdb | MD5 | NULL |
| 165c7812f74a8918378e8ea964135582 | MD5 | NULL |
| 9609f431724b58e4830caa8edbe80762 | MD5 | NULL |
| a8cc764e7c7a62a0fc26bbe3df31daa6 | MD5 | NULL |
Adım Adım Kaldırma Rehberi
Adım 1 — İnternet Bağlantısını Hemen Kesin
C2 sunucusuyla iletişimi durdurmak için ağ bağlantısını anında kesin. Ethernet kablosunu çekin veya Wi-Fi'yi fiziksel olarak devre dışı bırakın. Bu adım veri sızdırılmasını ve ek yük indirilmesini önler.
Adım 2 — 신뢰도li Modda Başlatın
Windows'u Ağ Destekli 신뢰도li Mod'da başlatın:
- Win + R →
msconfig→ Önyükleme sekmesi → "신뢰도li önyükleme" → "Ağ" → Tamam → Yeniden Başlat - Veya başlangıçta F8 (eski Windows sürümleri)
Adım 3 — Cl0p Sürecini Sonlandırın
Görev Yöneticisi'ni (Ctrl+Shift+Esc) açın ve şüpheli görünen süreçleri sonlandırın. RKill aracı bilinen zararlı süreçleri otomatik olarak sonlandırır ve tarama öncesinde çalıştırılması önerilir.
Adım 4 — Antivirüs ile Tam Sistem Taraması
Aşağıdaki araçlarla tam sistem taraması yapın (birden fazla araç kullanmak tespit oranını artırır):
- Malwarebytes Anti-Malware
- Emsisoft Emergency Kit
- Windows Defender Çevrimdışı Tarama
Adım 5 — Tarayıcıları Sıfırlayın
Tüm tarayıcıları fabrika ayarlarına sıfırlayın ve kaydedilmiş tüm şifreleri temizleyin:
- Chrome: Ayarlar → Gelişmiş → Ayarları sıfırla
- Firefox: Yardım → Sorun Giderme Bilgisi → Firefox'u Yenile
- Edge: Ayarlar → Ayarları Sıfırla
Şifrelenmiş 파일ların Kurtarılması
Fidye Ödemeyin
Fidye ödemek dosyaların iade edileceğini garanti etmez ve suç örgütlerini finanse eder.
- No More Ransom Projesi — ücretsiz şifre çözücüler veritabanı
- VSS Kontrolü:
vssadmin list shadows→ önceki sürümleri geri yükleyin - Yedekten Geri Yükleme: Etkilenmemiş yedekten sistemi kurtarın
- Kurtarma şu an mümkün değilse verileri saklayın — ilerleyen dönemde şifre çözücü yayınlanabilir
Yeniden Enfeksiyonu Önleme
- İşletim sistemi ve tüm uygulamaları düzenli güncelleyin — yama yönetimi kritiktir
- 신뢰도ilmeyen kaynaklardan kesinlikle dosya indirmeyin; crack/keygen kullanmayın
- E-posta eklerini ve bağlantılarını dikkatle inceleyin; şüpheli olanları açmayın
- Tüm hesaplarda güçlü, benzersiz şifre + 2FA kullanın
- Düzenli yedekleme yapın (3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 uzak konum)
- Kurumsal ağda EDR, SIEM, ağ segmentasyonu ve tehdit istihbaratı entegrasyonu sağlayın
- Windows SmartScreen, UAC ve Windows Defender'ı etkin tutun
Profesyonel Olay Müdahalesi: Kurumsal ortamda saldırı araştırması, adli analiz veya temizleme desteği için KEYDAL güvenlik ekibiyle iletişime geçin.
Cl0p — 악성코드 프로필
Cl0p, 2023 MOVEit saldırısıyla tanındı.
기술 세부 정보
Ransomware ailesi: AES/RSA hibrid sifreleme, dosya uzantisi degistirme, shadow copy silme, C2 ile anahtar alis-verisi, fidye notu birakma, kullanici belgelerine odaklanma
기능 및 동작
C2 서버 (이 패밀리에 대해 2개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| 154.53.38.164 | ip | 443 | HTTPS | active | RU |
| 167.235.25.166 | ip | 443 | HTTPS | inactive | DE |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.