ZoriaNews

Ne oldu?

Siber güvenlik araştırmacıları, **Prinz Eugen** adlı yeni bir ransomware ailesini tespit etti. Bu kötü amaçlı yazılım, hedef sistemdeki dosyaları şifrelerken en son değiştirilen dosyalara öncelik veriyor; aynı tarih ve saate sahip dosyalar ise alfabetik sırayla işleniyor. Go programlama diliyle yazılan Prinz Eugen, geçtiği her dizini derinlik sınırı olmadan tarıyor ve `.prinzeugen` uzantılı dosyalar dışındaki neredeyse tüm içeriği şifreliyor. Şaşırtıcı bir şekilde, klasik ransomware'lerin aksine şifrelenmiş dosyaların yanına bir fidye notu bırakmıyor ve masaüstü duvar kağıdını da değiştirmiyor.

Neden önemli?

Prinz Eugen'in en son değiştirilen dosyaları önce hedeflemesi, saldırının etkisini maksimize eden bilinçli bir taktik. Aktif olarak kullanılan, henüz yedeklenmemiş ve iş sürekliliği açısından kritik olan dökümanlar, veritabanları, e-posta arşivleri ve proje dosyaları ilk önce erişilemez hale geliyor. Bu durum, kurban üzerindeki psikolojik ve operasyonel baskıyı artırarak fidye ödemesini hızlandırmayı amaçlıyor. Ayrıca fidye notunun olmaması, organize ransomware gruplarının son dönemde tercih ettiği "out-of-band" iletişim modeline işaret ediyor; yani saldırganlar doğrudan e-posta, telefon veya karanlık ağdaki bir fidye portalı üzerinden temas kuruyor. Teknik olarak malware, **ChaCha20-Poly1305** şifrelemesi, 32 baytlık ana anahtar, dosya başına rastgele başlatma vektörü, **Argon2id**, **SHA-256** ve **HKDF-SHA256** tabanlı anahtar türetme kullanıyor. Şifreleme 1 MB'lık parçalar halinde yapılıyor ve SHA-256 ile bütünlük kontrolü sağlanıyor. `--delete` bayrağı aktifse orijinal dosya, yalnızca şifreli kopyanın geri çözülebildiği doğrulandıktan sonra siliniyor. Anahtar bellekten sıfırlarla üzerine yazılıp çöp toplama ile temizleniyor ve malware kendini diskten siliyor; bu da adli kurtarma ve analizi zorlaştırıyor.

Kim veya ne etkileniyor?

Prinz Eugen özellikle **Windows tabanlı kurumsal sistemleri** ve çalışma istasyonlarını hedefleyen bir tehdit. Finans kurumları, hukuk büroları, üretim şirketleri, sağlık sektörü ve benzeri kritik veriye dayalı sektörlerdeki kuruluşlar risk altında. Şifrelenen dosyalar arasında `.prinzeugen` uzantısı dışında kalan hemen her dosya türü bulunabilir; özel dışlama listesi tanımlanmadan çalışan örneklerde geçici `.tmp` dosyaları hariç neredeyse her şey hedef alınıyor. Fidye notunun bulunmaması nedeniyle kurbanlar, şifrelenmiş dosyaları fark ettiğinde bile ilk anda neyle karşı karşıya olduklarını anlayamayabiliyor; bu da müdahale süresini uzatabiliyor.

Ne yapılmalı?

Kurumların öncelikle dosya sunucuları, NAS cihazları ve istemci bilgisayarlar için düzenli, test edilmiş, hava aralıklı (air-gapped) yedeklemeler oluşturması gerekiyor. Enfeksiyon sonrası kurtarma planı, yedekleri hızla ve güvenilir şekilde geri yüklemeyi içermeli. Endpoint koruma, davranışsal tespit ve ağ segmentasyonu gibi katmanlı güvenlik önlemleri hayati önem taşıyor. Ayrıca 3-2-1 yedekleme stratejisi, kimlik avı farkındalık eğitimi, ayrıcalıklı hesapların kısıtlanması ve kritik sistemler için acil durum yalıtım prosedürleri uygulanmalı. Şifrelenmiş verilerin tamamen kurtarılabilirliği henüz doğrulanmadığı için, fidye ödeme yerine profesyonel olay müdahale ekipleriyle çalışılması ve yasal mercilerle iletişime geçilmesi öneriliyor.

---

**Dış Kaynaklar:**
- BleepingComputer – New Prinz Eugen ransomware prioritizes recent files for encryption
- ThreatDown – Prinz Eugen ransomware: a deep dive into a new Go-based encryptor
- Malware News – Prinz Eugen ransomware analysis