Fidye Yazılımı Saldırı Zinciri
Modern fidye yazılımı saldırıları, dosyaları şifrelemeye başlamadan önce uzun bir hazırlık süreci geçirir. Bu süreçte saldırgan: sisteme ilk erişimi sağlar (phishing, RDP brute force), ağda keşif yapar, yetki yükseltir, yanal hareketle yayılır ve son olarak şifreleme başlatır. ACKLOG, bu zincirin her halkasını tespit eder.
Erken Uyarı Göstergeleri
Shadow Copy Silme: Saldırganlar, yedeklerden geri dönüşü engellemek için ilk olarak VSS (Volume Shadow Copy) yedeklerini siler. "vssadmin delete shadows /all /quiet" komutu çalıştırıldığında ACKLOG kritik alarm üretir.
Toplu Dosya Değişikliği: Kısa sürede yüzlerce dosyanın uzantısının değişmesi (.locked, .encrypted vb.) şifreleme başladığına işaret eder.
ACKLOG Ransomware Korelasyonu
ACKLOG şu olayların kombinasyonunu izler: Şüpheli RDP girişi (dış IP) → Recon komutu (nltest, net group) → Shadow copy silme → Toplu dosya erişimi. Bu zincirdeki herhangi iki olay birlikte gerçekleştiğinde ransomware ön uyarısı üretilir.