Siber suç dünyasında taktikler her geçen gün daha sofistike hale gelirken, fidye yazılımı operasyonları artık yalnızca açık sistemleri değil, kapalı ve uykuda olan cihazları da hedef alıyor. Aralık 2020'den bu yana aktif olan Everest fidye yazılımı grubu, saldırı yüzeyini en üst düzeye çıkarmak için Wake-on-LAN (WoL) adı verilen bir ağ teknolojisini kullanmaya başladı. Bu yöntem, kurban ağlarındaki kapalı bilgisayarları uzaktan uyandırarak şifreleme öncesinde tüm sistemleri erişilebilir hale getiriyor ve veri kurtarma şansını neredeyse sıfıra indiriyor. 2026 yılı itibarıyla bu taktik, özellikle hibrit çalışma modelini benimseyen ve ofis dışı saatlerde cihazlarını kapatan kurumlar için ciddi bir tehdit oluşturuyor.
Wake-on-LAN Nedir ve Nasıl Silahlandırılıyor?
Wake-on-LAN, bilgi teknolojileri dünyasında onlarca yıldır kullanılan, sistem yöneticilerinin ağ üzerinden kapalı veya uyku modundaki bilgisayarları uzaktan açmasına olanak tanıyan bir ağ standardıdır. Bu teknoloji, özellikle büyük kurumsal ağlarda gece saatlerinde bakım ve güncelleme yapmak için idealdir. Ancak Everest grubu, bu masum özelliği bir silaha dönüştürmüş durumda. Saldırganlar, ağa sızdıktan sonra WoL paketleri göndererek uyuyan tüm cihazları uyandırıyor ve ardından fidye yazılımını eş zamanlı olarak yayıyor.
Bu taktiğin en tehlikeli yanı, kurbanların 'kapalı cihazlar güvendedir' yanılgısına kapılmasına neden olmasıdır. Birçok kurum, mesai bitiminde bilgisayarlarını kapatarak verilerini koruduğunu düşünürken, Everest'in WoL tabanlı saldırısı bu güvenlik algısını tamamen yok ediyor. 2025 yılında yapılan bir araştırmaya göre, kurumsal ağlardaki cihazların yaklaşık %40'ı mesai dışı saatlerde kapalı veya uyku modunda kalıyor. 2026 yılında ise bu oran, enerji tasarrufu politikaları ve hibrit çalışma modelleri nedeniyle %55'e kadar yükselmiş durumda. Bu da Everest'in hedef yelpazesini önemli ölçüde genişletiyor.
WoL Saldırılarının Teknik Altyapısı
Wake-on-LAN saldırısı, teknik olarak 'magic packet' adı verilen özel bir ağ paketinin hedef cihazın MAC adresine gönderilmesiyle gerçekleşiyor. Everest operatörleri, ağa sızdıktan sonra keşif aşamasında tüm cihazların MAC adreslerini topluyor ve bir komuta-kontrol sunucusu üzerinden bu paketleri dağıtıyor. Bu süreç, saniyeler içinde yüzlerce cihazı aktif hale getirebiliyor. Güvenlik duvarları ve ağ izleme araçları genellikle WoL trafiğini meşru yönetim trafiği olarak gördüğü için saldırıyı tespit etmek oldukça güçleşiyor.
Everest Grubunun Saldırı Zinciri ve Hedef Profili
Everest fidye yazılımı operasyonu, 2020'nin sonlarından bu yana özellikle sağlık, finans ve kritik altyapı sektörlerini hedef alıyor. Grup, çifte şantaj modeliyle çalışıyor; yani hem verileri şifreliyor hem de sızdırdığı hassas bilgileri yayınlamakla tehdit ediyor. Wake-on-LAN taktiğinin eklenmesiyle birlikte Everest'in saldırı zinciri şu aşamalardan oluşuyor: ağa sızma, yatay hareketle yetki yükseltme, MAC adreslerini toplama, WoL paketleri ile uyuyan cihazları aktifleştirme, eş zamanlı şifreleme başlatma ve veri sızdırma.
2026 yılının ilk çeyreğinde, ABD merkezli siber güvenlik firması Mandiant'ın raporuna göre Everest, özellikle Kuzey Amerika ve Avrupa'daki orta ölçekli işletmeleri hedef alan kampanyalarını yoğunlaştırdı. Bu işletmelerin ortak özelliği, güçlü bir siber güvenlik altyapısına sahip olmamaları ve genellikle mesai dışı saatlerde sistemlerini kapatarak enerji tasarrufu yapmaları. Everest, bu kurumların zayıf noktalarını analiz ederek WoL tabanlı saldırılarını özelleştiriyor ve fidye taleplerini kurumun mali yapısına göre belirliyor.
Everest'in Fidye Talepleri ve Şantaj Yöntemleri
Everest grubu, fidye miktarını genellikle kurbanın yıllık gelirine ve sızdırılan verinin hassasiyetine göre 500 bin dolardan 5 milyon dolara kadar değişen aralıklarda belirliyor. Grup, ödeme yapılmaması durumunda verileri karanlık ağdaki (dark web) sızıntı sitesinde yayınlamakla tehdit ediyor. 2025 yılında İtalya merkezli bir sağlık kuruluşuna yapılan saldırıda, WoL taktiği sayesinde 1.200'den fazla cihazın şifrelendiği ve 2 terabaytlık hasta verisinin sızdırıldığı rapor edilmişti. 2026 itibarıyla grubun bu yöntemi giderek daha fazla benimsediği ve diğer fidye yazılımı gruplarının da benzer taktikleri test etmeye başladığı belirtiliyor.
Türkiye'deki Kurumlar İçin Risk Değerlendirmesi
Türkiye'deki kurum ve kuruluşlar, Wake-on-LAN tabanlı fidye yazılımı saldırılarına karşı henüz yeterli farkındalığa sahip değil. Özellikle KOBİ ölçeğindeki işletmeler, ağ altyapılarında WoL özelliğini varsayılan olarak açık bırakıyor ve bu durum ciddi bir güvenlik açığı oluşturuyor. Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) 2026 yılı başında yayımladığı siber güvenlik bülteninde, Türkiye'deki kurumsal ağların %68'inde WoL özelliğinin kontrolsüz bir şekilde aktif olduğu belirtiliyor. Bu oran, Avrupa ortalamasının yaklaşık 20 puan üzerinde seyrediyor.
Türk şirketleri için en büyük risk, hibrit çalışma modelinin yaygınlaşmasıyla birlikte ofislerdeki cihazların uzun süreler kapalı kalması ve bu cihazların WoL saldırılarına karşı savunmasız olmasıdır. Ayrıca, birçok yerli kurumun siber güvenlik bütçelerinin sınırlı olması ve gelişmiş tehdit algılama sistemlerine yatırım yapmaması, Everest benzeri grupların işini kolaylaştırıyor. Uzmanlar, Türkiye'deki kurumların acilen WoL özelliğini yalnızca güvenli VLAN'larda aktif tutması ve ağ segmentasyonu yaparak fidye yazılımının yayılmasını sınırlaması gerektiğini vurguluyor.
Türkiye'ye Özgü Savunma Stratejileri
Yerli siber güvenlik uzmanları, Türkiye'deki kurumların WoL saldırılarına karşı alabileceği önlemleri şu şekilde sıralıyor: öncelikle BIOS ayarlarından WoL özelliğinin gereksiz cihazlarda kapatılması, ağ trafiğinin sürekli izlenerek anormal WoL paketlerinin tespit edilmesi ve kritik sistemlerin düzenli olarak çevrimdışı yedeklerinin alınması. Ayrıca, Türkiye Cumhuriyeti Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin 2026 yılında başlattığı 'Siber Kalkan' programı kapsamında, KOBİ'lere yönelik ücretsiz güvenlik denetimleri ve farkındalık eğitimleri sunuluyor. Bu programın, WoL tabanlı tehditlere karşı ulusal direnci artırması bekleniyor.
Gelecekte Bizi Neler Bekliyor: WoL Tabanlı Saldırıların Evrimi
Wake-on-LAN taktiğinin fidye yazılımı grupları tarafından benimsenmesi, siber güvenlik dünyasında yeni bir dönemin habercisi olabilir. 2026 yılı itibarıyla güvenlik araştırmacıları, bu yöntemin yalnızca Everest ile sınırlı kalmayacağını, LockBit ve BlackCat gibi diğer büyük fidye yazılımı gruplarının da benzer yetenekleri operasyonlarına entegre ettiğini gözlemliyor. Hatta bazı gruplar, WoL'ün ötesine geçerek Intel vPro ve AMD DASH gibi uzaktan yönetim teknolojilerini de silahlandırmaya başladı.
Uzmanlar, önümüzdeki yıllarda fidye yazılımı saldırılarının Nesnelerin İnterneti (IoT) cihazlarını da kapsayacak şekilde genişleyeceğini öngörüyor. Akıllı ofis sistemleri, IP kameralar ve hatta akıllı aydınlatma sistemleri gibi cihazların WoL benzeri uyandırma sinyallerine yanıt vermesi, saldırı yüzeyini katlanarak büyütebilir. Bu nedenle, kurumların yalnızca geleneksel bilgisayarları değil, ağa bağlı tüm cihazları kapsayan bütüncül bir güvenlik stratejisi benimsemesi gerekiyor. 2026 yılı, bu dönüşümün kritik bir eşiği olarak kayıtlara geçecek gibi görünüyor.
Yapay Zeka ile Savunma İmkanları
Yapay zeka ve makine öğrenimi tabanlı güvenlik çözümleri, WoL saldırılarının tespitinde giderek daha önemli bir rol oynuyor. Anormal ağ trafiğini gerçek zamanlı olarak analiz edebilen yapay zeka sistemleri, meşru WoL paketleri ile kötü niyetli olanları birbirinden ayırt edebiliyor. 2026 yılında piyasaya sürülen yeni nesil güvenlik duvarları ve uç nokta koruma platformları, bu tür davranışsal analizleri varsayılan olarak sunmaya başladı. Ancak bu teknolojilerin maliyeti, özellikle gelişmekte olan ülkelerdeki küçük işletmeler için hala yüksek bir bariyer oluşturuyor.
