Acronis: "JanaWare" fidye yazılımı yalnızca Türkiye'deki sistemleri hedefliyor

Acronis Tehdit Araştırma Birimi (TRU), 14 Nisan 2026 tarihinde yayımladığı raporda Türkiye'deki kullanıcılara odaklanan bir fidye yazılımı faaliyetini ayrıntılandırdı. Araştırmacılara göre JanaWare adı verilen fidye modülü, Java tabanlı ve polimorfik özellikler taşıyan özelleştirilmiş bir Adwind RAT sürümü aracılığıyla sisteme yerleştiriliyor.

Coğrafi kilit: yalnızca Türkiye

Raporun en dikkat çekici bulgusu, zararlının çalışmadan önce hedefin Türkiye'de olup olmadığını kontrol etmesi. Acronis'e göre yazılım, sistemin dil, yerel ayar ve ülke bilgilerinin Türkçe/Türkiye olmasını şart koşuyor; ayrıca dış IP adresinin coğrafi konumunu sorgulayarak ülke kodu "TR" değilse işlemi durduruyor. Fidye notu da Türkçe hazırlanmış.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Araştırmacılar, faaliyetin en az 2020'den bu yana sürdüğünü ve Kasım 2025'te derlenmiş bir örneğin, komuta-kontrol altyapısının hâlâ aktif olduğuna işaret ettiğini belirtiyor. Kurbanların büyük bölümünün ev kullanıcıları ile küçük ve orta ölçekli işletmeler olduğu değerlendiriliyor.

Bulaşma zinciri ve davranış

Acronis, ilk erişimin büyük olasılıkla oltalama e-postalarıyla sağlandığını değerlendiriyor. Telemetri verilerinde, Outlook üzerinden açılan bir tarayıcının Google Drive bağlantısından bir JAR dosyası indirdiği ve dosyanın Java çalıştırıcısıyla başlatıldığı görülmüş. Şifreleme öncesinde zararlının Microsoft Defender'ı zayıflatmaya, gölge kopyaları (Volume Shadow Copy) silmeye ve Windows Update'i devre dışı bırakmaya yönelik komutlar çalıştırdığı aktarılıyor. Her kopyanın farklı bir dosya özetine sahip olması için JAR dosyasını onlarca megabayt şişiren bir mekanizma da kullanılıyor; bu, imza tabanlı tespiti zorlaştırıyor.

Rapora göre dosyalar AES ile şifreleniyor ve anahtar Tor üzerinden saldırganlara iletiliyor; Acronis, komuta-kontrol erişimi olmadan dosyaların kurtarılmasının mümkün görünmediğini belirtiyor. İncelenen örneklerde fidye talebi 200–400 dolar aralığında; kurbanlar qTox ya da bazı kampanyalarda bir Tor sitesi üzerinden iletişime yönlendiriliyor. Bu düşük tutarlar, az sayıda büyük hedef yerine çok sayıda küçük hedefe dayanan bir model izlendiğini gösteriyor.

Ne yapılmalı?

• E-posta eklerinde ve bağlantılarında gelen .jar dosyalarını engelleyin; Java'ya ihtiyaç duyulmayan bilgisayarlardan Java çalışma ortamını kaldırın.
• Kullanıcıların indirme klasörlerinden Java ve betik çalıştırılmasını uygulama kontrolüyle kısıtlayın.
• Defender ayarlarını değiştiren veya gölge kopyaları silen PowerShell ve kayıt defteri işlemleri için alarm tanımlayın.
• Çevrim dışı ya da değiştirilemez yedek tutun; fidye ödemek dosyaların geri alınacağını garanti etmez.
• Göstergeler (IoC) için Acronis raporunu esas alın ve güvenlik ürünlerinize ekleyin.