Küresel Siber Polis Operasyonuyla KillSec Çökertildi: 16 Yaşındaki Şüpheli ve Çete Üyeleri Yakalandı

Siber güvenlik ekosistemi, son yılların en büyük ve en koordineli uluslararası operasyonlarından biriyle sarsıldı. Küresel çapta yaklaşık 1.000 şüpheli siber saldırının arkasında olduğu değerlendirilen ve özellikle finans hizmetleri ile sağlık sektörünü hedef alan KillSec (Kill Security veya k1llsec olarak da biliniyor) fidye yazılımı çetesine yönelik Operation KillSwitch adlı devasa bir operasyon gerçekleştirildi. Almanya liderliğinde yürütülen ve on farklı ülkenin kolluk kuvvetlerinin yanı sıra Europol, ABD Adalet Bakanlığı (DoJ) ile özel siber güvenlik devleri Bitdefender ve Group-IB'nin destek verdiği bu çapraz operasyon, siber suç dünyasında "sunucular yenilenebilir ancak mimarların yeri doldurulamaz" gerçeğini bir kez daha gözler önüne serdi.

Uluslararası Ağın Çözülmesi: Operasyonun Perde Arkası

Eylül 2024'ten bu yana yürütülen titiz soruşturmaların ardından, 30 Eylül tarihinde Yunanistan, Romanya, İspanya ve Birleşik Krallık'ta eş zamanlı olarak sekiz farklı adrese baskınlar düzenlendi. İspanya polisinin Alicante'deki bir otelde gerçekleştirdiği arama ve Poliția Română'nın Romanya genelinde dört konutta yaptığı baskınlar, şebekenin uluslararası lojistik ağını deşifre etti. Operasyon kapsamında, çetenin faaliyetlerini yönetmek ve mağdur verilerini depolamak için kullandığı kritik beş merkezi sunucuya kolluk kuvvetleri tarafından el konuldu.

Europol ve ulusal makamlar tarafından paylaşılan detaylara göre, çetenin ana operatörünün 16 yaşında bir genç olduğu değerlendiriliyor. Europol, bu 16 yaşındaki şüphelinin grubun arkasındaki ana beyin olduğunu belirtirken, doğrudan tutuklanıp tutuklanmadığına dair hukuki süreçler gizliliğini koruyor. Öte yandan, İspanyol polisinin açıklamalarında İspanya'da ikamet eden Romanya uyruklu "reşit olmayan" bir kişinin tutuklandığı duyuruldu. ABD Adalet Bakanlığı ise İngiliz polisinin düzenlediği operasyonla Hollanda vatandaşı Fouad Eltibrizi'yi tutukladığını ve hakkında ABD ile Porto Riko'daki siber suçlar nedeniyle iade talebinde bulunulduğunu açıkladı. Eltibrizi, resmi makamlarca kamuoyuna ismi açıklanan tek şüpheli konumundayken, Europol tarafından çetenin müzakerecisi olarak gösteriliyor.

Romanya Bağlantısı ve Geliştirici Kadrosu

Romanya polisi (Poliția Română) tarafından yapılan açıklamalarda, 24 yaşındaki bir Romanya vatandaşının Ekim 2023'te KillSec'in kurulmasına yardımcı olduğu vurgulandı (bazı soruşturma dosyaları grubun kuruluşunu 2024 olarak tarihliyor). Ayrıca yetkililer, bu kişinin KillSec'e bağlı bir iş birlirici olarak hareket ettiği gerekçesiyle Romanya'da gözaltına alındığını doğruladı.

Soruşturmanın en çarpıcı detaylarından biri de çetenin yazılım altyapısını geliştiren isimlerle ilgili. Europol, suç işlendiği sırada reşit olmayan ve ağustos ayında 18 yaşına giren şüpheli bir geliştiricinin de radarda olduğunu tespit etti. İspanyol polisi ise olayla bağlantılı olarak soruşturması devam eden ancak henüz tutuklanmayan bir kadının da dosyada şüpheli sıfatıyla yer aldığını belirtti. Bitdefender ve Group-IB gibi siber güvenlik devlerinin aktif istihbarat desteği sağladığı operasyon sonucunda, çetenin sızıntı sitesinde barındırılan en az 110 terabaytlık (TB) hassas ve çalınmış veri koruma altına alınarak yetkisiz erişimlere karşı kapatıldı.

Çift Katmanlı Fidye Mimarisi ve VMware ESXi Hedefleri

Group-IB tarafından hazırlanan 2025 yılı raporlarında Asya-Pasifik (APAC), Latin Amerika (LATAM) ve Orta Doğu bölgelerinde en aktif on fidye yazılımı grubundan biri olarak listelenen KillSec, klasik fidye yazılımı taktiklerinin ötesine geçiyordu. Çete, çift katmanlı gasp (double extortion) stratejisi izleyerek kurbanların sistemlerini şifreliyor ve çalınan verilerin yayınlanmaması için devasa fidye ödemeleri talep ediyordu. Elde edilen siber istihbarat raporlarına göre KillSec, sızdırdığı kurumsal verileri 5.000 dolar ile 500.000 dolar arasında değişen fiyatlarla satışa çıkarıyordu.

Operasyonun ardından değerlendirmelerde bulunan Group-IB CEO'su Dmitry Volkov, siber suçla mücadelenin doğasına dikkat çekerek şu ifadeleri kullandı:

"Sunucular haftalar içinde yeniden kurulabilir ve ikame edilebilir; ancak bu platformu inşa eden, mimariyi tasarlayan ve her saldırıyı onaylayan kişilerin yerine koyulması kolay değildir. Onları teşhis etmek ve kolluk kuvvetlerinin adalete teslim edilmesini sağlamak, bir operasyonu geçici bir duraksamadan kalıcı bir sonuca dönüştüren şeydir."

KillSec'in saldırı vektörleri de zaman içinde evrilmişti. Faaliyetlerinin ilk döneminde standart bir Windows şifreleme aracı kullanan grup, zamanla kapasitesini artırarak VMware ESXi sunucularını hedef alabilen, verileri kalıcı olarak silen, sanal makineleri durduran ve sistemlerin kurtarma noktalarını (recovery points) ortadan kaldıran gelişmiş zararlı yazılım varyantları geliştirdi. Sağlık ve finans hizmetleri başta olmak üzere devlet kurumları ile büyük ölçekli işletmeleri hedef alan bu ekosistemin çökertilmesi, küresel siber güvenlik disiplini açısından tarihi bir dönüm noktası olarak kayıtlara geçti. Yetkililer şimdi ele geçirilen dijital materyaller üzerinde incelemelerini derinleştirerek mağdur kuruluşları belirlemeye ve yasa dışı elde edilen suç gelirlerini izlemeye devam ediyor.