aşlatan bir bilgisayar zararlı yazılımıdır. Basit bir fidye virüsü, bilgili bir kişinin geriye çevirmesi zor olan bir şekilde sistemi kilitler ve kilidi açmak için ödeme isteyen bir mesaj gösterir. Daha da gelişmiş zararlı yazılımlar, kurbanın dosyalarını şifreler, bunları erişilemez kılar ve bunların şifresini çözmek için bir fidyenin ödenmesini talep eder. Fidye virüsü, bilgisayarın Ana Dosya Tablosu (MFT) veya tüm sabit sürücüsünü de şifreleyebilir. Şifreleme anahtarı olmadan dosyaların şifrelerinin çözülmesine karşı olduğu için, fidye virüsü bilgisayar kullanıcılarının dosyalarına erişimini engelleyen bir erişim dışı bırakma saldırısıdır. Fidye virüsü saldırıları, geçerli bir dosya olarak kendisini gizleyen bir Truva atı kullanılarak yürütülmektedir.

Başlarda Rusya’da popüler olsa da, fidye virüsü dolandırıcılığı uluslararası düzeyde yaygınlaşmıştır. Haziran 2013'te, güvenlik yazılımı dağıtıcılarından McAfee, 2013 yılının ilk çeyreğinde, 2012 yılının ilk çeyreğindeki rakamın yarısından daha fazla olan, 250000’den fazla eşsiz fidye virüsü çeşidinin tespit edildiğini gösteren veriler yayınlamıştır. Otoriteler tarafından alt edilene kadar 3 milyon dolardan fazla toplayan CryptoLocker ve [Federal Araştırma Bürosu (FBI)|FBI] tarafından Haziran 2015 itibarıyla 18 milyon dolardan fazla topladığı tahmin edilen CryptoWall gibi Truva atları sayesinde, şifreleme tabanlı fidye virüslerini içeren geniş çaplı saldırılar artmaya başlamıştır.

En bilinen fidye virüsü CryptoLocker olarak adlandırılan ve bulaştığı bilgisayarlardaki bir takım dosyaları şifreleyerek kaydeden; şifrenin geri açılması için ise ukash, bitcoin, para vb. emtialar talep eden virüstür.

Dosya şifreleyen fidye yazılımları, Columbia Üniversitesi’nden Young ve Yung tarafından keşfedilmiş ve uygulanmıştır ve 1996’da IEEE Güvenlik&Gizlilik konferansında sunulmuştur. Buna “kriptoviral alıkoyma” denilmektedir ve aşağıdaki 3’lü protokol saldırgan ve kurban arasında yürütülmektedir.


Simetrik anahtar rastgele olarak üretilir ve diğer kurbanlara yardımcı olamaz. Hiçbir şekilde saldırganın gizli anahtarı kurbanlara gösterilmez ve kurban sadece küçük bir şifreli metni (asimetrik şifreli metin) saldırgana yollamak zorundadır.

Fidye virüsü saldırıları, indirilen bir dosya veya bir ağ servisindeki açıklık ile sisteme giren bir Truva atı aracılığıyla yürütülmektedir. Program daha sonra, sistemi bir şekilde kilitleyen veya sistemi kilitleyeceğini iddia eden ama gerçekte etmeyen bir payload çalıştırır. Payoadlar, kolluk kuruluşu gibi bir varlık tarafından, gerçekte olmadığı halde, sistemin illegal aktiviteler için kullanıldığını veya pornografi ve korsan medya gibi içerik içerdiğini iddia eden bir gerçek dışı uyarı gösterebilmektedir.
Bazı payloadlar, ödeme yapılana kadar genellikle Windows kabuğunu kendisine adayarak sistemi kilitleyen veya kısıtlayan veya düzeltilene kadar işletim sisteminin başlatılmasını engellemek için ana önyükleme kaydı ve/veya bölüm tablosunu değiştiren bir uygulamadan oluşmaktadır. En karmaşık payloadlar dosyaları, sadece kötü amaçlı yazılım yazarının ihtiyaç duyulan şifre çözme anahtarına sahip olacağı şekilde şifrelemektedir.

Ödeme görünürde her zaman nihai amaçtır ve kurban, dosyaları çözebilecek bir program sağlanarak veya payloadun yaptığı değişiklikleri geri döndürecek bir kilit açma kodu gönderilerek –ki bu durum bazen gerçekleşmeyebilir- fidye virüsünün kaldırılması için ödeme yapmaya ikna edilir. Fidye virüsünün saldırgan için çalışmasını sağlayan ana unsurlardan birisi, takip edilmesi zor uygun bir ödeme yöntemidir. Kablolu transfer, ücretli SMS]], , Paysafecard gibi önceden ödenmiş servislerPaysafecard, ve dijital para birimi olan Bitcoin , gibi pek çok ödeme şekli kullanılmıştır. Citrix tarafından yürütülen bir 2016 sayımı, büyük firmaların bitcoini acil eylem planı olarak tuttuğunu ortaya çıkartmıştır.

Joseph Popp tarafından 1989’da yazılan ve bilinen ilk kötü amaçlı yazılım alıkoyma saldırısı olan AIDS Truva atı, alıkoyan kişiye ödeme yapılmasını gerekli kılmayan bir tasarım hatası içermekteydi. Payloadu, sabit disk üzerindeki dosyaları gizlemekte ve sadece dosya isimlerini şifrelemektedir. Ayrıca, bir yazılımın belirli bir kısmını kullanmak için kullanıcının lisansının süresinin dolduğunu belirten bir mesaj göstermektedir. Şifre çözme anahtarının Truva atı kodundan elde edilebilmesine rağmen, bir kurtarma aracı alabilmesi için kullanıcıdan “PC Cyborg Corporation”a 189 dolar ödemesi istenmektedir. Truva atı da “PC Cyborg” olarak bilinmektedir. Popp’un eylemlerinden ötürü yargılanması için zihinsel olarak uygun olmadığı belirtilmiştir, ancak kötü amaçlı yazılımdan kazandığı geliri AIDS araştırmalara destek olarak vermeye söz vermiştir.

Fidye saldırıları için açık anahtar kriptolojisi kullanımı, 1996’da Adam L. Young ve Moti Yung tarafından ortaya çıkarılmıştır. Young ve Yung şifre çözme anahtarının Truva atı kodundan elde edilebileceği ölümcül tasarım hatası olan, AIDS Bilgi Truva atının sadece simetrik kriptografiye dayanması özelliğini eleştirmiştir ve RSA algoritmasını ve Küçük Şifreleme Algoritmasını kurbanın verisini hibrid olarak şifrelemek için kullanan deneysel bir demo kripto virüsünü Macintosh SE/30 üzerinde üretmişlerdir. Açık anahtar şifrelemesi kullanıldığı için, kripto virüs sadece “şifreleme” anahtarını içermektedir. Saldırgan karşılık gelen “gizli” anahtarı gizli tutmaktadır. Young ve Yung’un orijinal deneysel kripto virüsü, kurbanın asimetrik şifreli metni, şifreyi çözen ve kurbana bir fidye karşılığında içerdiği simetrik şifre çözme anahtarını gönderen saldırgana asimetrik şifreli metni göndermesini sağlamaktadır. Elektronik para kullanılmadan çok daha önce, Young ve Yung “virüsü yazan kişi, paranın yarısı kendisine verilene kadar fidye miktarının tamamını elinde tutabilir. E-para önceden kullanıcı tarafından şifrelenmiş olsa da, bir kripto virüs tarafından şifrelenirse kullanıcının hiçbir işine yaramayacaktır.” Bu tür saldırıları, hem açık hem de gizli saldırılardan oluşan kriptoviroloji olarak anılan alandaki saldırıların büyük bir sınıfı olan ve açık bir saldırı olan “kriptoviral alıkoyma” saldırısı olarak isimlendirmişlerdir.

Zor kullanan fidye virüsü örnekleri Mayıs 2005'te yaygın hale gelmiştir. 2006 yılının ortalarıyla beraber, Gpcode, TROJ.RANSOM.A, Archiveus, Krotten, Cryzip ve MayArchive gibi Truva atları, daha karmaşık RSA şifreleme şemalarını daha da artan anahtar uzunlukları ile beraber kullanmaya başlamıştır. Haziran 2006’da tespit edilen Gpcode.AG, 660-bit RSA açık anahtarı ile şifrelenmiştir. Haziran 2008’de, Gpcode.AK olarak bilinen bir versiyonu tespit edilmiştir. 1024-bit RSA anahtarı kullanarak, uyarlanmış dağıtık bir çaba olmaksızın şifrenin kırılmasının hesapsal olarak kullanılamaz olduğuna inanılmaktaydı.

Şifreleme fidye virüsleri, 2013 sonlarına doğru fidyeyi Bitcoin platformunu kullanarak toplayan CryptoLocker’ın yaygınlaşması ile tekrar yaygın hale gelmiştir. Aralık 2013'te,15 Ekim ve 18 Aralık tarihleri arasındaki Bitcoin işlem bilgilerine dayanarak ZDNet, CryptoLocker sahiplerinin kullanıcılardan 27 milyon dolar civarında bir gelir elde ettiğini tahmin etmektedir. CryptoLocker tekniği takip eden aylarda kopyalanmıştır: CryptoLocker 2.0 (CryptoLocker ile ilgisi olmasa da), CryptoDefense(Windows’un kendi şifreleme API’lerini kullandığı için, gizli anahtarı hedef sistem üzerinde taşıma gibi bir tasarım hatasına sahiptir) ve 2014 Ağustos’da keşfedilen ve Synology tarafından üretilen ağa bağlı depolama cihazlarını hedef alan özel bir Truva atı. Ocak 2015'te, fidye virüsü benzeri saldırıların sızma ve Linux tabanlı web sunucularını hedeflemek için tasarlanmış fidye virüsleri ile web sitelerine karşı yapıldığı raporlanmıştır.

Bazı fidye virüsleri, komuta ve kontrol sunucularına bağlanmak için Tor gizli servislerine bağlı olan vekil sunucuları kullanmaktadır. Bu sayede, suçluların tam lokasyonunun bulunabilmesini zorlaştırmaktadır. Ayrıca, dark web dağıtıcıları da bu teknolojiyi bir hizmet olarak sunmaya başlamıştır.

Symantec fidye virüsü saldırılarını en tehlikeli siber tehdit olarak sınıflandırmıştır.

Ağustos 2010’da, Rus yetkilileri WinLock olarak bilinen fidye virüsü Truva atına bağlantısı olan dokuz kişiyi tutukladı. Önceli gpcode Truva atından aykırı olarak, WinLock şifreleme kullanmıyordu. Bunun yerine, WinLock pornografik resimler göstererek sisteme erişimi kısıtlıyordu ve kullanıcıların makinelerinin kilitlerini açabilmeleri için kullanılacak bir kodu vermek için kullanıcılardan bir SMS (yaklaşık 10 dolar civarında tutan) göndermelerini istiyordu. Bu dolandırıcılık faaliyeti, Rusya ve çevre ülkelerdeki pek çok kullanıcıyı etkilemiştir – raporlara göre grup 16 milyon dolardan fazla kazanmıştır.

2011’de, Windows Ürün Aktivasyonu’nı taklit eden ve “dolandırıcılık mağduru” olduğu için sistemdeki Windows yüklemesinin tekrar aktive edilmesi gerektiği konusunda kullanıcıları bilgilendiren bir fidye virüsü Truva atı ortaya çıkmıştır. Online aktivasyon seçeneği sunulmuştur, ancak kullanıcının 6 haneli kodu girmesi için 6 uluslararası numaradan birisini arramasını gerektirdiği için kullanılamazdır. Kötü amaçlı yazılım bu aramanın ücretsiz olduğunu iddia etse de, yüksek uluslararası telefon ücreti olan bir ülkedeki sahte operatör üzerinden yönlendirdiği ve aramayı beklemeye aldığı için, büyük miktarlarda uluslararası mesafe ücretine neden olmaktadır.

Şubat 2013'te, Stamp.EK istismar kitine dayanan bir fidye virüsü Truva atı ortaya çıkmıştır; kötü amaçlı yazılım ünlülerin “sahte çıplak fotoğraflarını” teklif etmiştir ve SourceForge ve GitHub gibi proje hosting hizmeti veren siteler aracılığıyla yayılmıştır. Temmuz 2013'te, kullanıcıyı pornografi içeren içerik indirmekle suçlayan bir web sayfası gösteren OS-X’e özgü bir fidye virüsü Truva atı ortaya çıkmıştır. Windows tabanlı benzerlerinin aksine, tüm bilgisayarı engellememektedir, ancak normal yollarla sayfayı kapatma girişimlerini engelleyecek şekilde, web tarayıcılarını istismar etmektedir.

Temmuz 2013'te, bilgisayarı tesadüfen