Kısaca
- Kaspersky Küresel Acil Müdahale Ekibi, ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını tespit etti.
- Saldırganlar zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve yetersiz güvenlik uygulamalarından yararlanarak altyapıları şifreledi.
- Uzmanlar, tam yamalı bir hipervizörün bile ortak parola ya da fazla yetkili bir izleme hesabıyla ele geçirilebileceğini vurguladı.
Kaspersky’nin Küresel Acil Müdahale Ekibi, şirketlerin ortak altyapılarda sunucu ve iş yüklerini yönettiği ESXi ve Proxmox ortamlarına yönelik fidye yazılımı saldırılarını inceledi. Ekip, saldırganların sanal makine izolasyonunu aşmak yerine yönetim ve güvenlik eksiklerini kullandığını belirledi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen saldırısını inceledi. Her iki olayda da hipervizörün güvenlik sınırları aşılmadı; bunun yerine hatalı yapılandırmalar ve kimlik bilgilerinin açığa çıkması kullanıldı. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesine ve birden fazla ana sunucuyu etkilemesine imkan verdi.
Kimlik doğrulama sisteminden girilen izleme ortamı
Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi üzerinden BlackNevas faaliyetlerini izledi. Sistemde UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerinin incelenmesinde sık kullanılan GMER programının çalıştığını gösterdi. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş yetkilerle erişen PRTG Network Monitor izleme platformu bulunuyordu.
Araştırmacılar, en yüksek yönetici yetkisi veren aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan, bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı çalıştırmayı denedi. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) uyarısıyla durduruldu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Olay sonrası adli incelemeyi zorlaştırmak için sistem günlükleri de silindi.
Yönetici iş istasyonunda saklanan notlar
The Gentlemen fidye yazılımının kullanıldığı ayrı Proxmox saldırısında ise saldırgan, ele geçirilen bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerine ulaştı. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.
Önerilen önlemler
Kaspersky, kuruluşların güvenliklerini güçlendirmesi için şu adımları öneriyor: Sanallaştırma yönetim sistemleri, izleme platformları ve yönetim ağları genel sunucu ağından ayrıştırılmalı, bu sistemlere yalnızca sıkı kontrollere tabi cihazlardan erişilmelidir. Ortak kullanılan ya da yeniden kullanılan ayrıcalıklı hesap bilgilerine son verilmeli; root ve diğer yüksek yetkili hesaplar sıkı denetlenmeli, parolalar düzenli değiştirilmeli ve düz metin olarak saklanmamalıdır. Yönetici erişimleri gerekli en düşük yetki düzeyiyle sınırlandırılmalı, izleme hesaplarında ve iş istasyonlarında en az ayrıcalık ilkesi uygulanmalıdır. Sanallaştırma ana sunucularına erişebilen sistemler sürekli izlenmeli; izleme sunucuları, yönetici uç noktaları ve SSH yolları saldırı yüzeyinin parçası olarak ele alınmalıdır.
Ayrıca Kaspersky, çok katmanlı çözümler ve uzman desteği önerdi. Bu kapsamda Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünleri sanallaştırılmış ortamlara yönelik kapsamlı koruma sunuyor. Kaspersky Next, gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ve EDR ile XDR müdahale yeteneklerini bütünleşik biçimde sağlıyor. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ise tespiti güç saldırılara karşı koruma ve kurum içi uzmanlığın yetersiz olduğu durumlarda ek destek sağlıyor. Kaspersky Threat Intelligence ile güvenlik ekiplerinin saldırganların en yeni teknik ve taktiklerine dair güncel bilgiye erişmesi de mümkün hale geliyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
