Kısaca
- Kaspersky GERT’in incelediği ESXi ve Proxmox fidye yazılımı saldırılarında hipervizörün kendi güvenlik sınırları aşılmadı.
- Saldırganlar zayıf yönetim kontrolleri, birden fazla sunucuda kullanılan root bilgileri ve izleme sistemlerindeki açıklardan yararlandı.
- Kaspersky, yönetim ağlarının izole edilmesi, ayrıcalıklı hesapların sıkı kontrolü ve gelişmiş izleme çözümleri önerdi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını tespit etti. Saldırganların bunun yerine yönetim eksikliklerinden faydalandığı belirtildi.
Şirketlerin ortak altyapılarda birden fazla sunucu ve iş yükünü çalıştırmak için kullandığı ESXi ve Proxmox ortamlarında, saldırganların sanallaştırılmış altyapılara erişip bunları şifrelediği belirlendi. Erişim, zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından sağlandı.
Kaspersky uzmanları Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamındaki The Gentlemen saldırısını inceledi. Her iki olayda da hipervizörün güvenlik sınırları aşılmadı; hatalı yapılandırmalar ve kimlik bilgilerinin açığa çıkması kullanıldı. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak verdi.
BlackNevas saldırısında izleme sistemindeki açık
BlackNevas olayında Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi ile bağlantılı faaliyetleri inceledi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sıkça kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş yetkilerle erişen PRTG Network Monitor izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını belirledi. İzleme ortamını ele geçiren saldırgan, bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyerek çalıştırmaya çalıştı. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Olayın sonradan incelenmesini zorlaştırmak için sistem günlükleri de silindi.
The Gentlemen saldırısında açığa çıkan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Uzman değerlendirmesi
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini söyledi. Johari, "Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir." dedi.
Johari, ESXi vakasında sistemin yerleşik çalıştırma kontrolünün başlangıçta beklendiği gibi çalıştığını, ancak saldırganın sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildiğini ifade etti. "Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." diye ekledi.
Öneriler
Kaspersky, kuruluşların bu tür tehditlere karşı güvenliklerini güçlendirmek için şu adımları önerdi: Sanallaştırma yönetim sistemleri genel sunucu ağından ağ segmentasyonuyla ayrıştırılmalı ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmelidir. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verilmeli; root ve diğer yüksek yetkili hesaplar sıkı kontrol edilmeli, parolalar düzenli değiştirilmeli ve hiçbir zaman düz metin biçiminde saklanmamalıdır. Yönetici erişimleri gerekli en düşük yetki düzeyiyle sınırlandırılmalı; izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır.
Ayrıca sanallaştırma ana sunucularına erişebilen sistemlerin güvenliği güçlendirilmeli ve sürekli izlenmelidir; izleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası olarak ele alınmalıdır. Kaspersky, bu alanda Cloud Workload Security, Hybrid Cloud Security ve Container Security ürünlerinin, Kaspersky Next çözümünün, Compromise Assessment, Managed Detection and Response ve Incident Response hizmetlerinin ve Threat Intelligence servisinin kullanılmasını da tavsiye ediyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
