Kısaca
- Kaspersky GERT, ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında hipervizörün güvenlik sınırlarının aşılmadığını tespit etti.
- Saldırganlar zayıf yönetim kontrollerini, birden fazla sistemde kullanılan root hesap bilgilerini ve yetersiz korunan izleme sistemleri ile yönetici iş istasyonlarını hedef aldı.
- Şirketlere yönetim sistemlerini izole etmeleri, ayrıcalıklı hesapları sıkı yönetmeleri ve erişimi en düşük yetkiyle sınırlamaları öneriliyor.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını açıkladı. Araştırmaya göre saldırganlar, zayıf yönetim kontrolleri ve ayrıcalıklı kimlik bilgilerinin açığa çıkması sayesinde sanallaştırılmış altyapılara erişip bu altyapıları şifreledi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin sızmasından yararlandığı belirlendi. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.
İzleme sistemindeki açık
Uzmanlar, kullanıcı kimlik doğrulama ve erişim süreçlerinin yürütüldüğü sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sık kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu hesap bilgileriyle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyip çalıştırmayı denedi. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Saldırıda ayrıca adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak amacıyla sistem günlükleri silindi.
Açıkta kalan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında benzer bir yöntem izlendi. Saldırgan, temel BT altyapısının yönetiminde kullanılan ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket’i etkinleştirdi. Ardından bu erişimle birlikte yönetilen bağlantılı sunucular genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky GERT Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.
Öneriler
Kaspersky, kuruluşların güvenliğini güçlendirmek için sanallaştırma yönetim sistemlerini genel sunucu ağından izole etmelerini, yönetim arayüzleri, izleme platformları ve yönetim ağlarını ağ segmentasyonuyla ayırmalarını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim sağlamalarını öneriyor. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verilmesi, root ve diğer yüksek yetkili hesapların sıkı denetlenmesi, parolaların düzenli değiştirilmesi ve bilgilerin düz metin biçiminde ya da kolayca erişilebilen sistemlerde tutulmaması gerektiği belirtiliyor.
Şirketlere ayrıca yönetici erişimlerinin gerekli olan en düşük yetki düzeyiyle sınırlandırılması, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanması tavsiye ediliyor. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yollarının saldırı yüzeyinin parçası olarak ele alınması, daha güçlü erişim kontrolleri ve sürekli izleme mekanizmalarının devreye alınması öneriliyor. Kaspersky, bu alanda Cloud Workload Security, Hybrid Cloud Security, Container Security, Kaspersky Next, Compromise Assessment, Managed Detection and Response, Incident Response ve Threat Intelligence gibi çözüm ve hizmetleri de sunuyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
