Kısaca
- Kaspersky GERT, ESXi ve Proxmox sanallaştırma ortamlarındaki fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını belirledi.
- Saldırganlar zayıf yönetim kontrollerinden, birden fazla sunucuda kullanılan root hesap bilgilerinden ve yetersiz korunan izleme sistemlerinden yararlandı.
- Şirketlerin yönetim arayüzlerini izole etmesi, ayrıcalıklı hesapları sıkı yönetmesi ve uzman önerilerini uygulaması isteniyor.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarında kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının hipervizörün güvenlik sınırlarının aşılmasına dayanmadığını açıkladı. Saldırganların, zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlanarak sanallaştırılmış altyapılara eriştiği ve bunları şifrelediği belirlendi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İncelemeler, iki olayda da saldırganların hipervizörü aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından faydalandığını gösterdi. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişilebilen yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerleyip birden fazla ana sunucuyu etkilemesine olanak verdi.
İzleme sistemindeki açık
BlackNevas olayında uzmanlar, sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sisteminde faaliyet izledi. Bu segment, kullanıcı kimlik doğrulama ve erişim süreçlerini yönetiyor. Sistemdeki UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sıkça kullanılan GMER programının çalıştırıldığını ortaya koydu. Altyapıda ayrıca ESXi ana sunucularına geniş yetkilerle erişen PRTG Network Monitor izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını belirledi. İzleme ortamını ele geçiren saldırgan, bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyip çalıştırmayı denedi. İlk deneme, yüklü olmayan dosyanın çalıştırılmasının engellendiğini bildiren bir hata mesajıyla durdu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Olayın sonradan incelenmesini zorlaştırmak için sistem günlükleri de silindi.
Açıkta bırakılan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında ise saldırgan, ele geçirilen bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunucular kümesinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky GERT Uzmanı Rauf Johari, yaşanan olayların kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin parçası olarak değerlendirmesi gerektiğini gösterdiğini söyledi. Johari, tüm yamaları uygulanmış bir hipervizörün bile ortak kullanılan bir parola, gereğinden fazla yetkili bir izleme hesabı, açık bir SSH bağlantısı ya da genel sunucu ağından erişilebilen bir yönetim arayüzü üzerinden ele geçirilebileceğini belirtti. ESXi vakasında sistemin yerleşik çalıştırma kontrolünün başlangıçta beklendiği gibi işlediğini, ancak saldırganın yüksek erişim yetkileriyle bu korumayı devre dışı bıraktığını ifade etti. Johari’ye göre işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel öncelikler olmalı.
Kaspersky’nin önerileri
Kaspersky, sanallaştırma yönetim sistemlerinin genel sunucu ağından izole edilmesini, yönetim arayüzleri, izleme platformları ve yönetim ağlarının ağ segmentasyonuyla ayrılmasını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmesini öneriyor. Ortak kullanılan ya da yeniden kullanılan ayrıcalıklı hesap bilgilerinin kullanımına son verilmesi, root ve diğer yüksek yetkili hesapların sıkı denetlenmesi, parolaların düzenli değiştirilmesi ve bu bilgilerin düz metin olarak ya da kolayca erişilen sistemlerde saklanmamasının önemi vurgulanıyor.
Şirket, yönetici erişimlerinin gereken en düşük yetki düzeyiyle sınırlandırılmasını, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanmasını ve sanallaştırma ana sunucularına erişebilen sistemlerin güçlendirilip sürekli izlenmesini tavsiye ediyor. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası olarak ele alınmalı; güçlü erişim kontrolleri ve şüpheli faaliyetlerin hızla tespit edildiği mekanizmalar devreye alınmalı.
Kaspersky ayrıca Cloud Workload Security, Hybrid Cloud Security ve Container Security ürünlerinin sanallaştırılmış ortamların karşılaştığı riskler için kapsamlı koruma sağladığını belirtiyor. Gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ve EDR ile XDR müdahale yeteneklerini bir araya getiren Kaspersky Next gibi çok katmanlı çözümlerin tercih edilmesi öneriliyor. Gizli saldırıların tespiti için Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ile kurum içi uzmanlığın yetersiz kaldığı durumlarda ek uzman desteği alınabileceği ifade ediliyor. Ayrıca Kaspersky Threat Intelligence gibi hizmetlerle güvenlik ekiplerinin saldırganların en yeni teknik, taktik ve prosedürlerinden haberdar olmasının sağlanabileceği kaydediliyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
