Kısaca
- Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını belirledi.
- Saldırganlar zayıf yönetim kontrollerini, birden fazla sistemde kullanılan root hesap bilgilerini ve yetersiz korunan izleme ile yönetici iş istasyonlarını hedef aldı.
- Şirketlere, yönetim sistemlerini izole etmeleri, ayrıcalıklı hesapları sıkı yönetmeleri ve çok katmanlı güvenlik çözümleri kullanmaları önerildi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarda birden fazla sunucu ve iş yükünü çalıştırmak için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını tespit etti. Saldırganların, zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ile izleme sistemleri ve yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarını kullanarak sanallaştırılmış altyapılara eriştiği ve bunları şifrelediği belirlendi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığı görüldü. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.
İzleme sistemindeki açık
Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. Windows sistemlerinde çalıştırılan uygulamaları gösteren UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerini incelemek için sıklıkla kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını ortaya koydu. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisine sahip PRTG Network Monitor adlı izleme platformu kullanılıyordu.
Uzmanlar, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan, bu hesap bilgileriyle standart bir uzaktan yönetim protokolü olan SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyerek çalıştırmayı denedi. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Olayın sonradan incelenmesini zorlaştırmak amacıyla sistem günlükleri de silindi.
Açıkta bırakılan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında da benzer bir yöntem izlendi. Saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.
Öneriler
Kaspersky, kuruluşların bu tür tehditlere karşı güvenliklerini güçlendirmesi için şu önerilerde bulundu. Sanallaştırma yönetim sistemleri genel sunucu ağından izole edilmeli; yönetim arayüzleri, izleme platformları ve yönetim ağları ağ segmentasyonuyla ayrıştırılmalı ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmelidir. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verilmeli; root ve diğer yüksek yetkili hesaplar sıkı biçimde kontrol edilmeli, parolalar düzenli olarak değiştirilmeli ve bu bilgiler düz metin biçiminde ya da kolayca erişilebilen kurum içi sistemlerde saklanmamalıdır. Yönetici erişimleri gerekli olan en düşük yetki düzeyiyle sınırlandırılmalı; izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır. Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliği güçlendirilmeli ve sürekli izlenmelidir. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası olarak ele alınmalıdır.
Kaspersky ayrıca özelleşmiş güvenlik çözümlerinden yararlanılmasını, Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünlerinin sanallaştırılmış ortamların risklerine karşı kapsamlı koruma sağladığını belirtiyor. Gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR müdahale yeteneklerini bir arada sunan Kaspersky Next gibi çok katmanlı çözümlerin tercih edilmesi öneriliyor. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri, tespit edilmesi güç saldırılara karşı korunmaya, olayların araştırılmasına ve kurum içi uzmanlığın yetersiz olduğu durumlarda ek uzman desteğine yardımcı olabilir. Güvenlik ekiplerinin, saldırganların kullandığı en yeni teknikler, taktikler ve prosedürler hakkında güncel bilgi sahibi olması için Kaspersky Threat Intelligence gibi hizmetlerden yararlanılabileceği de kaydediliyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
