Sanallaştırma altyapısına fidye yazılımı: zayıf yönetim ve parola eksikleri hedefte

Kaspersky Küresel Acil Müdahale Ekibi GERT, şirketlerin ortak altyapılarda birden fazla sunucu ve iş yükünü çalıştırmak için kullandığı ESXi ve Proxmox ortamlarına yönelik son fidye yazılımı saldırılarını inceledi. Ekip, saldırganların sanal makine izolasyonunu aşmadığını, bunun yerine zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlanarak altyapılara eriştiğini ve bunları şifrelediğini belirledi.

Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. Araştırmalara göre her iki olayda da saldırganlar hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandı. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.

İzleme sistemlerindeki açık

BlackNevas saldırısında uzmanlar, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı faaliyetleri inceledi. Windows sistemlerinde çalıştırılan uygulamaları gösteren UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerini incelemek için sıklıkla kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını ortaya koydu. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı altyapı izleme platformu kullanılıyordu.

Uzmanlar, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan, bu hesap bilgileriyle standart bir uzaktan yönetim protokolü olan SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı sisteme yükleyerek çalıştırmayı denedi. İlk girişim "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durdu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Saldırı kapsamında adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak amacıyla sistem günlükleri de silindi.

Açıkta bırakılan kimlik bilgileri

The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında saldırgan, ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetki düzeyine sahip root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket’i etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky GERT Uzmanı Rauf Johari konuyla ilgili şunları söyledi: "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı."

Önerilen önlemler

Kaspersky, kuruluşların güvenliklerini güçlendirmek için şu adımları öneriyor: Sanallaştırma yönetim sistemlerini genel sunucu ağından izole edin ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim sağlayın. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verin; root ve diğer yüksek yetkili hesapların parolalarını düzenli olarak değiştirin ve bu bilgileri düz metin biçiminde saklamayın. Yönetici erişimlerini gerekli olan en düşük yetki düzeyiyle sınırlandırın, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesini uygulayın. Sanallaştırma ana sunucularına erişebilen sistemleri sürekli izleyin; izleme sunucuları, yönetici uç noktaları ve SSH erişim yollarını saldırı yüzeyinin parçası olarak ele alın. Kaspersky’nin sanallaştırma için özelleşmiş çözümleri (Cloud Workload Security, Hybrid Cloud Security, Container Security), çok katmanlı koruma sunan Kaspersky Next, Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ile Threat Intelligence gibi tehdit istihbaratı hizmetleri de bu kapsamda öneriliyor.

Kaynak: (BYZHA) Beyaz Haber Ajansı