Kısaca
- Kaspersky Küresel Acil Müdahale Ekibi, ESXi ve Proxmox ortamlarındaki son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını tespit etti.
- Saldırganlar zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve yetersiz korunan izleme sistemleri ile yönetici iş istasyonlarından yararlandı.
- Uzmanlar, güvenlik yamalarının tek başına yeterli olmadığını ve yönetim katmanının da korunması gerektiğini vurguladı.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarda birden fazla sunucu ve iş yükünü çalıştırmak için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında, hipervizörün güvenlik sınırlarının aşılmadığını belirledi.
Saldırganlar sanallaştırılmış altyapılara, zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ile izleme sistemleri ve yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarını kullanarak eriştiklerini ve sistemleri şifrelediklerini ortaya koydu.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. Her iki olayda da saldırganların hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığı görüldü. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesine ve birden fazla ana sunucuyu etkilemesine imkân verdi.
İzleme sistemindeki açık
BlackNevas saldırısında, sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi incelendi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerini incelemekte kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı çalıştırmaya çalıştı. İlk girişim, yüklü olmayan dosyanın çalıştırılmasının engellendiğini bildiren hata mesajıyla durdu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Saldırı sırasında, adli bilişim incelemelerinde izlenebilecek kayıtları azaltmak amacıyla sistem günlükleri de silindi.
Açıkta bırakılan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında ise saldırgan, ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket bağlantısını etkinleştirdi. Bu erişimle, birlikte yönetilen sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky GERT Uzmanı Rauf Johari, bu vakaların kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin parçası olarak görmesi gerektiğini gösterdiğini söyledi. Johari, tüm yamaları uygulanmış bir hipervizörün bile ortak kullanılan bir parola, gereğinden fazla yetkilendirilmiş bir izleme hesabı, açık bir SSH bağlantısı ya da genel sunucu ağından erişilebilen bir yönetim arayüzü üzerinden ele geçirilebileceğini belirtti. Johari, ESXi vakasında sistemin yerleşik çalıştırma kontrolünün başlangıçta beklendiği gibi çalıştığını, ancak saldırganın yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildiğini ekledi.
Kaspersky’nin önerileri
Yönetim sistemlerini genel ağdan ayırın: Yönetim arayüzleri, izleme platformları ve yönetim ağları ağ segmentasyonuyla ayrılmalı, bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmelidir.
Ortak parolalara son verin: Root ve diğer yüksek yetkili hesaplar sıkı biçimde denetlenmeli, parolalar düzenli değiştirilmeli, düz metin olarak ya da kolay erişilebilen kurum içi sistemlerde saklanmamalıdır.
En az ayrıcalık ilkesini uygulayın: İzleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde yetkiler gerekli olan düzeyle sınırlandırılmalı; böylece destek sistemlerinden birinin ele geçirilmesi hipervizör ana sunucularına doğrudan erişim sağlamamalıdır.
İzlemeyi güçlendirin: İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası sayılmalı; sürekli izleme ve şüpheli faaliyetleri hızla tespit eden mekanizmalar devreye alınmalıdır.
Özelleşmiş ve çok katmanlı çözümler kullanın: Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security sanallaştırılmış ortamlara yönelik koruma sunar. Kaspersky Next ise gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ve EDR ile XDR müdahale yeteneklerini tek yapıda birleştirir.
Uzman desteği alın: Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri, gizli kalmış saldırıların tespitinde, olay incelemesinde ve kurum içi uzmanlığın yetersiz olduğu durumlarda destek sağlar.
Güncel tehdit istihbaratı edinin: Kaspersky Threat Intelligence gibi hizmetlerle güvenlik ekipleri saldırganların en yeni tekniklerini, taktiklerini ve prosedürlerini takip edebilir.
Kaynak: (BYZHA) Beyaz Haber Ajansı
