Kısaca
- Kaspersky GERT, ESXi ve Proxmox ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını belirledi.
- Saldırganlar zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ve yetersiz güvenlik uygulamalarından yararlandı.
- Kaspersky, yönetim ağlarının izolasyonu, ayrıcalıklı hesapların sıkı kontrolü ve sürekli izleme çağrısı yaptı.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında hipervizörün güvenlik sınırlarının aşılmadığını tespit etti. Saldırganların, zayıf yönetim kontrollerinden ve kimlik bilgilerinin açığa çıkmasından yararlanarak sanallaştırılmış altyapılara eriştiği belirlendi.
Ekip, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da hatalı yapılandırmalar ve kimlik bilgilerinin açığa çıkması öne çıktı. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesine ve birden fazla ana sunucuyu etkilemesine imkân verdi.
ESXi olayındaki izleme açığı
BlackNevas saldırısında, kullanıcı kimlik doğrulama süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi incelendi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerini incelemekte sıkça kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu bulunuyordu.
Aynı root parolasının birden fazla sunucuda kullanıldığı tespit edildi. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı çalıştırmayı denedi. İlk girişim "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Saldırı izlerini azaltmak için sistem günlükleri de silindi.
Proxmox olayında açıkta kalan kimlik bilgileri
The Gentlemen saldırısında saldırgan, ele geçirilen bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Proxmox’a root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket bağlantısını etkinleştirdi. Bu erişimle küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.
Öneriler
Kaspersky, sanallaştırma yönetim sistemlerinin genel sunucu ağından izole edilmesini, izleme platformları ve yönetim ağlarının ağ segmentasyonuyla ayrıştırılmasını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmesini önerdi. Ortak kullanılan ya da yeniden kullanılan ayrıcalıklı hesap bilgilerine son verilmesi, root parolalarının düzenli değiştirilmesi ve bu bilgilerin düz metin biçiminde saklanmaması istendi.
Yönetici erişimlerinin gerekli olan en düşük yetki düzeyiyle sınırlandırılması, izleme hesapları, yönetici iş istasyonları ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanması da tavsiyeler arasında yer aldı. Sanallaştırma ana sunucularına erişebilen sistemlerin sürekli izlenmesi ve şüpheli faaliyetlerin hızla tespit edilmesi için mekanizmalar kurulması istendi.
Kaspersky ayrıca Cloud Workload Security, Hybrid Cloud Security ve Container Security ürünlerinin, Kaspersky Next çözümünün, Compromise Assessment, Managed Detection and Response ve Incident Response hizmetlerinin ve Threat Intelligence servisinin kullanılmasını önerdi.
Kaynak: (BYZHA) Beyaz Haber Ajansı
