Kısaca
- Kaspersky Küresel Acil Müdahale Ekibi, ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında sanal makine izolasyonunun aşılmadığını belirledi.
- Saldırganlar zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve yetersiz güvenlikli izleme sistemleri ile yönetici iş istasyonlarından yararlandı.
- Uzmanlar, kurumların izleme platformlarını ve yönetim ağlarını sanallaştırma altyapısının saldırı yüzeyinin parçası olarak görmesi gerektiğini vurguladı.
Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarında çalıştırdığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında hipervizörün güvenlik sınırlarının aşılmadığını tespit etti. Saldırıların temelinde zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ve yetersiz güvenlik uygulamaları yatıyor.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da saldırganların hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığı belirlendi. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesine ve birden fazla ana sunucuyu etkilemesine imkân tanıdı.
İzleme sistemlerindeki açık
BlackNevas saldırısında, kullanıcı kimlik doğrulama süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi kullanıldı. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sık kullanılan GMER programına ait bir dosyanın çalıştırıldığını gösterdi. Altyapıda ayrıca ESXi ana sunucularına geniş yetkilerle erişen PRTG Network Monitor izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını belirledi. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı çalıştırmaya çalıştı. İlk girişim, yüklü olmayan dosyanın çalıştırılmasının engellendiğini bildiren hata mesajıyla durdu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Olayın sonradan incelenmesini zorlaştırmak amacıyla sistem günlükleri de silindi.
Açıkta bırakılan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında ise ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgileri ve erişim ayrıntıları elde edildi. Bu bilgilerle en yüksek yetkili root hesabıyla Proxmox’a giren saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim sağlayan VNC WebSocket uzaktan konsolunu etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, değerlendirmesinde şunları söyledi: "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı."
Öneriler
Kaspersky, kuruluşların güvenliklerini güçlendirmek için şu adımları öneriyor: Sanallaştırma yönetim sistemleri, izleme platformları ve yönetim ağları ağ segmentasyonuyla genel sunucu ağından ayrılmalı ve bu sistemlere yalnızca sıkı kontrollere tabi cihazlardan erişilmelidir. Ortak kullanılan ya da yeniden kullanılabilir ayrıcalıklı hesap bilgilerine son verilmeli; root ve diğer yüksek yetkili hesaplar sıkı biçimde denetlenmeli, parolalar düzenli değiştirilmeli ve bu bilgiler düz metin biçiminde ya da kolayca erişilebilen sistemlerde saklanmamalıdır. Yönetici erişimleri gerekli en düşük yetki düzeyiyle sınırlandırılmalı; izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır. Sanallaştırma ana sunucularına erişebilen sistemler güçlendirilmeli ve sürekli izlenmelidir.
Ayrıca Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünlerinin sanallaştırılmış ortamlara yönelik kapsamlı koruma sunduğu, Kaspersky Next çözümünün ise gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ile EDR ve XDR müdahale yeteneklerini bütünleşik biçimde sağladığı belirtiliyor. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ile Kaspersky Threat Intelligence’dan yararlanmanın da kurumların saldırıları tespit etmesine ve güncel tehdit bilgisine erişmesine yardımcı olabileceği ifade ediliyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
