Sanal sunucu fidye saldırıları, yönetim hatalarından besleniyor

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarında kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarını inceledi. Ekip, saldırganların sanal makine izolasyonunu aşmak yerine yönetim sistemlerindeki zayıflıkları kullandığını tespit etti.

Araştırmacılar, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırılarını ayrı ayrı inceledi. İki olayda da hipervizörün güvenlik sınırları aşılmadı; bunun yerine yanlış yapılandırmalar ve açığa çıkan kimlik bilgileri kullanıldı. Zayıf erişim denetimleri, yetersiz ağ ayrımı, internete açık yönetim hizmetleri ve ayrıcalıklı hesapların özensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesini ve birden fazla ana sunucuyu etkilemesini sağladı.

ESXi ortamındaki izleme sistemi açığı

Kaspersky uzmanları, sanallaştırılmış etki alanı denetleyicisi segmentinde bulunan bir Windows sistemine bağlı BlackNevas faaliyetlerini inceledi. Sistemde uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sıkça kullanılan GMER programına ait bir dosyanın çalıştırıldığı belirlendi. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş yetkiyle erişen PRTG Network Monitor izleme platformu bulunuyordu.

Aynı root parolasının birden fazla sunucuda kullanıldığı görüldü. İzleme ortamını ele geçiren saldırgan, bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı dosyayı yüklemeye çalıştı. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) uyarısıyla durduruldu. Ancak root yetkisine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Olayın sonradan incelenmesini zorlaştırmak için sistem günlükleri de silindi.

Proxmox saldırısında açıkta kalan bilgiler

The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında, saldırgan temel BT altyapısının yönetiminde kullanılan ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle root hesabıyla Proxmox’a giren saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Ardından birlikte yönetilen bağlantılı sunucular genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari konuyla ilgili şunları söyledi: "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı."

Kurumlara öneriler

Kaspersky, yönetim arayüzleri, izleme platformları ve yönetim ağlarının ağ segmentasyonuyla ayrıştırılmasını, bu sistemlere yalnızca sıkı denetlenen cihazlardan erişilmesini önerdi. Ortak kullanılan ya da yeniden kullanılabilir ayrıcalıklı hesap bilgilerine son verilmesi, root ve diğer yüksek yetkili hesapların sıkı denetimi, parolaların düzenli değiştirilmesi ve bu bilgilerin düz metin olarak saklanmaması tavsiye edildi. Yönetici erişimlerinin gerekli en düşük yetki düzeyiyle sınırlandırılması ve en az ayrıcalık ilkesinin izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde uygulanması da istendi.

Şirket, sanallaştırma ana sunucularına erişebilen sistemlerin güçlendirilmesini ve sürekli izlenmesini, izleme sunucuları, yönetici uç noktaları ve SSH yollarının saldırı yüzeyi olarak ele alınmasını önerdi. Güçlü erişim denetimleri ile şüpheli faaliyetleri hızla saptayan mekanizmaların devreye alınması da tavsiyeler arasında yer aldı.

Ayrıca Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünlerinin sanallaştırılmış ortamlara yönelik kapsamlı koruma sağladığı belirtildi. Gerçek zamanlı koruma, olay inceleme ve EDR ile XDR müdahale yetenekleri sunan Kaspersky Next gibi çok katmanlı çözümlerin tercih edilmesi, Compromise Assessment, Managed Detection and Response ve Incident Response hizmetlerinden destek alınması ve Kaspersky Threat Intelligence ile güncel tehdit bilgisine erişilmesi de önerildi.

Kaynak: (BYZHA) Beyaz Haber Ajansı