Kaspersky: Sanallaştırılmış altyapılara yönelik fidye yazılımı saldırılarının arkasında temel yönetim ve güvenlik eksiklikleri var

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılar üzerinde birden fazla sunucu ve iş yükünü çalıştırmak ve yönetmek için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının, sanal makine izolasyonunun aşılmasına dayanmadığını tespit etti. Saldırganların bunun yerine zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlanarak sanallaştırılmış altyapılara eriştiği ve bu altyapıları şifrelediği belirlendi.

Kaspersky uzmanları, Ekim 2025'te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026'da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. Araştırmalar, her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığını ortaya koydu. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.

İzleme sistemlerindeki güvenlik açığı. Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas fidye yazılımı faaliyetlerini inceledi. Windows sistemlerinde hangi uygulamaların çalıştırıldığını ortaya koyabilen UserAssist kayıtları, uzaktan erişim aracı AnyDesk'in ve düşük seviyeli sistem faaliyetlerini incelemek için sıklıkla kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Söz konusu altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı altyapı izleme platformu kullanılıyordu.

Kaspersky uzmanları, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan, bu hesap bilgilerini kullanarak standart bir uzaktan yönetim protokolü olan SSH üzerinden ESXi ana sunucularına bağlandı. Ardından esx adlı bir dosyayı sisteme yükleyerek çalıştırmayı denedi. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip olan saldırgan, sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Saldırı kapsamında ayrıca adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak ve olayın sonradan araştırılmasını zorlaştırmak amacıyla sistem günlükleri silindi.

Açıkta bırakılan kimlik bilgileri. The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında da benzer bir yöntem izlendi. Bu olayda saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgiler sayesinde Proxmox'a en yüksek yetki düzeyine sahip root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket'i etkinleştirdi. Ardından bu erişimi kullanarak birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirdi ve çalıştırdı. Saldırı sonucunda sanallaştırılmış ortam şifrelendi.

Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari konuyla ilgili şunları söyledi: "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı."

Kaspersky, kuruluşların bu tür siber tehditlere karşı güvenliklerini güçlendirmeleri için şu önerilerde bulunuyor:

• Sanallaştırma yönetim sistemlerini genel sunucu ağından izole edin. Yönetim arayüzleri, izleme platformları ve yönetim ağları, ağ segmentasyonu yoluyla ayrıştırılmalı ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim sağlanmalıdır.


• Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin rutin kullanımına ve saklanmasına son verin. Root ve diğer yüksek yetkili hesaplar sıkı biçimde kontrol edilmeli, parolaları düzenli olarak değiştirilmeli ve bu bilgiler hiçbir zaman şifrelenmemiş düz metin biçiminde veya kolayca erişilebilen kurum içi sistemlerde saklanmamalıdır.


• Yönetici erişimlerini gerekli olan en düşük yetki düzeyiyle sınırlandırın. İzleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır. Böylece destek sistemlerinden birinin ele geçirilmesi durumunda saldırganların doğrudan hipervizör ana sunucularına ulaşması önlenebilir.


• Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğini güçlendirin ve bu sistemleri sürekli izleyin. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin bir parçası olarak ele alınmalıdır. Daha güçlü erişim kontrolleri, sürekli izleme ve şüpheli faaliyetlerin hızla tespit edilmesini sağlayan mekanizmalar devreye alınmalıdır.


• Özelleşmiş güvenlik çözümlerinden yararlanın. Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünlerini bir araya getirerek sanallaştırılmış ortamların karşı karşıya olduğu güvenlik risklerine yönelik kapsamlı koruma sağlar.


• Çok katmanlı güvenlik çözümlerini tercih edin.  Kaspersky Next gibi çözümler, gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR müdahale yeteneklerini bütünleşik bir yapıda sunar.


• Gelişmiş siber güvenlik hizmetlerinden destek alın. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri, tespit edilmesi güç siber saldırılara karşı korunmaya, güvenlik olaylarının araştırılmasına ve kurum içi siber güvenlik uzmanlığının yetersiz olduğu durumlarda ek uzman desteği sağlanmasına yardımcı olur.


• Siber güvenlik uzmanlarının güncel tehdit istihbaratına erişmesini sağlayın. Kaspersky Threat Intelligence gibi hizmetlerden yararlanarak güvenlik ekiplerinin saldırganların kullandığı en yeni teknikler, taktikler ve prosedürler hakkında güncel bilgi sahibi olması sağlanabilir.

Kaynak: (BYZHA) Beyaz Haber Ajansı