Sitemizi Google aramalarında tercih edilen kaynak olarak ekleyin.
Kısaca
- Kaspersky GERT, ESXi ve Proxmox ortamlarındaki son fidye yazılımı saldırılarının sanal makine izolasyonunun aşılmasına değil, zayıf yönetim kontrollerine ve kimlik bilgilerinin açığa çıkmasına dayandığını belirledi.
- BlackNevas ve The Gentlemen saldırılarında saldırganlar, birden fazla sunucuda kullanılan root parolası ile izleme sistemi ve yönetici iş istasyonlarındaki güvenlik eksiklerinden yararlandı.
- Kaspersky, kurumlara yönetim sistemlerini izole etmeleri, ayrıcalıklı hesapları sıkı yönetmeleri ve erişim yetkilerini en aza indirmeleri çağrısında bulundu.
Kaspersky Küresel Acil Müdahale Ekibi, şirketlerin ortak altyapılarında kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarında hipervizörün güvenlik sınırlarının aşılmadığını tespit etti. Saldırganların, zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ve yetersiz güvenlik uygulamaları üzerinden sanallaştırılmış altyapılara eriştiği belirlendi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen saldırısını inceledi. Her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığı görüldü. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesini ve birden fazla ana sunucuyu etkilemesini mümkün kıldı.
İzleme sistemindeki açık
Kaspersky uzmanları, sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk’in ve düşük seviyeli sistem faaliyetlerini incelemede kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Bu altyapıda, sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu da kullanılıyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyip çalıştırmayı denedi. İlk girişim, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) uyarısıyla durduruldu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Saldırıda ayrıca sistem günlükleri silindi.
Açıkta bırakılan kimlik bilgileri
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında benzer bir yöntem izlendi. Saldırgan, ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket bağlantısını etkinleştirdi. Bu erişimle birlikte, birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari şunları söyledi: "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı."
Kaspersky’nin önerileri
Kaspersky, yönetim arayüzlerini, izleme platformlarını ve yönetim ağlarını ağ segmentasyonuyla ayırmayı, bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim sağlanmasını önermektedir. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verilmesi, root ve diğer yüksek yetkili hesapların sıkı kontrol edilmesi, parolaların düzenli değiştirilmesi ve bu bilgilerin düz metin olarak saklanmaması gerektiği belirtiliyor. Ayrıca yönetici erişimlerinin en düşük yetki düzeyiyle sınırlandırılması, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanması öneriliyor.
Şirket, sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğinin güçlendirilmesini ve izleme sunucuları, yönetici uç noktaları ile SSH erişim yollarının sürekli izlenmesini tavsiye ediyor. Kaspersky, bu alanda Cloud Workload Security, Hybrid Cloud Security, Container Security, Kaspersky Next, Compromise Assessment, Managed Detection and Response, Incident Response ve Threat Intelligence gibi ürün ve hizmetleri de sunuyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
