Sanal sunucularda fidye yazılımı saldırıları: asıl sorun yönetim eksiklikleri

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin birden fazla sunucu ve iş yükünü çalıştırmak için kullandığı ESXi ve Proxmox sanallaştırma ortamlarındaki son fidye yazılımı saldırılarını inceledi. Ekip, saldırıların sanal makine izolasyonunun aşılmasına değil, zayıf yönetim kontrollerine ve güvenlik eksiklerine dayandığını belirledi.

Saldırganlar, zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlanarak sanallaştırılmış altyapılara erişti ve bu altyapıları şifreledi.

Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da saldırganlar hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandı. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.

İzleme sistemlerindeki açık

Kaspersky uzmanları, sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. Kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği bu segmentte, Windows sistemlerinde çalıştırılan uygulamaları gösteren UserAssist kayıtları, uzaktan erişim aracı AnyDesk’in ve düşük seviyeli sistem faaliyetlerini incelemek için sık kullanılan GMER programına ait bir dosyanın kullanıldığını ortaya koydu. Altyapıda ayrıca, sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu bulunuyordu.

Ortak kullanılan root parolası

Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan, bu bilgilerle standart uzaktan yönetim protokolü SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyip çalıştırmayı denedi. İlk girişim "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimi sayesinde sistem ayarlarını değiştiren saldırgan zararlı yazılımı çalıştırmayı başardı. Saldırıda ayrıca, adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak için sistem günlükleri silindi.

Proxmox saldırısı ve açıkta kalan bilgiler

The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini elde etti. Bu bilgilerle Proxmox’a root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket’i etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunucular genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor" dedi. Johari, güvenlik yamalarının tek başına yeterli olmadığını da vurguladı: "Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi." Johari’ye göre işletmelerin yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel öncelikler olmalı.

Kaspersky’nin önerileri

Kaspersky, kuruluşların güvenliğini güçlendirmek için şu adımları öneriyor:

Sanallaştırma yönetim sistemlerini genel sunucu ağından izole edin. Yönetim arayüzleri, izleme platformları ve yönetim ağları ağ segmentasyonuyla ayrılmalı ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmelidir.

Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verin. Root ve diğer yüksek yetkili hesaplar sıkı kontrol edilmeli, parolaları düzenli değiştirilmeli ve bu bilgiler düz metin biçiminde ya da kolayca erişilebilen kurum içi sistemlerde tutulmamalıdır.

Yönetici erişimlerini gerekli olan en düşük yetki düzeyiyle sınırlandırın. İzleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır. Böylece bir destek sisteminin ele geçirilmesi durumunda saldırganların doğrudan hipervizör ana sunucularına ulaşması önlenebilir.

Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğini güçlendirin ve sürekli izleyin. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası sayılmalıdır. Güçlü erişim kontrolleri, sürekli izleme ve şüpheli faaliyetleri hızla tespit eden mekanizmalar devreye alınmalıdır.

Özelleşmiş güvenlik çözümlerinden yararlanın. Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünleri, sanallaştırılmış ortamların risklerine karşı kapsamlı koruma sağlar.

Çok katmanlı güvenlik çözümlerini tercih edin. Kaspersky Next; gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR müdahale yeteneklerini bütünleşik bir yapıda sunar.

Gelişmiş siber güvenlik hizmetlerinden destek alın. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri, tespit edilmesi güç saldırılara karşı koruma, olay araştırması ve kurum içi uzmanlığın yetersiz olduğu durumlarda ek destek sağlar.

Güncel tehdit istihbaratına erişin. Kaspersky Threat Intelligence gibi hizmetlerle güvenlik ekipleri, saldırganların kullandığı en yeni teknikler, taktikler ve prosedürler hakkında bilgi sahibi olabilir.

Kaynak: (BYZHA) Beyaz Haber Ajansı