Sanal sunucularda fidye yazılımı: zayıf yönetim ve ortak parolalar sorun

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin sunucu ve iş yüklerini yönettiği ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının, sanal makine izolasyonunun aşılmasına dayanmadığını açıkladı. Saldırganların zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve yetersiz korunan izleme sistemleri ile yönetici iş istasyonlarından yararlandığı belirlendi.

Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. Her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmaları ve kimlik bilgilerinin açığa çıkmasını kullandığı ortaya kondu. Zayıf erişim kontrolleri, yetersiz ağ ayrıştırması, dışarıya açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesini ve birden fazla ana sunucuyu etkilemesini mümkün kıldı.

ESXi ortamındaki saldırı

Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yürütüldüğü sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemi üzerinden BlackNevas faaliyetlerini inceledi. UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem incelemelerinde sık kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca ESXi ana sunucularına geniş yetkilerle bağlanan PRTG Network Monitor izleme platformu bulunuyordu.

Aynı en yüksek yönetici parolasının birden fazla sunucuda kullanıldığı tespit edildi. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyerek çalıştırmaya çalıştı. İlk deneme, "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) uyarısıyla durduruldu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Olayın sonradan incelenmesini zorlaştırmak amacıyla sistem günlükleri de silindi.

Proxmox ortamındaki saldırı

The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında benzer bir yöntem izlendi. Saldırgan, ele geçirilen bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket uzaktan konsolunu etkinleştirdi. Bu erişimle birlikte yönetilen küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky Küresel Acil Müdahale Ekibi Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor" dedi. Johari, güvenlik yamalarının tek başına yeterli olmadığını vurgulayarak, tüm yamaları uygulanmış bir hipervizörün bile ortak kullanılan bir parola, gereğinden fazla yetkilendirilmiş bir izleme hesabı, açık bir SSH bağlantısı ya da genel sunucu ağından erişilebilen bir yönetim arayüzü nedeniyle ele geçirilebileceğini söyledi. ESXi vakasında sistemin yerleşik çalıştırma kontrolünün başlangıçta beklendiği gibi işlediğini, ancak saldırganın yüksek erişim yetkileriyle bu korumayı devre dışı bırakabildiğini belirtti.

Johari, işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltmasının temel öncelikler olması gerektiğini ifade etti.

Kaspersky’nin önerileri

Kaspersky, yönetim arayüzleri, izleme platformları ve yönetim ağlarının ağ ayrıştırmasıyla genel sunucu ağından ayrılmasını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmesini öneriyor. Ortak kullanılan ya da yeniden kullanılan ayrıcalıklı hesap bilgilerinin kullanımına son verilmesi, root ve diğer yüksek yetkili hesapların sıkı denetlenmesi, parolaların düzenli değiştirilmesi ve bu bilgilerin düz metin biçiminde ya da kolayca erişilebilen kurum içi sistemlerde saklanmaması tavsiye ediliyor.

Şirket, yönetici erişimlerinin gerekli en düşük yetki düzeyiyle sınırlandırılmasını, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanmasını da öneriyor. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin parçası sayılarak sürekli izlenmeli; şüpheli faaliyetlerin hızla tespit edilmesini sağlayan mekanizmalar devreye alınmalı.

Kaspersky ayrıca Cloud Workload Security, Hybrid Cloud Security ve Container Security ürünlerinin sanallaştırılmış ortamlara yönelik kapsamlı koruma sunduğunu, Kaspersky Next çözümünün gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ve EDR ile XDR müdahale yeteneklerini bütünleşik biçimde sağladığını belirtiyor. Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ile Threat Intelligence servisinin de tespit edilmesi güç saldırılara karşı destek sağladığı ifade ediliyor.

Kaynak: (BYZHA) Beyaz Haber Ajansı