Sanal altyapı saldırılarında zayıf yönetim kontrolleri ve paylaşılan kimlikler etkili

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarda sunucu ve iş yüklerini çalıştırmak için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının sanal makine izolasyonunun aşılmasına dayanmadığını açıkladı. Araştırmaya göre saldırganlar zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ile izleme sistemleri ve yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarını kullanarak altyapılara erişip şifreleme yaptı.

Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısı ile Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmaları ve kimlik bilgisi sızıntılarını kullandığı görüldü. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına geçip birden fazla ana sunucuyu etkilemesini mümkün kıldı.

İzleme sistemindeki açık

Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yürütüldüğü sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle ilişkili BlackNevas faaliyetlerini inceledi. Windows sistemlerinde çalıştırılan uygulamaları gösteren UserAssist kayıtları, uzaktan erişim aracı AnyDesk ile düşük seviyeli sistem faaliyetlerini incelemek için sık kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını ortaya koydu. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu da bulunuyordu.

Uzmanlar, en yüksek düzeyde yönetici yetkisi veren aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu bilgilerle standart uzaktan yönetim protokolü SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı sisteme yükleyip çalıştırmaya çalıştı. İlk deneme "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Olayın adli incelemede izlenmesini zorlaştırmak için sistem günlükleri de silindi.

Açıkta bırakılan kimlik bilgileri

The Gentlemen fidye yazılımının kullanıldığı ayrı Proxmox saldırısında da benzer bir yol izlendi. Saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giren saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.

Öneriler

Kaspersky, kuruluşların bu tür tehditlere karşı güvenliğini artırmak için sanallaştırma yönetim sistemlerini genel sunucu ağından izole etmesini, yönetim arayüzleri, izleme platformları ve yönetim ağlarını ağ segmentasyonuyla ayırmasını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim tanımlamasını öneriyor. Ortak kullanılan ya da yeniden kullanılan ayrıcalıklı hesap bilgilerinin kullanımı ve saklanması sonlandırılmalı; root ve diğer yüksek yetkili hesaplar sıkı kontrol edilmeli, parolalar düzenli değiştirilmeli ve bilgiler düz metin biçiminde ya da kolay erişilebilen sistemlerde tutulmamalıdır.

Şirket, yönetici erişimlerinin gerekli olan en düşük yetki düzeyiyle sınırlanmasını, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanmasını tavsiye ediyor. Böylece destek sistemlerinden birinin ele geçirilmesi durumunda saldırganların doğrudan hipervizör ana sunucularına ulaşması engellenebilir. Ayrıca sanallaştırma ana sunucularına erişebilen sistemlerin güçlendirilmesi, izleme sunucuları, yönetici uç noktaları ve SSH erişim yollarının saldırı yüzeyi olarak ele alınması ve şüpheli faaliyetlerin hızla tespiti için sürekli izleme mekanizmalarının devreye alınması önerildi.

Kaspersky, sanallaştırılmış ortamlardaki riskler için Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünlerinin birlikte kapsamlı koruma sunduğunu belirtiyor. Gerçek zamanlı koruma, tehdit görünürlüğü, olay incelemesi ve EDR ile XDR müdahale yeteneklerini bir araya getiren Kaspersky Next gibi çok katmanlı çözümlerin tercih edilmesi de öneriliyor. Ayrıca Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetlerinin tespiti zor saldırılara karşı koruma, olay araştırması ve kurum içi uzmanlığın yetersiz olduğu durumlarda ek destek sağladığı; Kaspersky Threat Intelligence gibi hizmetlerin ise güvenlik ekiplerine saldırganların en yeni teknik, taktik ve prosedürleri hakkında güncel bilgi verdiği ifade ediliyor.

Kaynak: (BYZHA) Beyaz Haber Ajansı