Şirketten yapılan açıklamaya göre, Kaspersky uzmanları, şirketlerin ortak altyapılar üzerinde birden fazla sunucu ve iş yükünü çalıştırmak ile yönetmek için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarını inceledi.
Ekim 2025'te ESXi ortamında gerçekleşen "BlackNevas" fidye yazılımı saldırısını ve Ağustos 2026'da Proxmox ortamında yaşanan "The Gentlemen" fidye yazılımı saldırısını inceleyen uzmanların yaptığı araştırmalar, her iki olayda da saldırganların güvenliği aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığını ortaya koydu.
Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.
Kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas fidye yazılımı faaliyetlerini inceleyen uzmanlar, aynı "root" parolasının (yönetici yetkisi) birden fazla sunucuda kullanıldığını tespit etti.
İzleme ortamını ele geçiren saldırgan, hesap bilgilerini kullanarak standart uzaktan yönetim protokolü SSH üzerinden ESXi ana sunucularına bağlandı, ardından sisteme yüklediği dosyanın çalıştırılmasını hata mesajına rağmen "root" erişimini kullanarak gerçekleştirmeyi başardı. Ayrıca sistem günlükleri de silindi.
The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında da benzer bir yöntem izlendi. Bu olayda saldırgan, yönetici iş istasyonunda saklanan notlardan hesap ve erişim bilgilerini elde etti.
Bilgiler sayesinde giriş yapan saldırgan, VNC WebSocket'i etkinleştirdi, ardından erişimi kullanarak birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirdi ve çalıştırdı. Saldırı sonucunda sanallaştırılmış ortam şifrelendi.
Kaspersky, bu tür siber tehditlere karşı güvenliğin güçlendirilmesi için kuruluşların sanallaştırma yönetim sistemlerini genel sunucu ağından izole etmesi, ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin rutin kullanımına ve saklanmasına son verilmesi, yönetici erişimlerinin gerekli olan en düşük yetki düzeyiyle sınırlandırması, ana sunuculara erişebilen sistemlerdeki güvenliğin güçlendirilerek söz konusu sistemleri sürekli izlemesi, özelleşmiş ile çok katmanlı çözümlerden yararlanılması ve siber güvenlik hizmetlerinden destek alınması tavsiyelerinde bulundu.
"Güvenlik yamalarını uygulamak tek başına yeterli değil"
Açıklamada görüşlerine yer verilen GERT Uzmanı Rauf Johari, bu tür vakaların, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısında saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösterdiğini aktardı.
Söz konusu vakaların, güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyduğunu belirten Johari, şunları kaydetti:
"Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması, temel güvenlik öncelikleri arasında yer almalı."
