Sanal sunucu saldırılarında asıl açık yönetim ve kimlik bilgisi yönetimi

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarında birden fazla sunucu ve iş yükünü yönettiği ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının, sanal makine izolasyonunun aşılmasına dayanmadığını açıkladı. Saldırganların zayıf yönetim kontrolleri, birden fazla sistemde kullanılan root hesap bilgileri ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlandığı belirlendi.

Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. İncelemelerde, her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından faydalandığı ortaya kondu. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişilebilen yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan yönetimi, saldırganların destek sistemlerinden sanallaştırma katmanına geçmesine ve birden fazla ana sunucuyu etkilemesine imkân verdi.

İzleme sistemindeki açık

BlackNevas saldırısında uzmanlar, kullanıcı kimlik doğrulama ve erişim süreçlerini yöneten sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı faaliyetleri inceledi. UserAssist kayıtları, sistemde uzaktan erişim aracı AnyDesk’in ve düşük seviyeli sistem incelemelerinde sık kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor izleme platformu bulunuyordu.

Uzmanlar, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu hesap bilgileriyle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükleyip çalıştırmayı denedi. İlk girişim "Execution of non-installed file prevented" (Yüklü olmayan dosyanın çalıştırılması engellendi) uyarısıyla durduruldu. Ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı. Saldırganın ayrıca adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak için sistem günlüklerini sildiği belirtildi.

Açıkta bırakılan kimlik bilgileri

The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında benzer bir yöntem izlendi. Saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgilerle Proxmox’a en yüksek yetkili root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşimi sağlayan VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi. Bu erişimle birlikte yönetilen bağlantılı sunucular kümesinde fidye yazılımını indirip çalıştırdı ve sanallaştırılmış ortam şifrelendi.

Kaspersky GERT Uzmanı Rauf Johari, "Bu vakalar, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini gösteriyor. Aynı zamanda güvenlik yamalarını uygulamanın neden tek başına yeterli olmadığını da ortaya koyuyor. Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir. ESXi vakasında sistemin yerleşik çalıştırma kontrolü başlangıçta beklendiği gibi çalıştı. Ancak saldırgan, sahip olduğu yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildi. Bu nedenle işletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması temel güvenlik öncelikleri arasında yer almalı." dedi.

Öneriler

Kaspersky, kuruluşların bu tür tehditlere karşı güvenliklerini güçlendirmeleri için yönetim sistemlerini genel sunucu ağından izole etmelerini, yönetim arayüzleri, izleme platformları ve yönetim ağlarının ağ segmentasyonuyla ayrıştırılmasını ve bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilmesini öneriyor. Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin kullanımına ve saklanmasına son verilmesi, root ve diğer yüksek yetkili hesapların sıkı kontrol edilmesi, parolalarının düzenli değiştirilmesi ve bu bilgilerin düz metin biçiminde ya da kolay erişilebilir yerlerde tutulmaması gerektiği belirtiliyor.

Şirket ayrıca yönetici erişimlerinin gerekli en düşük yetki düzeyiyle sınırlandırılmasını, izleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesinin uygulanmasını tavsiye ediyor. Bu sayede destek sistemlerinden birinin ele geçirilmesi halinde saldırganların doğrudan hipervizör ana sunucularına ulaşması engellenebilir. Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğinin güçlendirilmesi ve sürekli izlenmesi, şüpheli faaliyetlerin hızla tespit edilmesi için mekanizmalar devreye alınması da önerilenler arasında.

Kaspersky ayrıca Cloud Workload Security, Hybrid Cloud Security ve Container Security ürünlerinin sanallaştırılmış ortamların risklerine karşı kapsamlı koruma sağladığını, Kaspersky Next’in gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR müdahale yeteneklerini bütünleşik biçimde sunduğunu belirtiyor. Ek olarak Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri ile Threat Intelligence servisinin, güvenlik ekiplerinin saldırganların en yeni teknik ve yöntemlerinden haberdar olmasını sağlayabileceği ifade ediliyor.

Kaynak: (BYZHA) Beyaz Haber Ajansı