Kaspersky Küresel Acil Müdahale Ekibi (GERT) tarafından yapılan son incelemeler, şirketlerin kritik iş yüklerini yönetmek için kullandığı ESXi ve Proxmox gibi sanallaştırma platformlarına yönelik artan fidye yazılımı tehditlerinin arkasında, beklenenin aksine hipervizör güvenlik sınırlarının aşılması değil, temel yönetim eksiklikleri ve yetersiz güvenlik uygulamalarının bulunduğunu ortaya koydu. Uzmanlar, saldırganların sanal makine izolasyonunu kırmak yerine; zayıf yönetici kontrolleri, birden fazla sistemde ortak kullanılan root hesap bilgileri ve izleme araçlarındaki güvenlik boşluklarından faydalandığını belirtiyor.
Yönetim Hataları ve Erişim Kontrollerindeki Zafiyetler
Araştırmalar, Ekim 2025 tarihinde ESXi ortamında gerçekleşen BlackNevas ve Ağustos 2026'da Proxmox altyapısında görülen The Gentlemen fidye yazılımı vakalarını detaylıca ele alıyor. Her iki saldırıda da saldırganların, hipervizörün yerleşik güvenlik önlemlerini teknikle aşmak yerine, hatalı yapılandırmalardan ve kimlik bilgilerinin güvensiz bir şekilde saklanmasından yararlandığı tespit edildi. Zayıf erişim denetimleri, eksik ağ segmentasyonu, dışarıdan ulaşılabilir yönetim hizmetleri ve ayrıcalıklı hesapların korunmasız yönetimi, saldırganların destek sistemlerinden doğrudan sanallaştırma katmanına geçiş yapmasına ve çok sayıda ana sunucuyu şifreleyerek etkisiz hale getirmesine olanak tanıdı.
BlackNevas saldırısı kapsamında inceleme yapılan Windows tabanlı etki alanı denetleyicisi segmentinde, UserAssist kayıtları aracılığıyla AnyDesk uzaktan erişim aracı ve adli bilişim incelemelerini zorlaştıran GMER programının kullanıldığı görüldü. Bu altyapıda, sanal makinelerin barındırıldığı ESXi ana sunucularına geniş yetkilerle bağlanan PRTG Network Monitor izleme platformu da kritik bir rol oynadı. Saldırgan, aynı root parolasının birden fazla sunucuda paylaşılması avantajını kullanarak SSH protokolü üzerinden ESXi sunucularına giriş yaptı. İlk aşamada "Execution of non-installed file prevented" hatasıyla karşılaşsa da, yüksek düzeydeki erişim yetkilerini istismar ederek sistem ayarlarını değiştirdi ve zararlı kodun çalışmasını sağladı. Ayrıca, olayın izlerini silmek amacıyla sistem günlükleri temizlendi.
The Gentlemen Saldırısında Notlardan Ele Geçirilen Bilgiler
Benzzer bir senaryo, Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısında da karşımıza çıktı. Bu vakada saldırgan, yönetici iş istasyonunda not olarak saklanan ve temel BT altyapısının yönetimine ait kullanıcı adı ile parola içeren dosyalara erişti. Elde edilen bu bilgilerle Proxmox cluster'ına root hesabıyla giriş yapan saldırgan, VNC WebSocket uzaktan konsol bağlantısını aktif hale getirerek sanal makinelerle etkileşime geçti. Ardından, küme içindeki tüm bağlı sunuculara fidye yazılımını yayarak sanallaştırılmış ortamın tamamını şifreledi.
Kaspersky GERT Uzmanı Rauf Johari, bu vakaların kurumların sadece hipervizörleri değil, izleme platformlarını ve yönetici istasyonlarını da saldırı yüzeyi olarak değerlendirmesi gerektiğini vurguluyor. Johari, "Sadece güvenlik yamaları tek başına yeterli değildir. Aynı parolanın paylaşılması veya gereğinden fazla yetki verilen bir izleme hesabı, güvenli bir hipervizörü bile ele geçirilebilir kılar" diyerek, yönetici erişimlerinin sıkılaştırılması, yönetim ağlarının izole edilmesi ve ayrıcalıklı hesap risklerinin minimize edilmesi çağrısında bulunuyor.
Kaspersky, kuruluşlara sanallaştırma yönetim sistemlerini genel ağdan ayrıştırmayı, en az ayrıcalık ilkesini uygulamayı ve Kaspersky Cloud Workload Security gibi çok katmanlı çözümlerden yararlanmayı öneriyor. Ayrıca, Compromise Assessment ve Threat Intelligence hizmetleriyle güncel tehdit istihbaratına erişimin sağlanması, proaktif savunma stratejilerinin temel taşı olarak görülüyor.
