Kaspersky Küresel Acil Müdahale Ekibi (GERT), kurumsal altyapılarda yaygın olarak kullanılan ESXi ve Proxmox sanallaştırma ortamlarını hedef alan son fidye yazılımı saldırılarını mercek altına aldı. Yapılan detaylı incelemeler, bu saldırıların sanal makine izolasyon mekanizmalarını aşmaya yönelik karmaşık tekniklerden ziyade, temel yönetim ve güvenlik zafiyetlerinden kaynaklandığını ortaya koydu. Özellikle, sanallaştırma saldırılarının arkasında zayıf yönetim kontrolleri, birden fazla sistemde kullanılan aynı kök (root) hesap bilgileri ve izleme sistemleri ile yönetici iş istasyonlarındaki yetersiz güvenlik uygulamaları gibi kritik eksiklikler tespit edildi. Bu durum, siber saldırganların sanallaştırılmış altyapılara kolayca erişerek şifreleme eylemlerini gerçekleştirmesine olanak tanıyor.
Fidye Yazılımlarının Hedefindeki Zayıf Noktalar
Kaspersky uzmanları, Ekim 2025'te bir ESXi ortamında meydana gelen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026'da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını ayrıntılı olarak inceledi. Araştırmalar, her iki olayda da saldırganların hipervizörün güvenlik sınırlarını doğrudan aşmak yerine, sistemdeki hatalı yapılandırmalardan ve sızdırılmış kimlik bilgilerinden faydalandığını gösterdi. Bu saldırılarda öne çıkan zafiyetler şunlardı:
- Zayıf erişim kontrolleri
- Yetersiz ağ segmentasyonu
- Dışarıdan erişime açık yönetim hizmetleri
- Ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi
Bu tür güvenlik açıkları, saldırganların destek sistemlerinden sanallaştırma katmanına kolayca ilerlemesine ve birden fazla ana sunucuyu etkilemesine zemin hazırladı.
İzleme Sistemlerindeki Güvenlik Açıkları ve Kritik Veri İhlalleri
Kaspersky uzmanları, BlackNevas fidye yazılımı faaliyetlerini incelerken, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemini mercek altına aldı. Bu Windows sisteminde, hangi uygulamaların çalıştırıldığını gösteren UserAssist kayıtları, uzaktan erişim aracı AnyDesk'in ve düşük seviyeli sistem faaliyetlerini incelemek için kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını ortaya koydu. Bu durum, saldırganların sisteme uzaktan erişim sağlayarak keşif ve izleme faaliyetleri yürüttüğünü gösteriyor.
PRTG Network Monitor Kullanımı ve Geniş Yetkiler
Söz konusu altyapıda ayrıca, sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı bir altyapı izleme platformunun kullanıldığı tespit edildi. Bu tür izleme sistemlerinin kendisi bir güvenlik açığı olmasa da, yanlış yapılandırıldığında veya güvenlik kontrolleri yetersiz olduğunda saldırganlar için kritik bir hedef haline gelebilir. Zira bu platformlar, genellikle tüm ağ altyapısına geniş yetkilerle erişim sağladığı için, ele geçirildiğinde saldırganlara büyük bir avantaj sunar. Bu durum, izleme sistemlerinin de en az diğer kritik sistemler kadar sıkı güvenlik denetimlerinden geçirilmesi gerektiğini bir kez daha gözler önüne seriyor.
Kurumlar İçin Alınması Gereken Önlemler
Kaspersky'nin bu araştırması, kurumların sanallaştırılmış altyapılarını fidye yazılımı saldırılarına karşı korumak için sadece hipervizör güvenliğine odaklanmakla kalmayıp, aynı zamanda yönetimsel ve operasyonel güvenlik pratiklerini de güçlendirmesi gerektiğini gösteriyor. Özellikle kimlik ve erişim yönetimi, ağ segmentasyonu, yönetim hizmetlerinin dışarıya açık olmaması ve ayrıcalıklı hesapların güvenli yönetimi gibi konulara azami dikkat gösterilmesi gerekiyor. Ayrıca, izleme ve denetim sistemlerinin de düzenli olarak güvenlik kontrollerinden geçirilmesi ve potansiyel zafiyetlere karşı sürekli tetikte olunması büyük önem taşıyor.
Özetle, sanallaştırma teknolojilerinin sağladığı esnekliğin yanı sıra getirdiği güvenlik riskleri de göz ardı edilmemelidir. Kurumlar, siber güvenlik stratejilerini bütünsel bir yaklaşımla ele alarak, sadece teknolojik önlemlerle değil, aynı zamanda insan faktörünü ve süreçleri de kapsayacak şekilde güçlendirmelidir. Bu sayede, fidye yazılımı gibi yıkıcı saldırılara karşı daha dirençli bir duruş sergilenebilir.
