Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının temelinde sanal makine izolasyonunun aşılmasının değil, zayıf yönetim kontrollerinin bulunduğunu belirledi. Araştırmalar, saldırganların birden fazla sistemde ortak kullanılan root hesap bilgilerini, yetersiz güvenlik uygulamalarını ve zayıf erişim kontrollerini kullanarak sanallaştırılmış altyapılara erişim sağladığını ortaya koymuştur. Bu durum, sanal makinelere erişim sağlayan sistemlerin şifrelenmesiyle sonuçlanmıştır.
Kaspersky uzmanları, Ekim 2025'te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısına ve Ağustos 2026'da Proxmox ortamında yapılan The Gentlemen fidye yazılımı saldırısına dair araştırmalar yapmıştır. Her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmaktan ziyade, hatalı yapılandırma ve kimlik bilgisi sızıntılarından yararlanarak saldırdıkları tespit edilmiştir. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu ve dışarıdan erişime açık yönetim hizmetleri, sanallaştırılmış altyapının zafiyetlerini artırmıştır.
BlackNevas fidye yazılımı saldırısında, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği bir Windows sistemi ile bağlantılı olduğu saptanan bir sanallaştırılmış etki alanı denetleyicisi kullanılmıştır. Saldırgan, uzaktan erişim aracı AnyDesk ve genel sistem faaliyetlerini incelemek için kullanılan GMER programını kullanmıştır. Saldırı, ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı altyapı izleme platformunun bulunmasıyla kolaylaşmıştır.
Devam eden araştırmalarda, çoğu sunucuda aynı root parolasının kullanıldığı ve bu durumun saldırganlar tarafından istismar edildiği anlaşılmıştır. Saldırgan, ele geçirdiği hesap bilgileri ile SSH protokolü üzerinden ESXi ana sunucularına bağlanmış ve zararlı yazılımı sistemde çalıştırmak istemiştir. Yükleme denemesi sırasında "Yüklü olmayan dosyanın çalıştırılması engellendi" hatasıyla karşılaşmasına rağmen, root erişimine sahip olması sayesinde gerekli sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başarmıştır. Ayrıca, saldırının izlerini silmek amacıyla sistem günlüklerini de silmiştir.
Öte yandan, The Gentlemen fidye yazılımının kullanıldığı saldırıda da benzer bir faydalanma yöntemi izlenmiştir. Bu olayda, yönetim iş istasyonuna yerleştirilen notlardan yönetici hesap bilgileri ele geçirilmiştir. Saldırgan, Proxmox'a en yüksek erişim düzeyine sahip root hesabıyla giriş yaparak VNC WebSocket bağlantısını etkinleştirmiştir. Bu erişimi kullanarak, bağlı sunucularda fidye yazılımını yaymış ve sonunda sanallaştırılmış ortamı şifrelemiştir.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, siber güvenlik önlemlerinin gözden geçirilmesi gerektiğinin altını çizerek, “Kurumlar, izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmelidir." dedi. Ayrıca, güvenlik yamalarının uygulanmasının tek başına yeterli olmadığını, yüksek erişim yetkilerine sahip olanların tekrar bir araya gelebileceği durumlarda saldırganların sanallaştırılmış sistemlere erişebileceğini vurguladı.
Kaspersky, kuruluşların bu tür siber tehditlere karşı güvenliklerini artırmaları için şu önerilerde bulunmuştur:
- Sanallaştırma yönetim sistemlerini genel sunucu ağından izole edin. Bu sistemler yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişilebilir olmalıdır.
- Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerinin rutin kullanımına son verin. Bu hesaplar sıkı bir şekilde kontrol edilmelidir.
- Yönetici erişimlerini gerekli minimum yetkiyle sınırlayın. En az ayrıcalık ilkesi uygulanmalıdır.
- Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğini güçlendirin. Bu sistemlerin sürekli izlenmesi sağlanmalıdır.
- Özelleşmiş güvenlik çözümlerinden yararlanın.
- Çok katmanlı güvenlik çözümlerini tercih edin.
- Gelişmiş siber güvenlik hizmetlerinden destek alın.
- Siber güvenlik uzmanlarının güncel tehdit istihbaratına erişimini sağlayın.
