Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarının sanal makine izolasyonunun aşılmasına dayanmadığını tespit etti. Şirketin 11 Kasım 2026 tarihli açıklamasına göre saldırganlar zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve yetersiz korunan izleme sistemleriyle yönetici iş istasyonlarından yararlandı.
- İncelenen vakalar: Ekim 2025’te ESXi ortamında BlackNevas, Ağustos 2026’da Proxmox ortamında The Gentlemen saldırısı.
- Her iki olayda da saldırganlar hipervizörün güvenlik sınırını değil, hatalı yapılandırmaları ve açığa çıkan kimlik bilgilerini kullandı.
- Güvenlik yamalarının uygulanması tek başına yeterli olmadı.
ESXi vakasında saldırgan nasıl ilerledi?
Kaspersky uzmanları, sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. Kayıtlar, uzaktan erişim aracı AnyDesk’in ve GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Altyapıda, ESXi ana sunucularına geniş erişim yetkisi olan PRTG Network Monitor adlı izleme platformu bulunuyordu.
Uzmanlar, en yüksek yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti. İzleme ortamını ele geçiren saldırgan bu bilgilerle SSH üzerinden ESXi ana sunucularına bağlandı ve esx adlı bir dosyayı yükledi. İlk çalıştırma girişimi “Execution of non-installed file prevented” hatasıyla durduruldu, ancak root erişimi olan saldırgan sistem ayarlarını değiştirerek zararlı yazılımı çalıştırdı. Adli bilişim izlerini azaltmak için sistem günlükleri de silindi.
Proxmox vakasında ne oldu?
The Gentlemen fidye yazılımının kullanıldığı Proxmox saldırısında saldırgan, ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Root hesabıyla giriş yapan saldırgan VNC WebSocket’i etkinleştirdi ve birlikte yönetilen sunuculardan oluşan küme genelinde fidye yazılımını çalıştırdı. Sanallaştırılmış ortam şifrelendi.
“Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir.”
Bu sözler Kaspersky GERT Uzmanı Rauf Johari’ye ait.
Kaspersky hangi önlemleri öneriyor?
- Sanallaştırma yönetim sistemlerini, izleme platformlarını ve yönetim ağlarını genel sunucu ağından izole edin.
- Ortak kullanılan ayrıcalıklı hesap bilgilerinin kullanımına ve düz metin saklanmasına son verin; parolaları düzenli değiştirin.
- Yönetici erişimlerini gerekli en düşük yetki düzeyiyle sınırlandırın.
- İzleme sunucularını, yönetici uç noktalarını ve SSH erişim yollarını saldırı yüzeyinin parçası sayıp sürekli izleyin.
- Özelleşmiş ve çok katmanlı güvenlik çözümlerinden ve gerektiğinde dış uzman desteğinden yararlanın.
Şirket araştırmanın tamamının Securelist.com üzerinde yayımlandığını belirtiyor. Kaspersky’nin son dönemdeki diğer araştırmaları için haktivist grupların kiralık DDoS servisleriyle iş birliği yaptığı haberine de göz atabilirsiniz.