Sanallaştırılmış Altyapılara Yönelik Tehdit

Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin birden fazla sunucu ve iş yükünü yönetmek için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik son fidye yazılımı saldırılarını inceledi. Araştırmalar, saldırganların hipervizör güvenlik sınırlarını doğrudan kırma yoluna gitmediğini, bunun yerine temel yönetim hatalarından yararlandığını ortaya koymaktadır.

BlackNevas Saldırısı: ESXi Ortamında Yönetim Açığı

Kaspersky uzmanları Ekim 2025'te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını inceledi. Saldırganlar, izleme sistemlerindeki bir Windows sistemine erişim sağladıktan sonra, burada depolanan yönetici hesap bilgilerini ele geçirdi.

Araştırma sonuçlarına göre:

  • Aynı root parolası birden fazla sunucuda kullanılıyordu
  • Saldırganlar SSH protokolü üzerinden ESXi ana sunucularına bağlandı
  • Sistem ayarlarını değiştirerek zararlı yazılım çalıştırma başarısı sağladı
  • Sistem günlükleri adli incelemeyi zorlaştırmak amacıyla silindi

Söz konusu altyapıda PRTG Network Monitor adlı izleme platformu kullanılıyor ve bu platform ESXi sunucularına geniş erişim yetkilerine sahipti. UserAssist kayıtları, uzaktan erişim aracı AnyDesk'in ve sistem inceleme programı GMER'in kullanıldığını ortaya koymaktadır.

The Gentlemen Saldırısı: Proxmox Sisteminde Kimlik Bilgisi Açığı

Ağustos 2026'da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısında da benzer bir yöntem izlenmiştir. Saldırganlar, ele geçirdikleri bir yönetici iş istasyonundan saklanan notlarda yönetici hesap bilgilerini ve erişim ayrıntılarını bulmuştur.

Bu bilgileri kullanarak saldırganlar:

  • Proxmox'a root hesabıyla en yüksek yetki düzeyinde giriş yaptı
  • VNC WebSocket uzaktan konsol bağlantısını etkinleştirdi
  • Yönetilen sunucuların tamamında fidye yazılımını çalıştırdı

Temel Güvenlik Eksiklikleri

Kaspersky'nin analizi, her iki olayda da ortak güvenlik sorunlarının saldırıya neden olduğunu göstermektedir:

  • Zayıf erişim kontrolleri ve yetersiz ağ segmentasyonu
  • Dışarıdan erişime açık yönetim hizmetleri
  • Ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi
  • İzleme sistemlerindeki eksik güvenlik uygulamaları
  • Yönetici iş istasyonlarında kimlik bilgilerinin açık metin olarak depolanması

Sonuç

Araştırmalar, sanallaştırılmış altyapılara yönelik fidye yazılımı saldırılarının teknik açılardan değil, yönetim ve güvenlik proseslerindeki hatalardan kaynaklandığını göstermektedir. Şirketlerin root parolaları güvenli şekilde yönetmesi, ağ segmentasyonunu sıkılaştırması ve izleme sistemlerindeki güvenlik kontrollerini iyileştirmesi kritik öneme sahiptir.