Kaspersky Küresel Acil Müdahale Ekibi (GERT), ESXi ve Proxmox sanallaştırma ortamlarında incelediği iki fidye yazılımı saldırısında, saldırganların hipervizörün güvenlik sınırlarını aşmak yerine yönetim ve erişim kontrolü eksikliklerini kullandığını bildirdi. Şirkete göre zayıf ağ segmentasyonu, dışarıdan erişilebilen yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz saklanması, destek sistemlerinden sanallaştırma altyapısına geçişi mümkün kıldı.
Ortak parola ve yönetici notları erişim sağladı
Şirketin incelediği Ekim 2025 tarihli BlackNevas saldırısında, ESXi ana sunucularına geniş erişim yetkileri bulunan izleme ortamı ele geçirildi. Kaspersky, aynı root parolasının birden fazla sunucuda kullanıldığını ve saldırganın bu bilgilerle SSH üzerinden ana sunuculara bağlandığını belirtti. Yerleşik çalıştırma kontrolü zararlı dosyayı ilk aşamada engellese de saldırganın yüksek yetkilerini kullanarak sistem ayarlarını değiştirdiği ve yazılımı çalıştırdığı aktarıldı.
Ağustos 2026 tarihli The Gentlemen saldırısında ise Kaspersky’ye göre ele geçirilmiş bir yönetici iş istasyonundaki notlarda saklanan hesap bilgileri kullanıldı. Saldırganın Proxmox ortamına root hesabıyla giriş yaparak uzaktan konsol bağlantısını etkinleştirdiği, ardından küme genelinde fidye yazılımını çalıştırdığı ve sanallaştırılmış ortamın şifrelendiği bildirildi.
Yama uygulamak tek başına yeterli değil
Kaspersky GERT Uzmanı Rauf Johari, izleme platformlarının, yönetici iş istasyonlarının ve yönetim ağlarının da sanallaştırma altyapısının saldırı yüzeyi içinde değerlendirilmesi gerektiğini belirtti. Johari’ye göre tüm yamaları uygulanmış bir hipervizör de ortak parola veya gereğinden fazla yetkilendirilmiş bir hesap üzerinden ele geçirilebilir.
Şirket, işletmelere yönetim sistemlerini genel sunucu ağından ayırmalarını, ayrıcalıklı hesap bilgilerini düz metin halinde saklamamalarını ve yönetici erişimlerini gerekli en düşük yetkiyle sınırlandırmalarını öneriyor. Sanallaştırma ana sunucularına erişebilen izleme sistemleri ve yönetici cihazlarının sürekli izlenmesi de öneriler arasında yer alıyor.
