Fidye yazılımı saldırılarında yönetim ve güvenlik açıkları öne çıkıyor

Siber güvenlik uzmanları, sanallaştırılmış sunucu altyapılarını hedef alan fidye yazılımı saldırılarında zayıf erişim kontrollerinin, ortak kullanılan yönetici parolalarının ve yetersiz güvenlik önlemlerinin belirleyici rol oynadığını ortaya koydu. İncelenen iki ayrı saldırıda, sistemlerin güvenlik mekanizmalarının doğrudan aşılması yerine yönetim süreçlerindeki eksikliklerden yararlanıldığı belirlendi.

Kurumların birden fazla sunucu ve iş yükünü ortak altyapılar üzerinden yönetmesini sağlayan sanallaştırma sistemleri, fidye yazılımı saldırılarının hedefi olmaya devam ediyor. Siber güvenlik uzmanlarının Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen saldırılarına ilişkin incelemeleri, saldırganların sistemlere erişmek için hatalı yapılandırmalardan ve ele geçirilen yönetici hesap bilgilerinden yararlandığını gösterdi.

Araştırmaya göre zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dış erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli biçimde saklanmaması, saldırganların destek sistemlerinden sanallaştırma altyapısına ilerlemesini kolaylaştırdı. Bu eksiklikler, saldırıların birden fazla ana sunucuya yayılmasına ve sanallaştırılmış ortamların şifrelenmesine neden oldu.

ORTAK KULLANILAN PAROLALAR SALDIRGANLARIN ERİŞİMİNİ KOLAYLAŞTIRDI

ESXi ortamında gerçekleşen BlackNevas saldırısında, sanallaştırılmış altyapıyla bağlantılı bir Windows sistemi ve geniş erişim yetkilerine sahip ağ izleme platformu incelendi. Uzmanlar, aynı yüksek yetkili yönetici parolasının birden fazla sunucuda kullanıldığını tespit etti.

İzleme ortamını ele geçiren saldırgan, elde ettiği hesap bilgileriyle uzaktan bağlantı kurarak ESXi ana sunucularına erişti. Sisteme yüklediği zararlı yazılımın çalıştırılması başlangıçta güvenlik mekanizması tarafından engellendi. Ancak saldırgan, sahip olduğu yüksek yönetici yetkilerini kullanarak sistem ayarlarını değiştirdi ve yazılımı çalıştırmayı başardı. Saldırı sırasında olayın incelenmesini zorlaştırmak amacıyla sistem kayıtlarının da silindiği belirlendi.

Proxmox ortamını hedef alan The Gentlemen saldırısında ise yönetici iş istasyonunda saklanan erişim bilgileri kullanıldı. Saldırgan, ele geçirdiği hesap bilgileriyle sisteme en yüksek yetki düzeyinde giriş yaptı. Ardından uzaktan konsol bağlantısını etkinleştirerek birbirine bağlı sunucular üzerinde fidye yazılımını çalıştırdı. Saldırı sonucunda sanallaştırılmış altyapı şifrelendi.

GÜVENLİK GÜNCELLEMELERİ TEK BAŞINA YETERLİ OLMUYOR

İncelenen olaylar, sanallaştırma altyapılarının korunmasında güvenlik güncellemelerinin yanı sıra erişim yönetiminin de önem taşıdığını ortaya koydu. Uzmanlar, izleme platformlarının, yönetici iş istasyonlarının ve yönetim ağlarının saldırganlar tarafından kullanılabilecek erişim noktaları arasında değerlendirilmesi gerektiğini vurguladı.

Araştırmaya ilişkin değerlendirmede bulunan siber güvenlik uzmanları, “Tüm güvenlik yamaları uygulanmış bir hipervizör bile saldırganın ortak kullanılan bir paroladan, gereğinden fazla yetkilendirilmiş bir izleme hesabından, açık bir SSH bağlantısından veya genel sunucu ağından erişilebilen bir yönetim arayüzünden yararlanması durumunda ele geçirilebilir” ifadelerini kullandı.

Uzmanlar, özellikle yüksek yetkili hesapların ele geçirilmesinin mevcut güvenlik mekanizmalarını etkisiz hâle getirebildiğine dikkat çekti. ESXi saldırısında zararlı yazılımın çalıştırılmasının başlangıçta engellenmesine rağmen saldırganın yönetici yetkileri sayesinde bu korumayı devre dışı bırakabilmesi, erişim güvenliğinin önemini ortaya koydu.

YÖNETİM SİSTEMLERİNİN KORUNMASI ÖNEM TAŞIYOR

Uzmanlar, benzer saldırıların önlenmesi için sanallaştırma yönetim sistemlerinin genel sunucu ağlarından ayrılması ve bu sistemlere erişimin sıkı güvenlik kontrolleriyle sınırlandırılması gerektiğini belirtti.

Yüksek yetkili hesapların farklı sistemlerde ortak kullanılmaması, parolaların düzenli olarak değiştirilmesi ve erişim bilgilerinin korunmasız dosyalarda saklanmaması önerildi. Ayrıca izleme platformları ve yönetici iş istasyonlarında, kullanıcıların yalnızca görevlerini yerine getirmek için ihtiyaç duydukları yetkilere sahip olmasını esas alan güvenlik yaklaşımının uygulanması gerektiği ifade edildi.

Sanallaştırma sunucularına erişebilen sistemlerin sürekli izlenmesi, şüpheli faaliyetlerin erken tespit edilmesi ve güvenlik olaylarına hızlı müdahale edilmesi de öne çıkan önlemler arasında yer aldı. Uzmanlar, kurumların güncel siber tehditleri takip etmesinin ve gelişmiş saldırılara karşı çok katmanlı güvenlik önlemleri uygulamasının sanallaştırılmış altyapıların korunmasında önemli rol oynadığını vurguladı.