11 Kasım 2026’da paylaşılan bulgulara göre, Kaspersky Küresel Acil Müdahale Ekibi (GERT), şirketlerin ortak altyapılarda birden fazla sunucu ve iş yükünü çalıştırıp yönetmek için kullandığı ESXi ve Proxmox sanallaştırma ortamlarına yönelik fidye yazılımı saldırılarının sanal makine izolasyonunun aşılmasına dayanmadığını tespit etti. Saldırganlar bunun yerine zayıf yönetim kontrollerinden, birden fazla sistemde kullanılan root hesap bilgilerinden ve izleme sistemleriyle yönetici iş istasyonlarındaki yetersiz güvenlik uygulamalarından yararlanarak altyapılara erişti ve bu sistemleri şifreledi.
Kaspersky uzmanları, Ekim 2025’te ESXi ortamında gerçekleşen BlackNevas fidye yazılımı saldırısını ve Ağustos 2026’da Proxmox ortamında yaşanan The Gentlemen fidye yazılımı saldırısını inceledi. Araştırmalara göre saldırganlar, her iki olayda da hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve açığa çıkan kimlik bilgilerinden yararlandı.
Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişilebilen yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvensiz biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.
Kaspersky uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas faaliyetlerini inceledi. Windows sistemlerinde hangi uygulamaların çalıştırıldığını gösterebilen UserAssist kayıtları, uzaktan erişim aracı AnyDesk’in ve düşük seviyeli sistem faaliyetlerini incelemek için kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını ortaya koydu.
Altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı izleme platformu bulunuyordu. Kaspersky uzmanları, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti.
İzleme ortamını ele geçiren saldırgan, bu hesap bilgileriyle standart bir uzaktan yönetim protokolü olan SSH üzerinden ESXi ana sunucularına bağlandı. Ardından esx adlı bir dosyayı sisteme yükleyerek çalıştırmayı denedi. İlk girişim, “Execution of non-installed file prevented” (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip saldırgan, sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı.
Saldırganlar, adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak ve olayın sonradan araştırılmasını zorlaştırmak amacıyla sistem günlüklerini de sildi.
The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında da benzer bir yöntem izlendi. Saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti.
Bu bilgilerle Proxmox’a en yüksek yetki düzeyine sahip root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket’i etkinleştirdi. Ardından bu erişimi kullanarak birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirip çalıştırdı. Saldırı sonucunda sanallaştırılmış ortam şifrelendi.
Kaspersky Küresel Acil Müdahale Ekibi (GERT) Uzmanı Rauf Johari, kurumların izleme platformlarını, yönetici iş istasyonlarını ve yönetim ağlarını da sanallaştırma altyapısının saldırı yüzeyinin bir parçası olarak değerlendirmesi gerektiğini söyledi. Johari, güvenlik yamalarını uygulamanın tek başına yeterli olmadığını belirterek tüm yamalar uygulanmış bir hipervizörün bile ortak kullanılan bir parola, gereğinden fazla yetkilendirilmiş bir izleme hesabı, açık bir SSH bağlantısı veya genel sunucu ağından erişilebilen bir yönetim arayüzü üzerinden ele geçirilebileceğini ifade etti.
Johari, ESXi vakasında sistemin yerleşik çalıştırma kontrolünün başlangıçta beklendiği gibi çalıştığını, ancak saldırganın yüksek erişim yetkileri sayesinde bu korumayı devre dışı bırakabildiğini aktardı. İşletmelerin sanallaştırılmış altyapılarını korumak için yönetici erişimlerini sıkılaştırması, yönetim sistemlerini izole etmesi ve ayrıcalıklı hesap bilgilerinin açığa çıkma riskini azaltması gerektiğini vurguladı.
Sanallaştırma yönetim sistemlerini genel sunucu ağından izole edin. Yönetim arayüzleri, izleme platformları ve yönetim ağları ağ segmentasyonu yoluyla ayrıştırılmalı; bu sistemlere yalnızca sıkı güvenlik kontrollerine tabi cihazlardan erişim sağlanmalıdır.
Ortak kullanılan veya yeniden kullanılabilir ayrıcalıklı hesap bilgilerini rutin olarak kullanmayı ve saklamayı bırakın. Root ve diğer yüksek yetkili hesaplar sıkı biçimde kontrol edilmeli, parolaları düzenli olarak değiştirilmeli ve bu bilgiler şifrelenmemiş düz metin biçiminde ya da kolayca erişilebilen kurum içi sistemlerde saklanmamalıdır.
Yönetici erişimlerini gerekli olan en düşük yetki düzeyiyle sınırlandırın. İzleme hesaplarında, yönetici iş istasyonlarında ve hizmet erişimlerinde en az ayrıcalık ilkesi uygulanmalıdır. Böylece destek sistemlerinden biri ele geçirilse bile saldırganların doğrudan hipervizör ana sunucularına ulaşması önlenebilir.
Sanallaştırma ana sunucularına erişebilen sistemlerin güvenliğini güçlendirin ve bu sistemleri sürekli izleyin. İzleme sunucuları, yönetici uç noktaları ve SSH erişim yolları saldırı yüzeyinin bir parçası olarak ele alınmalıdır. Daha güçlü erişim kontrolleri, sürekli izleme ve şüpheli faaliyetleri hızla tespit edecek mekanizmalar devreye alınmalıdır.
Özelleşmiş güvenlik çözümlerinden yararlanın. Kaspersky Cloud Workload Security, Kaspersky Hybrid Cloud Security ve Kaspersky Container Security ürünleri, sanallaştırılmış ortamların karşı karşıya olduğu güvenlik risklerine yönelik kapsamlı koruma sağlıyor.
Çok katmanlı güvenlik çözümlerini tercih edin. Kaspersky Next gibi çözümler; gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR müdahale yeteneklerini bütünleşik biçimde sunuyor.
Gelişmiş siber güvenlik hizmetlerinden destek alın. Kaspersky Compromise Assessment, Managed Detection and Response ve Incident Response hizmetleri; tespit edilmesi güç siber saldırılara karşı korunmaya, güvenlik olaylarını araştırmaya ve kurum içi siber güvenlik uzmanlığının yetersiz olduğu durumlarda ek uzman desteği sağlamaya yardımcı oluyor.
Siber güvenlik uzmanlarının güncel tehdit istihbaratına erişmesini sağlayın. Kaspersky Threat Intelligence gibi hizmetler, güvenlik ekiplerinin saldırganların kullandığı en yeni teknikler, taktikler ve prosedürler hakkında güncel bilgi edinmesine yardımcı oluyor.
Araştırmanın tamamına Securelist.com üzerinden ulaşılabiliyor.
Kaspersky, 1997 yılında kurulmuş küresel bir siber güvenlik ve dijital gizlilik şirketidir. Şirket, bugüne kadar bir milyardan fazla cihazı yeni ortaya çıkan siber tehditlere ve hedefli saldırılara karşı korudu.
Kaspersky’nin tehdit istihbaratı ve güvenlik uzmanlığı, dünyanın dört bir yanındaki bireyleri, işletmeleri, kritik altyapıları ve devletleri korumaya yönelik çözümlere ve hizmetlere dönüşüyor. Şirketin güvenlik portföyünde kişisel cihazlar için dijital yaşam koruması, şirketlere yönelik güvenlik ürünleri ve hizmetleri ile gelişen dijital tehditlerle mücadeleye yönelik Cyber Immune çözümleri yer alıyor. Kaspersky, milyonlarca bireyin ve yaklaşık 200.000 kurumsal müşterinin kendileri için önemli olanları korumasına yardımcı oluyor.
