Yazar: Dray Agha, Hunt & Response Kıdemli Müdürü, Huntress Labs
Hipervizörler modern sanallaştırılmış ortamların omurgasıdır, ancak tehlikeye atıldıklarında saldırganlar için bir güç çarpanı haline gelebilirler. Bu katmandaki tek bir ihlal, onlarca hatta yüzlerce sanal makineyi aynı anda riske atabilir. Geleneksel uç noktaların aksine hipervizörler genellikle sınırlı görünürlük ve korumayla çalışır; bu da geleneksel güvenlik araçlarının çok geç olana kadar bir saldırıya karşı kör olabileceği anlamına gelir.
SOC'deki ve Huntress'teki tehdit avlama alanındaki avantajlı noktamızdan, saldırganların fidye yazılımını geniş ölçekte dağıtmak için hipervizörleri giderek daha fazla hedef aldığını görüyoruz. Spesifik olarak, 2025 yılında Huntress vaka verileri, hipervizör fidye yazılımında çarpıcı bir artışı ortaya çıkardı: Kötü amaçlı şifrelemedeki rolü, yılın ilk yarısında sadece %3'ten ikinci yarıda şu ana kadar %25'e fırladı.
Bu trendi yönlendiren başlıca aktör, Akira fidye yazılımı grubudur. Bu değişim, uç noktalara ve sunuculara uygulanan aynı titizlikle hipervizör katmanının güçlendirilmesinin öneminin altını çiziyor.
Bu makalede, doğada gözlemlediğimiz tehditleri ana hatlarıyla özetliyor ve yama uygulama ve erişim kontrolünden çalışma zamanı güçlendirme ve sağlam kurtarma stratejilerine kadar hipervizör altyapınızın güvenliğini sağlamaya yönelik pratik rehberlik sağlıyoruz.
Huntress, 2025'in son birkaç ayında, saldırganların uç nokta ve ağ güvenliği kontrollerini atlatmak amacıyla hipervizörleri hedef aldığını gözlemledi.
Ve bu mantıklıdır: Savunmacılar uç noktaları ve sunucuları güçlendirmeye devam ettikçe, rakipler giderek daha fazla odaklarını sanallaştırılmış altyapının temeli olan hipervizör katmanına kaydırıyor - Tip 1 ("çıplak metal") hipervizör, doğrudan sunucu donanımına kurulan temeldir; Tip 2 ("barındırılan") hipervizör, normal bilgisayarınızın işletim sisteminin üstünde yer alan bir uygulamadır. Değişim, tanıdık bir taktik kitabını takip ediyor.
Bunu VPN cihazlarına yapılan saldırılarda da gördük: Tehdit aktörleri, ana bilgisayar işletim sisteminin genellikle özel veya kısıtlı olduğunun farkındadır; bu, savunucuların EDR gibi kritik güvenlik kontrollerini yükleyemediği anlamına gelir. Bu önemli bir kör nokta yaratır.
Aynı prensip Tip 1 hipervizörler için de geçerlidir; bunlar, geleneksel uç nokta güvenliğinin sıklıkla ulaşamadığı nihai "yerleştir ve genişlet" hedefidir.
Ayrıca fidye yazılımı operatörlerinin geleneksel uç nokta korumalarını tamamen atlayarak fidye yazılımı yüklerini doğrudan hipervizörler aracılığıyla dağıttığı birçok durumu da gözlemledik.
Bazı durumlarda saldırganlar, sanal makine birimlerinin şifrelenmesini gerçekleştirmek için openssl gibi yerleşik araçlardan yararlanarak özel fidye yazılımı ikili dosyalarını yükleme ihtiyacını ortadan kaldırır.
Bu değişim, giderek büyüyen ve rahatsız edici bir eğilimin altını çiziyor: Saldırganlar, tüm ana bilgisayarları kontrol eden altyapıyı hedefliyor ve saldırganlar, hipervizöre erişim sayesinde izinsiz girişlerin etkisini önemli ölçüde artırıyor.
Bilgisayar korsanları da tatilleri seviyor! ÜCRETSİZ Güvenlik Farkındalığı Eğitimini aileniz ve arkadaşlarınızla güvende tutmak için paylaşın.
Siber zekalarını geliştirmek için hızlı, eğlenceli dersler! Erişim 31.01.26 tarihine kadar uzatıldı.
Bir saldırgan, hiper yönetici için yönetici kimlik bilgilerini ele geçirebilirse, ana bilgisayardaki her VM'yi etkileyen fidye yazılımı yüklerini dağıtabilir. Ayrıca, ESXi için etki alanına katılmış hesapların (örneğin, Active Directory (AD) hesapları) kullanılması yanal hareket riskini artırır.
Ne yapalım:
Hiper yönetici düzeyindeki fidye yazılımının benzersiz risklerinden biri, saldırganın ana bilgisayara girdikten sonra konuk işletim sistemi kontrollerini atlayarak hiper yönetici düzeyinde kod çalıştırabilmesidir. Ana bilgisayarı yalnızca beklenen, imzalı kodu ve güvenilir modülleri çalıştıracak şekilde güçlendirmeniz gerekir.
Ne yapalım:
Saldırganlar, toplu şifreleme işlemlerine yönelik bilinen güvenlik açıkları aracılığıyla ESXi ana bilgisayarlarını aktif olarak hedefliyor. 0days ve CVE'ler büyük olasılıkla uzlaşmanın en yaygın/gerçek nedeni olmayacak ve muhtemelen güvenlik segmentasyonunda eksiklikler olacaktır. Ancak yamanın sürdürülmesi kritik öneme sahiptir.
Örneğin, CVE-2024-37085 bu hipervizör riskini mükemmel bir şekilde vurgulamaktadır. Bu güvenlik açığı, yeterli AD izinlerine sahip saldırganların kimlik doğrulamayı atlamasına ve bir ESXi ana bilgisayarının tam yönetim kontrolünü anında ele geçirmesine olanak tanır ve bu da tüm VM'lerin saniyeler içinde toplu olarak şifrelenmesine yol açar.
Güvenlik açığı bulunan ESXi ana bilgisayarları 'ESX Yöneticileri' AD grubuna otomatik olarak tam yönetici ayrıcalıkları verdiği için bu istismar işe yarıyor. Tehdit aktörleri, krallığın anahtarlarını hemen ele geçirmek için bu grubu yeniden yaratırlar.
Bu ilk riskler genellikle yamalı yönetim arayüzleri veya düşük çaba gerektiren bir giriş noktası sağlayan Hizmet Konumu Protokolü (SLP) gibi açığa çıkan protokollerle başlar.
Ne yapalım:
Güçlü önlemeyle bile risk devam ediyor. Hipervizör katmanı oldukça etkilidir; geri dönüş zorunludur. Birçok rehber iyileşmenin son savunma hattı olduğunu vurguluyor. ESXi'yi hedef alan fidye yazılımı genellikle VMDK'ları ve ana bilgisayar dosyalarını şifrelemeye çalışır; iyi yedeklemeler olmadan ödeme yapmak zorunda kalabilirsiniz.
Ne yapalım:
Hiper yönetici katmanı, EDR gibi geleneksel uç nokta güvenlik araçları tarafından genellikle daha az görünür olduğundan, alternatif bir algılama stratejisine ihtiyacınız vardır. Saldırganlar genellikle fidye yazılımı veri dağıtımının öncüsü olarak VIB kabul düzeyini değiştirmek, SSH'yi etkinleştirmek, kilitleme modunu devre dışı bırakmak veya yeni yönetici hesapları oluşturmak gibi eylemler gerçekleştirir.
İzleme olmadan, olayı yalnızca şifreleme tamamlandıktan sonra tespit edebilirsiniz.
Ne yapalım:
Üçüncü taraf bir SOC veya MDR sağlayıcısıyla ortaklık kurarken ortak bir sorumluluk modeli oluşturmayı düşünün. Harici güvenlik ortağınız, rutin dahili bakımı, gece saat 2'de içeri giren bir saldırgandan ayırt edecek gerekli iş bağlamına sahip olmayacaktır.
Bu ayrım kritik önem taşıyor: Üçüncü taraf SOC, fidye yazılımının yürütülmesi gibi evrensel kötülüğü tespit etmek için en iyi konumdadır. Bunu artırmak için, dahili güvenlik ekibinizin, gece geç saatlerde oturum açma ve ardından SSH'yi etkinleştirme gibi yalnızca kendilerinin bağlamlandırabileceği içeriden gelen tehditleri ve eylemleri izlemeye odaklanmasını öneririz.
Bu modelin başarılı olması için BT ekiplerinin değişiklik kontrol prosedürlerine sıkı sıkıya uyması ve beklenen tüm hipervizör değişikliklerini iç güvenliğe iletmesi gerekir. Bu, SOC'nin beklenen tüm faaliyetlerden haberdar olmasını sağlayarak tüm tarafların çabalarını en etkili oldukları yere odaklamalarına olanak tanır.
ESXi gibi yalın donanım hipervizörlerini fidye yazılımlarından korumak katmanlı, proaktif bir yaklaşım gerektirir. Yama uygulama ve erişim kontrolünden çalışma zamanı güçlendirme ve kurtarma hazırlığına, algılama ve günlük kaydına kadar tüm açıları kapsamanız gerekir.
En kötüsüne hazırlanma konusunda daha kapsamlı rehberliğe ihtiyacınız varsa Felaket Kurtarma Planlaması kılavuzumuzu inceleyin. Şimdi kuruluşunuzun şu soruyu sormasının zamanı geldi: IRP'lerimizi ve DRP'lerimizi en son ne zaman tamamen güncelleyip test ettik, özellikle tüm konuk sanal makineleri geri yükleme ve çalıştırma yeteneğini onayladık?
En iyi önleme ve tespit çabalarımıza rağmen kuruluşların başarılı bir uzlaşma olasılığına da hazırlıklı olmaları gerekir. Kendinizi tehlikeye atılmış bir ESXi ortamına yanıt verirken bulursanız, bu kapsamlı ESXi IR Kılavuzunu incelemenizi öneririz. Kılavuz, özellikle ESXi ortamları için uyarlanmış ayrıntılı olay müdahale prosedürleri ve adli yapılar sağlar.
Huntress'ten yararlanarak bunların çoğunu zaten işletim sistemi/uç nokta katmanında uygulayabilirsiniz; ancak hipervizör, kitlesel etki potansiyeli nedeniyle aynı titizliği (ve çoğu zaman daha fazlasını) talep eder.
Bu makalenin savunma kılavuzunu ortamınıza ve güvenlik süreçlerinize dahil ederseniz, fidye yazılımı aktörlerinin önündeki engeli önemli ölçüde yükseltmiş olursunuz.
Tradecraft Tuesday, siber güvenlik profesyonellerine en yeni tehdit aktörleri, saldırı vektörleri ve azaltma stratejileri hakkında derinlemesine bir analiz sunuyor. Her haftalık oturumda son olaylara ilişkin teknik açıklamalar, kötü amaçlı yazılım eğilimlerinin kapsamlı dökümleri ve güncel güvenlik ihlali göstergeleri (IOC'ler) yer alır.
Katılımcılar şunları kazanır:
Salı günü Tradecraft'a kaydolun →
Kuruluşlarının ortamını korumaktan sorumlu olanlar için özel olarak tasarlanmış gerçek zamanlı istihbarat ve teknik eğitimle savunma duruşunuzu geliştirin.
Huntress Labs tarafından desteklenmiş ve yazılmıştır.
Kaynak: Bleeping Computer