Fidye yazılımı saldırılarının arkasında temel yönetim

Araştırmalar, her iki olayda da saldırganların hipervizörün güvenlik sınırlarını aşmak yerine hatalı yapılandırmalardan ve kimlik bilgilerinin açığa çıkmasından yararlandığını ortaya koydu. Zayıf erişim kontrolleri, yetersiz ağ segmentasyonu, dışarıdan erişime açık yönetim hizmetleri ve ayrıcalıklı hesap bilgilerinin güvenli olmayan biçimde yönetilmesi, saldırganların destek sistemlerinden sanallaştırma katmanına ilerlemesine ve birden fazla ana sunucuyu etkilemesine olanak tanıdı.

İzleme sistemlerindeki güvenlik açığı. Güvenlik uzmanları, kullanıcı kimlik doğrulama ve erişim süreçlerinin yönetildiği sanallaştırılmış etki alanı denetleyicisi segmentindeki bir Windows sistemiyle bağlantılı BlackNevas fidye yazılımı faaliyetlerini inceledi.

Windows sistemlerinde hangi uygulamaların çalıştırıldığını ortaya koyabilen UserAssist kayıtları, uzaktan erişim aracı AnyDesk’in ve düşük seviyeli sistem faaliyetlerini incelemek için sıklıkla kullanılan GMER programına ait bir çalıştırılabilir dosyanın kullanıldığını gösterdi. Söz konusu altyapıda ayrıca sanal makinelerin çalıştığı ESXi ana sunucularına geniş erişim yetkilerine sahip PRTG Network Monitor adlı altyapı izleme platformu kullanılıyordu.

Güvenlik uzmanları, en yüksek düzeyde yönetici yetkisi sağlayan aynı root parolasının birden fazla sunucuda kullanıldığını tespit etti.

Gelişmenin Detayları

İzleme ortamını ele geçiren saldırgan, bu hesap bilgilerini kullanarak standart bir uzaktan yönetim protokolü olan SSH üzerinden ESXi ana sunucularına bağlandı. Ardından esx adlı bir dosyayı sisteme yükleyerek çalıştırmayı denedi.

İlk girişim, “Execution of non-installed file prevented” (Yüklü olmayan dosyanın çalıştırılması engellendi) hata mesajıyla durduruldu. Ancak root erişimine sahip olan saldırgan, sistem ayarlarını değiştirerek zararlı yazılımı çalıştırmayı başardı.

Saldırı kapsamında ayrıca adli bilişim incelemelerinde tespit edilebilecek izleri azaltmak ve olayın sonradan araştırılmasını zorlaştırmak amacıyla sistem günlükleri silindi. Açıkta bırakılan kimlik bilgileri.

The Gentlemen fidye yazılımının kullanıldığı ayrı bir Proxmox saldırısında da benzer bir yöntem izlendi.

Bu olayda saldırgan, temel BT altyapısının yönetiminde kullanılan ve ele geçirilmiş bir yönetici iş istasyonunda saklanan notlardan yönetici hesap bilgilerini ve erişim ayrıntılarını elde etti. Bu bilgiler sayesinde Proxmox’a en yüksek yetki düzeyine sahip root hesabıyla giriş yapan saldırgan, sanal makinelerle tarayıcı üzerinden etkileşim kurulmasını sağlayan uzaktan konsol bağlantısı VNC WebSocket’i etkinleştirdi.

Ardından bu erişimi kullanarak birlikte yönetilen bağlantılı sunuculardan oluşan küme genelinde fidye yazılımını indirdi ve çalıştırdı. Saldırı sonucunda sanallaştırılmış ortam şifrelendi.