Kaspersky Tehdit Araştırma grubu, Latin Amerika ve Afrika’daki eğitim kurumlarını amaç alan ve saldırganların ele geçirdikleri ağlardaki faaliyetlerini yönlendirmek için yapay zekâdan yararlandığı akınları ortaya çıkardı. Araştırmacılar; keşif faaliyetleri, kimlik bilgilerinin ele geçirilmesi, ağdaki başka bilgisayarlara geçiş ve bilgi toplama süreçlerini inceledi. Akınlar kapsamında, yönetici seviyesinde en yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.
Saldırganlar, komuta-kontrol sistemini büyük bir lisan modeliyle (LLM) bir araya getiren açık kaynaklı bir sızma testi çerçevesi olan CyberStrikeAI’ı kullandı. Bu yapıda insan operatör maksatları belirlerken yapay zekâ modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları tahlil edebiliyor. Ele geçirilen bilgisayara yüklenen implant ise bu komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Kaspersky, kelam konusu atakları Eylül ve Ekim 2026 periyodunda gözlemledi.
Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı; bilgi topladı ve kullanacakları araçları hazırladı. İki haftalık bir aranın akabinde CyberStrikeAI implantını devreye soktu. İmplantın yüklenmesinden tesir alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen mühlet üç ila dört gün oldu. Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son basamak ise bir saatten kısa sürdü.
Yapay zekâ, ele geçirilen bilgisayarlarda değil, saldırganların sunucusunda çalışıyordu. İmplant, yapay zekâ hizmetleriyle direkt bağlantı kurmadan, klâsik bir uzaktan denetim aracı üzere fonksiyon görüyordu.
Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki süreçlerden elde etmeye yönelik araçların kullanılması (credential dumping) ve berbat emelli zamanlanmış misyonlar oluşturulması üzere taarruz davranışlarını tespit etti. Kaspersky’nin ağ tespit araçları ise CyberStrikeAI’ın komuta-kontrol trafiğini ve maksatların tesir alanlarını haritalandırmak için kullanılan kuşkulu sorguları belirledi. Kaspersky, kelam konusu implantları HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlıyor.
Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, saldırılara ait şu değerlendirmede bulundu: “Saldırganlar, CyberStrikeAI tabanlı bir yapay zekâ casusu kullanarak kapsamlı bir taarruz zincirini yürüttü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma nazaran belirledi. Bununla birlikte çerçeve, sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve bilgilerin toplanarak dışarı aktarılması üzere bilinen teknik ve formüllere dayanıyordu. Yapay zekâ, saldırganların müsaadesiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar süratli hareket ettiğini değiştiriyor. Lakin Kaspersky EDR üzere hakikat yapılandırılmış güvenlik araçları, ataklarda kullanılan teknikleri hâlâ tespit edebiliyor ve durdurulmasına yardımcı olabiliyor.”
Araştırmacılar, komut evraklarında Çince yorum satırlarına rastladı. Fakat bu bulgular, saldırganların kimliğini yahut bulundukları yeri ortaya koymak için kâfi değil. Kaspersky, bu hücum faaliyetini şimdi bilinen bir tehdit aktörüyle direkt ilişkilendirmediği üzere, tespit edilen tüm altyapının birebir operatör tarafından yönetildiğini de teyit etmiş değil.
Araştırmanın tüm detaylarına Securelist üzerinden ulaşılabilir.
Bu cins akınlara karşı korunmak için Kaspersky, kuruluşlara şu tekliflerde bulunuyor:
- Uç noktalardaki davranışları izleyin. Şüpheli komutları, kimlik bilgilerine erişim teşebbüslerini ve sistemde kalıcılık sağlamaya yönelik düzenekleri incelemek, ele geçirilmiş sistemlere müdahale etmek için Kaspersky Next EDR Expert, gibi bir uç nokta tespit ve müdahale (EDR) tahlili kullanın.
- Ağ genelindeki faaliyetleri takip edin. Birden fazla sistemi kapsayan kuşkulu trafiği ve faaliyetleri tespit edip incelemek için uç nokta müdafaasını, Kaspersky Anti Targeted Attack gibi ağ tespit ve müdahale (NDR) yetenekleriyle destekleyin.
- İncelemelerinizi tehdit istihbaratıyla destekleyin. Analistlerin yeni tehdit göstergelerine ve tespit bilgilerine erişmesini sağlayın. Kaspersky Threat Intelligence Portal, kuşkulu belge ve altyapıların incelenmesini desteklerken Hunt Hub, tehdit avcılığı ve tespit süreçlerine yönelik bilgiler sunuyor.
- Mesai saatleri dışında da izlemeyi sürdürün. Kurum içi grupların kesintisiz izleme sağlayamadığı durumlarda, günün her saati izleme, inceleme ve müdahale takviyesi sunan Kaspersky Managed Detection and Response gibi bir hizmetten yararlanmayı değerlendirin.
Kaynak: (BYZHA) Beyaz Haber Ajansı
