Kaspersky Tehdit Araştırma ekibi, Latin Amerika ve Afrika'daki eğitim kurumlarını hedef alan siber saldırıları ortaya çıkardı. Şirketin incelemesine göre saldırganlar, ele geçirdikleri ağlarda sonraki adımlarını belirlemek ve faaliyetlerini yönlendirmek amacıyla yapay zekadan yararlandı.
Kaspersky araştırmacıları, Eylül ve Ekim 2026 döneminde gözlemlenen saldırılarda sistem keşfi, kullanıcı bilgilerini ele geçirme, ağ içindeki diğer bilgisayarlara geçiş ve veri toplama aşamalarını inceledi. Saldırılar sırasında yönetici düzeyinde yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.
CyberStrikeAI saldırı sürecinde kullanıldı
Saldırganların, komuta-kontrol altyapısını büyük dil modeliyle (LLM) birleştiren açık kaynaklı sızma testi çerçevesi CyberStrikeAI'dan yararlandığı tespit edildi. Bu sistemde hedefleri insan operatör belirlerken yapay zeka modeli kullanılacak araçları seçebiliyor, komutlar hazırlayabiliyor ve uygulama sonuçlarını analiz edebiliyor.
Ele geçirilen bilgisayarlara yüklenen "implant" adı verilen zararlı kod, hazırlanan komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Böylece yapay zeka destekli sistem, ele geçirilen ağlardaki faaliyetlerin yönetilmesinde kullanılıyor.
Yönetici hesaplarına ulaşmaları 3-4 gün sürdü
Kaspersky'nin yeniden oluşturduğu saldırı senaryolarından birinde, saldırganların ele geçirdikleri bir SQL Server üzerinden manuel olarak işlem yaptığı belirlendi. Bu aşamada bilgi toplandığı ve kullanılacak araçların hazırlandığı aktarıldı.
Yaklaşık iki haftalık aranın ardından CyberStrikeAI implantı devreye alındı. Zararlı kodun sisteme yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar 3-4 gün geçti.
Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veri tabanının dışarı aktarılmasını kapsayan son aşamanın ise bir saatten kısa sürede tamamlandığı kaydedildi.
Yapay zeka saldırganların sunucusunda çalıştı
İncelemede, yapay zekanın ele geçirilen bilgisayarlarda değil, saldırganların kendi sunucusunda çalıştığı belirlendi. Bilgisayarlara yüklenen implantın ise yapay zeka hizmetleriyle doğrudan iletişim kurmadığı ve geleneksel bir uzaktan kontrol aracı gibi işlev gördüğü aktarıldı.
Kaspersky Endpoint Detection and Response Expert, bellek süreçlerinden kimlik bilgisi elde etmeye yönelik araçların kullanılması ve kötü amaçlı zamanlanmış görevlerin oluşturulması gibi davranışları tespit etti.
Şirketin ağ tespit sistemleri de CyberStrikeAI'ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını belirlemek amacıyla gerçekleştirilen şüpheli sorguları ortaya çıkardı. Söz konusu implantlar, Kaspersky tarafından "HEUR.Win64.CyberStrike.gen" ve "HEUR.Linux.CyberStrike.gen" kodlarıyla tanımlandı.
Kaspersky'den saldırı yöntemlerine ilişkin değerlendirme
Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, saldırganların CyberStrikeAI tabanlı bir yapay zeka ajanı kullanarak kapsamlı bir saldırı zinciri yürüttüğünü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirlediğini bildirdi.
Saldırıların sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin toplanarak dışarı aktarılması gibi bilinen tekniklere dayandığını belirten Nazarov, şu değerlendirmede bulundu:
"Yapay zeka, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hala tespit edebiliyor ve durdurulmasına yardımcı olabiliyor."
Saldırganların kimliği henüz belirlenmedi
Nazarov, araştırmacıların saldırılarda kullanılan komut dosyalarında Çince yorum satırlarına da rastladığını aktardı. Ancak bu bulguların saldırganların kimliğini veya bulunduğu yeri belirlemek için yeterli olmadığını vurguladı.
Kaspersky'nin mevcut incelemesinde saldırı faaliyetleri bilinen bir tehdit aktörüyle doğrudan ilişkilendirilmedi. Şirket ayrıca tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini doğrulamadı.
Nazarov'un açıklamasına göre, saldırıların arkasındaki kişi veya grupların kimliğine ilişkin kesin bir bağlantı henüz kurulmuş değil.
