Kaspersky Tehdit Araştırma ekibi, Latin Amerika ve Afrika’daki eğitim kurumlarını hedef alan ve saldırganların ele geçirdikleri ağlardaki faaliyetlerini yönlendirmek için yapay zekâdan yararlandığı saldırıları ortaya çıkardı. Şirketten yapılan açıklamaya göre saldırılar kapsamında yönetici düzeyinde en yüksek yetkilere sahip hesaplar da ele geçirildi.
- Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) bir araya getiren açık kaynaklı CyberStrikeAI çerçevesini kullandı.
- Kaspersky, saldırıları Eylül ve Ekim 2026 döneminde gözlemledi.
- İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen süre üç ila dört gün oldu.
Saldırı nasıl işliyor?
CyberStrikeAI yapısında insan operatör hedefleri belirlerken yapay zekâ modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları analiz edebiliyor. Ele geçirilen bilgisayara yüklenen implant ise bu komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı, iki haftalık bir aranın ardından CyberStrikeAI implantını devreye soktu. Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son aşama ise bir saatten kısa sürdü. Yapay zekâ, ele geçirilen bilgisayarlarda değil saldırganların sunucusunda çalışıyordu; implant, yapay zekâ hizmetleriyle doğrudan iletişim kurmadan geleneksel bir uzaktan kontrol aracı gibi işlev gördü.
“Saldırganlar, CyberStrikeAI tabanlı bir yapay zekâ ajanı kullanarak kapsamlı bir saldırı zincirini yürüttü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirledi. Yapay zekâ, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hâlâ tespit edebiliyor.” – Nikita Nazarov, Kaspersky Tehdit Keşif Birimi Başkanı
Saldırganların kimliği biliniyor mu?
Araştırmacılar, komut dosyalarında Çince yorum satırlarına rastladı; ancak bu bulgular saldırganların kimliğini veya bulundukları yeri ortaya koymak için yeterli değil. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmedi. Şirket kuruluşlara uç noktalardaki şüpheli davranışları izlemelerini, ağ genelindeki faaliyetleri takip etmelerini, incelemeleri tehdit istihbaratıyla desteklemelerini ve mesai saatleri dışında da izlemeyi sürdürmelerini öneriyor. Araştırmanın tüm detaylarına Securelist üzerinden ulaşılabiliyor.