Kaspersky Tehdit Araştırma ekibi, Latin Amerika ve Afrika'daki eğitim kurumlarını hedef alan ve saldırganların ele geçirdiği ağlardaki faaliyetlerini yönlendirmek için yapay zekadan yararlandığı saldırıları ortaya çıkardı.
Şirketten yapılana açıklamaya göre, Kaspersky araştırmacıları, saldırılarda keşif faaliyetleri, kimlik bilgilerinin ele geçirilmesi, ağdaki diğer bilgisayarlara geçiş ve veri toplama süreçlerini inceledi.
Eylül ve Ekim 2026 döneminde gözlemlenen saldırılar kapsamında, yönetici düzeyinde yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.
Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) bir araya getiren açık kaynaklı bir sızma testi çerçevesi "CyberStrikeAI"ı kullandı. Söz konusu yapıda, insan operatör hedefleri belirlerken, yapay zeka modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları analiz edebiliyor. Ele geçirilen bilgisayara yüklenen "implant" (zararlı kod) ise bu komutları çalıştırarak, sonuçları saldırganların sunucusuna iletiyor.
Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir "SQL Server" üzerinden manuel olarak çalışmaya başladı, bilgi topladı ve kullanacağı araçları hazırladı.
Saldırganlar, iki haftalık bir aranın ardından CyberStrikeAI implantını devreye soktu. İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen süre 3-4 gün olurken, bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veri tabanının dışarı aktarılmasını kapsayan son aşama ise bir saatten kısa sürdü.
Yapay zeka, ele geçirilen bilgisayarlar yerine saldırganların sunucusunda çalışırken, söz konusu implant, yapay zeka hizmetleriyle doğrudan iletişim kurmadan, geleneksel bir uzaktan kontrol aracı gibi işlev gördü.
Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki süreçlerden elde etmeye yönelik araçların kullanılması (credential dumping) ve kötü amaçlı zamanlanmış görevler oluşturulması gibi saldırı davranışlarını tespit etti.
Şirketin ağ tespit araçları ise CyberStrikeAI'ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi. Söz konusu implantlar, şirket tarafından "HEUR.Win64.CyberStrike.gen" ve "HEUR.Linux.CyberStrike.gen" olarak tanımlanıyor.
"Saldırı çerçevesi bilinen teknik ve yöntemlere dayanıyor"
Açıklamada görüşlerine yer verilen Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, siber saldırganların CyberStrikeAI tabanlı bir yapay zeka ajanı kullanarak kapsamlı bir saldırı zinciri yürüttüğünü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirlediklerini aktardı.
Saldırı çerçevesinin sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin toplanarak dışarı aktarılması gibi bilinen teknik ve yöntemlere dayandığını belirten Nazarov, "Yapay zeka, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hala tespit edebiliyor ve durdurulmasına yardımcı olabiliyor." değerlendirmesinde bulundu.
Nazarov, araştırmacıların komut dosyalarında Çince yorum satırlarına da rastladığını aktararak, "Ancak bu bulgular, saldırganların kimliğini veya bulunduğu yeri ortaya koymak için yeterli değil. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmediği gibi tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini de teyit etmiş değil." ifadelerini kullandı.
