Siber güvenlik şirketi Kaspersky'nin Tehdit Araştırma ekibi, Latin Amerika ve Afrika'daki eğitim kurumlarını hedef alan siber saldırıları inceledi. Eylül ve Ekim 2026 döneminde gözlemlenen saldırılarda, saldırganların ele geçirdikleri ağlardaki faaliyetlerini yönlendirmek için yapay zekadan yararlandığı tespit edildi.
Şirketten yapılan açıklamaya göre araştırmacılar, saldırı zincirinde sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağdaki diğer bilgisayarlara geçiş ve veri toplama süreçlerini analiz etti. İncelemelerde, yönetici düzeyinde yüksek yetkilere sahip hesapların da saldırganların kontrolüne geçtiği belirlendi.
CyberStrikeAI ile saldırı süreçlerini yapay zeka yönetti
Saldırganların, komuta-kontrol sistemini büyük dil modeliyle (LLM) birleştiren açık kaynaklı sızma testi çerçevesi CyberStrikeAI'ı kullandığı ortaya çıkarıldı.
Bu sistemde insan operatör hedefleri belirlerken yapay zeka modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların sonuçlarını analiz edebiliyor. Ele geçirilen bilgisayarlara yüklenen zararlı kodlar ise oluşturulan komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor.
Yapay zeka modelinin ele geçirilen bilgisayarlarda değil, saldırganların kendi sunucularında çalıştığı tespit edildi. Bilgisayarlara yüklenen implantların ise yapay zeka hizmetleriyle doğrudan iletişim kurmadan, geleneksel bir uzaktan kontrol aracı gibi işlev gördüğü belirtildi.
Yönetici hesapları 3-4 gün içinde ele geçirildi
Kaspersky'nin yeniden oluşturduğu saldırı senaryolarından birinde, saldırganların ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladığı, bilgi topladığı ve kullanacağı araçları hazırladığı belirlendi.
Yaklaşık iki haftalık aranın ardından CyberStrikeAI implantını devreye sokan saldırganların, implantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen sürede 3-4 güne ihtiyaç duyduğu tespit edildi.
Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veri tabanının dışarı aktarılmasını kapsayan son aşamanın ise bir saatten kısa sürede tamamlandığı kaydedildi.
Güvenlik sistemleri saldırı faaliyetlerini tespit etti
Kaspersky'nin güvenlik çözümlerinin saldırı sırasında kullanılan çeşitli yöntemleri belirlediği bildirildi.
Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerinin bellek süreçlerinden elde edilmesine yönelik araçların kullanılması ve kötü amaçlı zamanlanmış görevler oluşturulması gibi şüpheli faaliyetleri tespit etti.
Şirketin ağ tespit araçları da CyberStrikeAI'ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi.
Tespit edilen zararlı yazılımların "HEUR.Win64.CyberStrike.gen" ve "HEUR.Linux.CyberStrike.gen" olarak tanımlandığı aktarıldı.
"Yapay zeka saldırganların hareket hızını değiştiriyor"
Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, saldırganların CyberStrikeAI tabanlı bir yapay zeka ajanıyla kapsamlı bir saldırı zinciri yürüttüğünü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirlediğini ifade etti.
Saldırıların sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin dışarı aktarılması gibi bilinen tekniklere dayandığını belirten Nazarov, şu değerlendirmede bulundu:
"Yapay zeka, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hala tespit edebiliyor ve durdurulmasına yardımcı olabiliyor."
Çin bağlantısına ilişkin kesin bulgu bulunamadı
Nazarov, araştırmacıların saldırılarda kullanılan komut dosyalarında Çince yorum satırlarına rastladığını ancak bu bulguların saldırganların kimliğini veya bulunduğu yeri belirlemek için yeterli olmadığını bildirdi.
Kaspersky'nin söz konusu saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmediği, tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini de doğrulamadığı belirtildi.
