Kaspersky, Latin Amerika ve Afrika’daki eğitim kurumlarını hedef alan yapay zekâ destekli saldırıları ortaya çıkardı

Kaspersky Tehdit Araştırma ekibi, Latin Amerika ve Afrika’daki eğitim kurumlarını hedef alan ve saldırganların ele geçirdikleri ağlardaki faaliyetlerini yönlendirmek için yapay zekâdan yararlandığı saldırıları ortaya çıkardı. Araştırmacılar; keşif faaliyetleri, kimlik bilgilerinin ele geçirilmesi, ağdaki diğer bilgisayarlara geçiş ve veri toplama süreçlerini inceledi. Saldırılar kapsamında, yönetici düzeyinde en yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.

Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) bir araya getiren açık kaynaklı bir sızma testi çerçevesi olan CyberStrikeAI’ı kullandı. Bu yapıda insan operatör hedefleri belirlerken yapay zekâ modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları analiz edebiliyor. Ele geçirilen bilgisayara yüklenen implant ise bu komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Kaspersky, söz konusu saldırıları Eylül ve Ekim 2026 döneminde gözlemledi.

Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı; bilgi topladı ve kullanacakları araçları hazırladı. İki haftalık bir aranın ardından CyberStrikeAI implantını devreye soktu. İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen süre üç ila dört gün oldu. Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son aşama ise bir saatten kısa sürdü.

Yapay zekâ, ele geçirilen bilgisayarlarda değil, saldırganların sunucusunda çalışıyordu. İmplant, yapay zekâ hizmetleriyle doğrudan iletişim kurmadan, geleneksel bir uzaktan kontrol aracı gibi işlev görüyordu.

Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki süreçlerden elde etmeye yönelik araçların kullanılması (credential dumping) ve kötü amaçlı zamanlanmış görevler oluşturulması gibi saldırı davranışlarını tespit etti. Kaspersky’nin ağ tespit araçları ise CyberStrikeAI’ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi. Kaspersky, söz konusu implantları HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlıyor.

Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, saldırılara ilişkin şu değerlendirmede bulundu: “Saldırganlar, CyberStrikeAI tabanlı bir yapay zekâ ajanı kullanarak kapsamlı bir saldırı zincirini yürüttü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirledi. Bununla birlikte çerçeve, sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin toplanarak dışarı aktarılması gibi bilinen teknik ve yöntemlere dayanıyordu. Yapay zekâ, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hâlâ tespit edebiliyor ve durdurulmasına yardımcı olabiliyor.”

Araştırmacılar, komut dosyalarında Çince yorum satırlarına rastladı. Ancak bu bulgular, saldırganların kimliğini veya bulundukları yeri ortaya koymak için yeterli değil. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmediği gibi, tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini de teyit etmiş değil.

Araştırmanın tüm detaylarına Securelist üzerinden ulaşılabilir.

Bu tür saldırılara karşı korunmak için Kaspersky, kuruluşlara şu önerilerde bulunuyor:

• Uç noktalardaki davranışları izleyin. Şüpheli komutları, kimlik bilgilerine erişim girişimlerini ve sistemde kalıcılık sağlamaya yönelik mekanizmaları incelemek, ele geçirilmiş sistemlere müdahale etmek için Kaspersky Next EDR Expert,  gibi bir uç nokta tespit ve müdahale (EDR) çözümü kullanın.
• Ağ genelindeki faaliyetleri takip edin. Birden fazla sistemi kapsayan şüpheli trafiği ve faaliyetleri tespit edip incelemek için uç nokta korumasını, Kaspersky Anti Targeted Attack gibi ağ tespit ve müdahale (NDR) yetenekleriyle destekleyin.
• İncelemelerinizi tehdit istihbaratıyla destekleyin. Analistlerin güncel tehdit göstergelerine ve tespit bilgilerine erişmesini sağlayın. Kaspersky Threat Intelligence Portal, şüpheli dosya ve altyapıların incelenmesini desteklerken Hunt Hub, tehdit avcılığı ve tespit süreçlerine yönelik bilgiler sunuyor.
• Mesai saatleri dışında da izlemeyi sürdürün. Kurum içi ekiplerin kesintisiz izleme sağlayamadığı durumlarda, günün her saati izleme, inceleme ve müdahale desteği sunan Kaspersky Managed Detection and Response gibi bir hizmetten yararlanmayı değerlendirin.

Kaynak: (BYZHA) Beyaz Haber Ajansı