Yapay Zeka Destekli Hedefli Saldırılar

Kaspersky Tehdit Araştırma ekibi, Eylül ve Ekim 2026'da Latin Amerika ve Afrika bölgesindeki eğitim kurumlarını hedef alan sofistike siber saldırılar tespit etti. İncelemenin sonucunda ortaya çıkan bulgulara göre, saldırganlar yapay zeka teknolojisini kullanarak ağlara giriş, kimlik bilgilerinin ele geçirilmesi, ağ içinde hareket ve veri toplama işlemlerini koordine ettiler.

CyberStrikeAI Aracının Kullanımı

Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) birleştiren açık kaynaklı bir penetrasyon testi çerçevesi olan CyberStrikeAI'ı kullandı. Bu yapıda insan operatör hedefleri belirlerken, yapay zeka modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve sonuçları analiz edebiliyor.

Ele geçirilen bilgisayara yüklenen implant, yapay zekanın oluşturduğu komutları çalıştırarak sonuçları saldırganların sunucusuna aktarıyordu. Önemli bir nokta, yapay zekanın saldırı hedefleri üzerinde değil, saldırganların uzak sunucusunda çalışması ve implantın geleneksel bir uzaktan kontrol aracı gibi işlev görmesidir.

Saldırının Tarihi Akışı

Araştırma kapsamında yeniden oluşturulan bir olayda saldırganlar şu adımları izlediler:

  • SQL Server üzerinden manuel olarak çalışmaya başladı ve bilgi topladı
  • İki haftalık bir aradan sonra CyberStrikeAI implantını devreye soktu
  • İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar üç ila dört gün geçti
  • Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasının tamamlanması bir saatten kısa sürdü

Tespit ve Analiz

Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki işlemlerden elde etmeye yönelik araçların (credential dumping) ve kötü amaçlı zamanlanmış görevlerin oluşturulması gibi saldırı davranışlarını tespit etti. Kaspersky'nin ağ tespit araçları ise CyberStrikeAI'ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi.

Saldırıya ilişkin implantlar HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlanmıştır.

Uzmanlar Değerlendirmesi

Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, yapay zekanın siber saldırılardaki rolü hakkında şu değerlendirmede bulundu:

"Saldırganlar, CyberStrikeAI tabanlı bir yapay zeka ajanı kullanarak kapsamlı bir saldırı zincirini yürüttü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirlediler. Çerçeve, sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin toplanıp dışarı aktarılması gibi bilinen teknik ve yöntemlere dayanıyordu. Yapay zeka, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hâlâ tespit edebiliyor ve durdurulmasına yardımcı olabiliyor."

Saldırı Aktörünün Kimliği

Araştırmacılar komut dosyalarında Çince yorum satırlarına rastladı. Ancak bu bulgular, saldırganların kimliğini veya bulundukları yeri belirlemek için yeterli değildir. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüne atfetmemiştir.