Araştırmacılar, eğitim kurumlarını hedefleyen yapay zekâ destekli saldırıları inceledi. Keşif, kimlik bilgilerinin ele geçirilmesi, ağdaki başka bilgisayarlara geçiş ve veri toplama süreçleri değerlendirildi. Yönetici düzeyindeki en yüksek yetkilere sahip hesaplar da ele geçirildi.
Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle birleştiren açık kaynaklı sızma testi çerçevesi CyberStrikeAI’ı kullandı. İnsan operatör hedefleri belirlerken model araçları seçiyor, komutlar oluşturuyor ve sonuçları analiz ediyor. Güvenlik uzmanları saldırıları Eylül ve Ekim 2026 döneminde gözlemledi.
Yeniden oluşturulan bir olayda saldırganlar ele geçirilmiş bir SQL Server üzerinden bilgi topladı ve araçlar hazırladı. İki haftalık aradan sonra CyberStrikeAI implantı devreye sokuldu. İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine üç ila dört gün sürdü. Bilgisayarlar arası geçiş, kimlik bilgilerinin toplanması ve veritabanının dışa aktarılması ise bir saatten kısa tamamlandı.
Yapay zekâ ele geçirilen bilgisayarlarda değil, saldırganların sunucusunda çalışıyordu. İmplant, yapay zekâ hizmetlerine doğrudan bağlanmadan geleneksel uzaktan kontrol aracı gibi işlev görüyor ve aldığı komutların sonuçlarını saldırganlara iletiyordu.
Endpoint Detection and Response Expert, bellekteki süreçlerden kimlik bilgilerini çıkarmaya yönelik araçların kullanımını ve kötü amaçlı zamanlanmış görevleri tespit etti. Kaspersky’nin ağ tespit araçları da CyberStrikeAI komuta-kontrol trafiğini belirledi. Araştırmacılar komut dosyalarında Çince yorum satırları buldu; ancak bunlar saldırganların kimliğini veya konumunu göstermedi. Kaspersky, faaliyeti bilinen bir tehdit aktörüyle ilişkilendirmedi ve tüm altyapının aynı operatör tarafından yönetildiğini doğrulamadı.
Kaynak: CNN Türk
