Eğitim kurumlarını hedef alan yapay zekâ destekli saldırılar

Araştırmacılar; keşif faaliyetleri, kimlik bilgilerinin ele geçirilmesi, ağdaki diğer bilgisayarlara geçiş ve veri toplama süreçlerini inceledi. Saldırılar kapsamında, yönetici düzeyinde en yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.

Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) bir araya getiren açık kaynaklı bir sızma testi çerçevesi olan CyberStrikeAI’ı kullandı. Bu yapıda insan operatör hedefleri belirlerken yapay zekâ modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları analiz edebiliyor.

Ele geçirilen bilgisayara yüklenen implant ise bu komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Güvenlik uzmanları, söz konusu saldırıları Eylül ve Ekim 2026 döneminde gözlemledi.

Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı; bilgi topladı ve kullanacakları araçları hazırladı.

Gelişmenin Detayları

İki haftalık bir aranın ardından CyberStrikeAI implantını devreye soktu. İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen süre üç ila dört gün oldu.

Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son aşama ise bir saatten kısa sürdü. Yapay zekâ, ele geçirilen bilgisayarlarda değil, saldırganların sunucusunda çalışıyordu.

İmplant, yapay zekâ hizmetleriyle doğrudan iletişim kurmadan, geleneksel bir uzaktan kontrol aracı gibi işlev görüyordu. Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki süreçlerden elde etmeye yönelik araçların kullanılması (credential dumping) ve kötü amaçlı zamanlanmış görevler oluşturulması gibi saldırı davranışlarını tespit etti.

Kaspersky’nin ağ tespit araçları ise CyberStrikeAI’ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi.

Kaspersky, söz konusu implantları HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlıyor. Araştırmacılar, komut dosyalarında Çince yorum satırlarına rastladı.

Ancak bu bulgular, saldırganların kimliğini veya bulundukları yeri ortaya koymak için yeterli değil. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmediği gibi, tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini de teyit etmiş değil.