Siber güvenlik firması Kaspersky'nin Tehdit Araştırma ekibi, Latin Amerika ve Afrika bölgelerindeki eğitim kurumlarını hedef alan sofistike siber saldırıları gün yüzüne çıkardı. Bu saldırıların en dikkat çekici özelliği, siber korsanların ele geçirdikleri ağlardaki operasyonlarını yönlendirmek amacıyla yapay zekadan (YZ) faydalanması oldu. Araştırmacılar, saldırıların keşif aşamasından kimlik bilgilerinin çalınmasına, ağ içindeki yatay geçişlerden veri toplama süreçlerine kadar her aşamasını titizlikle inceledi.
Yapay Zeka Destekli Siber Saldırıların Detayları
Yapılan incelemelerde, saldırganların hedeflerindeki ağlarda en yüksek yetkilere sahip yönetici düzeyindeki hesapları dahi ele geçirdiği tespit edildi. Siber korsanların, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) entegre eden açık kaynaklı bir sızma testi aracı olan CyberStrikeAI'ı kullandığı belirlendi. Bu gelişmiş yapıda, insan operatörler saldırı hedeflerini belirlerken, yapay zeka modeli ise kullanılacak araçları seçme, komutları oluşturma ve bu komutların yürütülmesiyle elde edilen sonuçları analiz etme yeteneğine sahip oluyor.
- Keşif Faaliyetleri: Hedef ağın yapısını ve zafiyetlerini belirleme.
- Kimlik Bilgisi Ele Geçirme: Kullanıcı adı ve şifre gibi hassas bilgileri çalma.
- Ağ İçinde Yayılma: Ele geçirilen sistemlerden diğer bilgisayarlara erişim sağlama.
- Veri Toplama: Hedef sistemlerden değerli verileri çekme.
Ele geçirilen bilgisayarlara yüklenen 'implant' adı verilen kötü amaçlı yazılım, yapay zekadan gelen komutları çalıştırarak elde ettiği sonuçları saldırganların sunucusuna iletiyor. Bu sistem, siber saldırıların otomasyonunu ve etkinliğini önemli ölçüde artırıyor.
Saldırı Süreci ve Zaman Çizelgesi
Kaspersky, bu kapsamlı saldırıları Eylül ve Ekim 2026 tarihlerinde gözlemlediğini duyurdu. Yeniden oluşturulan olaylardan birinde, saldırganların ele geçirilmiş bir SQL Server üzerinden manuel olarak operasyonlara başladığı, bilgi topladığı ve kullanacakları araçları hazırladığı ortaya çıktı. İki haftalık bir sessizliğin ardından CyberStrikeAI implantını devreye soktukları belirlendi.
İmplantın sisteme yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen sürenin ortalama üç ila dört gün olduğu kaydedildi. Bilgisayarlar arasında yatay geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılması gibi son aşamaların ise bir saatten kısa bir sürede tamamlandığı gözlemlendi. Bu durum, saldırganların ne kadar hızlı ve organize hareket ettiğini açıkça gösteriyor.
Yapay Zeka Nerede Çalışıyor?
Kaspersky'nin analizlerine göre, yapay zeka ele geçirilen hedef bilgisayarlarda değil, bizzat saldırganların kendi sunucularında faaliyet gösteriyordu. İmplant, yapay zeka hizmetleriyle doğrudan iletişim kurmak yerine, geleneksel bir uzaktan kontrol aracı gibi işlev görüyordu. Bu sayede, saldırganlar kendi altyapılarında yapay zekanın gücünden faydalanırken, hedef sistemlerde daha az iz bırakmayı başardılar.
Saldırı Tespit ve Önleme Mekanizmaları
Kaspersky Endpoint Detection and Response Expert (EDR) çözümü, bellek içi süreçlerden kimlik bilgilerini elde etmeye yönelik araçların kullanılması (credential dumping) ve kötü amaçlı zamanlanmış görevlerin oluşturulması gibi saldırı davranışlarını başarılı bir şekilde tespit etti. Bu tür gelişmiş tespit mekanizmaları, yapay zeka destekli saldırıların dahi erken aşamada fark edilerek önlenmesinde kritik rol oynuyor.
Eğitim kurumlarının, bu tür gelişmiş siber tehditlere karşı daha güçlü güvenlik önlemleri alması gerektiği vurgulanıyor. Özellikle uç nokta koruma çözümleri, ağ segmentasyonu, çok faktörlü kimlik doğrulama ve düzenli güvenlik eğitimleri, bu tür saldırılara karşı direnci artırabilir.
