3 Kasım 2026
Kaspersky Tehdit Araştırma ekibi, Latin Amerika ve Afrika’daki eğitim kurumlarını hedef alan ve saldırganların ele geçirdikleri ağlardaki faaliyetlerini yönlendirmek için yapay zekâdan yararlandığı saldırıları ortaya çıkardı. Araştırmacılar; keşif faaliyetlerini, kimlik bilgilerinin ele geçirilmesini, ağdaki diğer bilgisayarlara geçişi ve veri toplama süreçlerini inceledi. Saldırılarda yönetici düzeyindeki en yüksek yetkilere sahip hesapların da ele geçirildiği belirlendi.
Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) bir araya getiren açık kaynaklı sızma testi çerçevesi CyberStrikeAI’ı kullandı. Bu yapıda insan operatör hedefleri belirlerken yapay zekâ modeli kullanılacak araçları seçebiliyor, komutlar oluşturabiliyor ve komutların yürütülmesiyle elde edilen sonuçları analiz edebiliyor.
Ele geçirilen bilgisayara yüklenen implant, komutları çalıştırarak sonuçları saldırganların sunucusuna iletiyor. Kaspersky, saldırıları Eylül ve Ekim 2026 döneminde gözlemledi.
Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı; bilgi topladı ve kullanacakları araçları hazırladı. İki haftalık bir aranın ardından CyberStrikeAI implantını devreye soktu.
İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar üç ila dört gün geçti. Bilgisayarlar arasında geçiş yapılması, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son aşama ise bir saatten kısa sürdü.
Yapay zekâ, ele geçirilen bilgisayarlarda değil, saldırganların sunucusunda çalışıyordu. İmplant, yapay zekâ hizmetleriyle doğrudan iletişim kurmadan geleneksel bir uzaktan kontrol aracı gibi işlev görüyordu.
Kaspersky Endpoint Detection and Response Expert, kimlik bilgilerini bellekteki süreçlerden elde etmeye yönelik araçların kullanımını (credential dumping) ve kötü amaçlı zamanlanmış görevler oluşturulmasını tespit etti. Kaspersky’nin ağ tespit araçları ise CyberStrikeAI’ın komuta-kontrol trafiğini ve hedeflerin etki alanlarını haritalandırmak için kullanılan şüpheli sorguları belirledi.
Kaspersky, implantları HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlıyor.
Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, saldırılara ilişkin şu değerlendirmede bulundu: “Saldırganlar, CyberStrikeAI tabanlı bir yapay zekâ ajanı kullanarak kapsamlı bir saldırı zincirini yürüttü ve ele geçirdikleri ağlarda sonraki adımlarını mevcut duruma göre belirledi. Bununla birlikte çerçeve, sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yatay hareket ve verilerin toplanarak dışarı aktarılması gibi bilinen teknik ve yöntemlere dayanıyordu. Yapay zekâ, saldırganların izinsiz erişim faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştiriyor. Ancak Kaspersky EDR gibi doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri hâlâ tespit edebiliyor ve durdurulmasına yardımcı olabiliyor.”
Araştırmacılar, komut dosyalarında Çince yorum satırlarına rastladı. Ancak bu bulgular, saldırganların kimliğini veya bulundukları yeri ortaya koymak için yeterli değil. Kaspersky, saldırı faaliyetini henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmedi ve tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini teyit etmedi.
Araştırmanın tüm detaylarına Securelist üzerinden ulaşılabilir.
Uç noktalardaki davranışları izleyin. Şüpheli komutları, kimlik bilgilerine erişim girişimlerini ve sistemde kalıcılık sağlamaya yönelik mekanizmaları incelemek, ele geçirilmiş sistemlere müdahale etmek için Kaspersky Next EDR Expert gibi bir uç nokta tespit ve müdahale (EDR) çözümü kullanın.
Ağ genelindeki faaliyetleri takip edin. Birden fazla sistemi kapsayan şüpheli trafiği ve faaliyetleri tespit edip incelemek için uç nokta korumasını, Kaspersky Anti Targeted Attack gibi ağ tespit ve müdahale (NDR) yetenekleriyle destekleyin.
İncelemelerinizi tehdit istihbaratıyla destekleyin. Analistlerin güncel tehdit göstergelerine ve tespit bilgilerine erişmesini sağlayın. Kaspersky Threat Intelligence Portal, şüpheli dosya ve altyapıların incelenmesini desteklerken Hunt Hub, tehdit avcılığı ve tespit süreçlerine yönelik bilgiler sunuyor.
Mesai saatleri dışında da izlemeyi sürdürün. Kurum içi ekiplerin kesintisiz izleme sağlayamadığı durumlarda, günün her saati izleme, inceleme ve müdahale desteği sunan Kaspersky Managed Detection and Response gibi bir hizmetten yararlanmayı değerlendirin.
Tehdit Araştırma ekibi, siber tehditlere karşı koruma alanında öncü uzman ekiplerden biridir. Tehdit analizinin yanı sıra teknoloji geliştirme çalışmalarını da aktif biçimde yürüten ekip, Kaspersky’nin siber güvenlik çözümlerinin kapsamlı tehdit istihbaratıyla desteklenmesini sağlıyor.
Bu çalışmalar, hem Kaspersky müşterilerine hem de daha geniş siber güvenlik topluluğuna güçlü güvenlik olanakları sunulmasına katkıda bulunuyor.
Kaspersky, 1997 yılında kurulmuş küresel bir siber güvenlik ve dijital gizlilik şirketidir. Şirket, bugüne kadar bir milyardan fazla cihazı yeni ortaya çıkan siber tehditlere ve hedefli saldırılara karşı korudu.
Kaspersky’nin tehdit istihbaratı ve güvenlik uzmanlığı; bireyleri, işletmeleri, kritik altyapıları ve devletleri korumaya yönelik yenilikçi çözümlere ve hizmetlere dönüşüyor. Şirketin güvenlik portföyü, kişisel cihazlar için dijital yaşam korumasını, şirketlere yönelik güvenlik ürünleri ve hizmetlerini, ayrıca gelişen dijital tehditlerle mücadele etmek için Cyber Immune çözümlerini içeriyor.
Şirket, milyonlarca bireyin ve yaklaşık 200.000 kurumsal müşterinin kendileri için en önemli şeyleri korumalarına yardımcı oluyor.
