Kaspersky, eğitim kurumlarını hedef alan LLM destekli siber saldırıları ortaya çıkardı

Yapay Zeka Destekli Saldırı Aracı: CyberStrikeAI

Kaspersky Tehdit Araştırma ekibi tarafından yapılan araştırma, saldırganların Latin Amerika ve Afrika bölgelerindeki eğitim kurumlarını hedef alan kapsamlı bir siber saldırı kampanyasını ortaya koymaktadır. Söz konusu saldırılarda, açık kaynaklı bir sızma testi çerçevesi olan CyberStrikeAI kullanılmış ve büyük dil modeli (LLM) ile komuta-kontrol sistemi entegre edilerek saldırı faaliyetleri otomatikleştirilmiştir.

Araştırmacılar, Eylül ve Ekim 2026 dönemlerinde bu saldırıları gözlemleyerek sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yanal hareket ve veri toplama süreçlerini incelemiştir. Saldırı sırasında yönetici düzeyinde en yüksek yetkilere sahip hesaplar da ele geçirilmiştir.

Sistem Mimarisi ve LLM İntegrasyonu

CyberStrikeAI çerçevesinde insan operatör hedefleri belirlerken, yapay zeka modeli işlerin temel yönlerini otomatikleştirmektedir. LLM, hedeflenen sistemde çalıştırılacak araçları seçebilmekte, komutlar üretebilmekte ve bu komutların yürütülmesinden elde edilen sonuçları analiz edebilmektedir.

Kritik bir bulgu ise yapay zekanın saldırganların sunucusunda çalıştığı, hedef sistemlerde değil olması yönündedir. Hedef bilgisayara yüklenen implant, geleneksel bir uzaktan kontrol aracı gibi işlev görerek LLM hizmetleriyle doğrudan iletişim kurmamıştır.

Saldırı Senaryosu ve Zaman Çizelgesi

Yeniden oluşturulan bir saldırı örneğinde:

• Saldırganlar ele geçirilen bir SQL Server üzerinden manuel olarak başlayarak bilgi toplamış ve araçlar hazırlamışlardır
• İki haftalık bir ara verilmiş
• CyberStrikeAI implantı devreye sokulmuştur
• İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar geçen süre 3–4 gün olmuştur
• Son aşama (sistemler arasında geçiş, kimlik bilgileri toplama, veritabanı dışarı aktarma) bir saatten kısa sürmüştür

Bu zaman çizelgesi, LLM desteğinin saldırı hızını ve koordinasyonunu önemli ölçüde artırdığını göstermektedir.

Tespit ve Teknikler

Kaspersky Endpoint Detection and Response (EDR) aracı, aşağıdaki saldırı davranışlarını tespit etmiştir:

• Bellekteki süreçlerden kimlik bilgilerinin toplanması (credential dumping)
• Kötü amaçlı zamanlanmış görevler

Kaspersky’nin ağ tespit araçları ise CyberStrikeAI komuta-kontrol trafiğini ve şüpheli DNS sorgularını belirlemiştir. Tespit edilen implantlar HEUR.Win64.CyberStrike.gen ve HEUR.Linux.CyberStrike.gen olarak tanımlanmıştır.

Saldırı Tekniklerinin Temelleri

Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov’un değerlendirmesine göre, saldırılar sistem keşfi, kimlik bilgilerinin ele geçirilmesi, ağ içinde yanal hareket ve veri dışarı aktarma gibi bilinen tekniklere dayanmaktadır. Yapay zekanın rolü, saldırganların bu adımları nasıl koordine ettiğini ve işlemlerin hızını değiştirmektir.

Nazarov şunları da belirtmiştir: "Doğru yapılandırılmış güvenlik araçları, saldırılarda kullanılan teknikleri tespit edebilmekte ve saldırıların durdurulmasına yardımcı olabilmektedir."

Bulgular ve Sınırlamalar

Araştırmacılar, komut dosyalarında çince yorum satırlarına rastlamışsa da bu bulgular saldırganların kimliğini veya konumunu belirlemek için yeterli değildir. Kaspersky, bu saldırı faaliyetini henüz bilinen bir tehdit aktörüne atamamıştır.