CLOSEDQUORUM: Yapay Zeka Modelleriyle Karar Veren Windows Zararlısı

Windows işletim sistemlerini hedef alan yeni nesil bir kötü amaçlı yazılım olan **CLOSEDQUORUM**, siber güvenlik dünyasında ezber bozan bir yaklaşımla öne çıkıyor. Klasik tehditlerin aksine, bu yazılım saldırganın komuta kontrol (C2) sunucusu yerine, eylemlerini belirlemek için dört farklı yapay zeka modelinin oylamasına başvuruyor. Bu gelişme, zararlı yazılım teknolojilerinin ne denli evrildiğini ve siber saldırı stratejilerinin otonomlaşma yolunda ilerlediğini gözler önüne seriyor. Siber güvenlik uzmanları, bu tür yapay zeka destekli zararlı yazılım örneklerinin, gelecekteki tehdit manzarası için önemli ipuçları taşıdığı görüşünde.

Yapay Zeka Karar Mekanizmasının Yükselişi

Siber saldırılar geleneksel olarak saldırganların merkezi bir komuta-kontrol (C2) sunucusu üzerinden doğrudan talimatlar göndermesiyle yürütülürdü. Ancak CLOSEDQUORUM, bu köklü yapıyı temelden değiştirerek, siber güvenlik araştırmacılarının dikkatini çekiyor. Cisco Talos tarafından yakın zamanda keşfedilen bu kötü amaçlı yazılım, kendi başına karar verme yeteneğini yapay zeka modellerine devrediyor. Talos’un aynı gün yayımladığı açık kaynaklı yapay zeka hizmeti kullanan zararlı yazılımları avlama aracı CAIRN ile ortaya çıkarılan CLOSEDQUORUM, kod analizlerine göre en az üç aylık bir geçmişe sahip. Yazılımın geliştiricisinin, 2025 yılına uzanan çalınmış kart verileri ticaretiyle ilgili suç forumlarındaki paylaşımlarla bağlantılı olduğuna dair ipuçları bulunuyor.

Araştırmacılar, CLOSEDQUORUM’un bir kurbanın bilgisayarına nasıl bulaştığına dair henüz kesin bir açıklama yapmadı. Bu belirsizlik, yazılımın yayılma vektörlerinin hala araştırıldığını veya farklı yöntemlerle dağıtılabileceğini düşündürüyor. Yazılımın temel felsefesi, manuel müdahaleyi en aza indirerek, operasyonel yükü yapay zeka sistemlerine aktarmak. Bu, saldırganların yakalanma riskini azaltırken, saldırıların hızını ve adaptasyon yeteneğini potansiyel olarak artırabilir. CLOSEDQUORUM, bu alandaki ilk ve henüz sınırlı bir örnek olsa da, gelecekteki siber tehditlerin otonomlaşma eğilimini net bir şekilde işaret ediyor.

Oylama Sistemi ve Teknik İşleyiş

CLOSEDQUORUM’un en çarpıcı özelliği, eylemlerini belirlemek için ticari yapay zeka hizmetlerinden oy alması. Cisco Talos’un analizlerine göre, yazılım DeepSeek, Qwen, Mistral ve Google Gemini gibi dört farklı yapay zeka modeline danışıyor. Her talepte, hedef bilgisayar hakkında temel bilgiler; örneğin bilgisayar adı, Windows sürümü ve yönetici durumu gibi veriler, modellerle paylaşılıyor. Ayrıca, modellerin seçebileceği dört sabit eylem listesi de bu isteğe ekleniyor: çal (steal), enjekte et (inject), kalıcı ol (persist) ve ilerle (move).

Her modelin belirli bir formatta yanıt vermesi gerekiyor; aksi takdirde cevabı geçersiz sayılıyor. Yazılım, modellerden gelen geçerli yanıtları sayıyor ve en çok oyu alan eylemi gerçekleştiriyor. Hiçbir model kullanılabilir bir yanıt vermezse, yazılım varsayılan bir eylem seçmek yerine bekleyip tekrar deniyor. Bu sistem, saldırganın zararlı yazılım çalışmaya başladıktan sonra doğrudan komut göndermesine gerek kalmamasını sağlıyor. Saldırganlar, her kararı ve modelin belirtilen nedenini bir Discord kanalından takip edebiliyorlar. Çalınan veriler de aynı kanal üzerinden gönderiliyor. Yazılımın düzgün çalışabilmesi için her kopyanın API anahtarları (yapay zeka hizmetlerini kullanmak için) ve gerçek bir Discord webhook (mesaj göndermek için) ile yapılandırılması gerekiyor. Test versiyonlarında bu anahtarların program oluşturulurken eklendiği görülse de, herkese açık sürümde yer tutucu değerler bulunduğundan, modellerle iletişim kuramıyor veya veri gönderemiyor.

CLOSEDQUORUM’un Hedefleri ve Potansiyel Tehditleri

Yapay zeka modelleri tarafından seçilen ‘çal’ eylemi devreye girdiğinde, CLOSEDQUORUM aynı anda üç farklı görevi birden yerine getiriyor. Bu görevler arasında, Windows oturum açma kimlik bilgilerini barındıran kritik LSASS (Local Security Authority Subsystem Service) sürecinin belleğini boşaltmak, kaydedilmiş tarayıcı şifrelerini ele geçirmek ve kripto cüzdan verilerini çalmak yer alıyor. Bu çok yönlü veri toplama yeteneği, yazılımın finansal kazanç odaklı saldırılar için tasarlandığını ortaya koyuyor. Özellikle kripto cüzdan bilgilerinin hedeflenmesi, günümüzdeki dijital varlıkların değerini ve siber suçlular için cazibesini gösteriyor.

CLOSEDQUORUM, yapay zekayı kötü amaçlı yazılımda kullanan ilk örnek değil. Örneğin, Ukrayna CERT-UA’nın Temmuz 2025’te raporladığı LAMEHUG adlı zararlı yazılım, kodunda belirlenen görevler için yapay zeka modelinden komut yazmasını istemişti. Ancak CLOSEDQUORUM, bir adım daha ileri giderek, yapay zeka modellerinden doğrudan hangi görevin seçileceğini belirlemesini istiyor. Bu, yapay zekanın sadece yardımcı bir araç olmaktan çıkıp, saldırının temel karar mekanizmasına entegre edildiği anlamına geliyor. Talos, bu durumu saldırganların saldırının bir kısmını yapay zeka modellerine devrettiği erken ve sınırlı bir örnek olarak nitelendiriyor. Yapay zeka hizmetlerine bu düzeyde güvenmek, potansiyel zayıf noktaları da beraberinde getiriyor. Zira bu hizmetler istekleri reddedebilir, yanıt sayılarını sınırlayabilir veya hatalı çıktılar üretebilir. Ayrıca, kötü amaçlı yazılımın, kontrol edemediği üçüncü taraf şirketlerin hizmetlerine bağımlı olması, operasyonel süreklilik açısından riskler barındırıyor.

Siber Güvenlik İçin Yeni Bir Paradigma

CLOSEDQUORUM, siber güvenlik tarihinde bir dönüm noktası olarak değerlendirilebilir. Cisco Talos’a göre, bu yazılım, komuta ve kontrol kararlarını yapay zeka modellerine devreden, halka açık olarak belgelenmiş ilk Windows implantıdır. Bu durum, siber suç dünyasında yeni bir paradigmaya işaret ediyor. Geleneksel olarak, C2 altyapısının tespiti ve etkisiz hale getirilmesi, zararlı yazılım operasyonlarını durdurmak için önemli bir yöntemdi. Ancak yapay zeka modellerinin merkezi karar verici olarak kullanılması, bu tespit ve müdahale süreçlerini karmaşıklaştırabilir. Saldırganlar, kendi C2 sunucularını barındırma ve yönetme yükünden kurtularak, daha dağıtık ve adapte olabilir saldırı mekanizmaları geliştirebilirler.

Bu yeni yaklaşım, saldırıların hızını artırma ve daha karmaşık hedefleme yetenekleri kazandırma potansiyeline sahip. Yapay zeka, kurban sistemlerinin özelliklerine göre en etkili eylemi seçerek, saldırıların başarı oranını yükseltebilir. Aynı zamanda, yapay zeka tabanlı sistemlerin sürekli öğrenme ve adapte olma yeteneği, savunma mekanizmalarını aşmada daha esnek olabilecekleri anlamına geliyor. Bu durum, siber güvenlik profesyonellerinin sadece bilinen tehditlere karşı değil, aynı zamanda yapay zeka destekli, otonom kararlar alabilen yeni nesil saldırı vektörlerine karşı da hazırlıklı olmaları gerektiğini gösteriyor. Gelecekte, bu tür zararlı yazılımların daha sofistike hale gelmesiyle, savunma teknolojilerinin de yapay zeka destekli proaktif çözümlere yönelmesi kaçınılmaz hale gelecektir.

Potansiyel Tehditlere Karşı Korunma Yolları

CLOSEDQUORUM gibi gelişen yapay zeka destekli tehditler karşısında, kullanıcılar ve kuruluşlar için sağlam siber güvenlik uygulamalarını benimsemek daha da kritik hale geliyor. İlk olarak, işletim sistemleri ve yüklü tüm yazılımların güncel tutulması temel bir savunma hattı oluşturur. Güvenlik yamaları, bilinen zayıflıkları kapatarak kötü amaçlı yazılımların sistemlere sızmasını engeller. Bununla birlikte, güçlü ve benzersiz parolaların kullanılması ile çok faktörlü kimlik doğrulamanın (MFA) etkinleştirilmesi, kimlik bilgisi hırsızlığına karşı direnci önemli ölçüde artırır. Özellikle LSASS belleğinden veya tarayıcılardan şifre çalmaya yönelik girişimler, MFA ile büyük ölçüde etkisiz hale getirilebilir.

Tanınmayan kaynaklardan gelen e-postalar, linkler ve dosya ekleri konusunda son derece dikkatli olmak, oltalama (phishing) ve diğer sosyal mühendislik saldırılarına karşı korunmada hayati öneme sahiptir. Ağ trafiğini izleyen ve bilinen tehditleri engelleyen gelişmiş güvenlik duvarları ve uç nokta koruma çözümleri kullanmak, şüpheli etkinlikleri erken aşamada tespit edip müdahale etmeye yardımcı olur. Son olarak, düzenli veri yedeklemeleri yapmak ve bu yedekleri güvenli, çevrimdışı konumlarda saklamak, olası bir veri kaybı veya şifreleme saldırısı durumunda kurtarma imkanı sunar. Unutulmamalıdır ki, CLOSEDQUORUM’un halka açık versiyonu şu an çalışmasa da, ardındaki konsept siber suçlular için cazip bir yol haritası sunmaktadır; bu nedenle proaktif tedbirler her zamankinden daha önemlidir.