Yapay Zeka, Fidye Yazılımı Operasyonlarını Nasıl Hızlandırıyor?

Siber güvenlik araştırmacılarının yaptığı son keşifler, fidye yazılımı tehdidinin yeni bir boyuta ulaştığını gösteriyor. INC ve The Gentlemen gibi önde gelen fidye yazılımı gruplarının iş ortakları, saldırılarını otonom hale getirmek için yapay zeka fidye yazılımı ekosistemleri kullanmaya başladı. Bu gelişmiş sistemlerin merkezinde, saldırı süreçlerini otomatikleştirerek insan müdahalesini minimuma indiren “Phantom” adlı bir çerçeve yer alıyor. Sektör uzmanları, bu yeni nesil tehdidin, kurumsal ağlar için ciddi güvenlik zorlukları yaratacağı konusunda uyarıyor.

Siber Suçun Yeni Yüzü: Otonom Saldırılar

Siber suç dünyası, yapay zekanın sağladığı otomasyon yeteneklerini hızla benimseyerek evriliyor. Phantom adlı bu otonom kırmızı ekip öldürme zinciri çerçevesi, Rusça konuşan bir aktör tarafından hem sızma ve veri gaspı operasyonları yürütmek hem de fidye yazılımı ekosistemindeki diğer ortaklara altyapı sağlamak amacıyla geliştirilmiş durumda. Bu yaklaşım, tehdit aktörlerinin ölçeklenebilirlik ve verimlilik açısından önemli bir avantaj elde etmesine olanak tanıyor.

Sistemin dikkat çekici özelliklerinden biri, “yapay zeka tarafından yürütülen, insan onaylı” bir işletim yapısına sahip olmasıdır. Bu modelde, insan operatör kurbana özel bir talimat veriyor ve yapay zeka tarafından atılan her adımı gözden geçiriyor. Ancak sızma operasyonlarının kendisi OpenCode aracılığıyla, OpenRouter üzerinde barındırılan ticari yapay zeka modelleri kullanılarak gerçekleştiriliyor. Modellerin talimatları reddetmesi durumunda, operatörün talepleri basitçe model değiştirmek yerine, yetkilendirilmiş bir kırmızı ekip değerlendirmesi olarak yeniden formüle ettiği gözlemleniyor. Bu durum, yapay zekanın sadece bir araç olmanın ötesinde, tehdit aktörünün stratejik kararlarına da entegre edildiğini gösteriyor.

Phantom’un Mekanizması: Adım Adım Sızma

Phantom, saldırganlara kapsamlı bir sızma yeteneği sunan, yapay zeka destekli bir saldırı ve sızma testi çerçevesidir. Canlı operasyonlarda OpenCode üzerinden dağıtılan bu sistem, harici bir sunucu ile iletişim kurarak görevleri alan, komutları yürüten ve çıktıları geri gönderen bir ajan kullanır. Araştırmacılar, 45.227.254[.]43 adresindeki açıkta kalan bir dizin üzerinde yapılan incelemelerde, sistemin 133 oturum boyunca 8.257 mesaj kaydettiğini tespit etti. Bu durum, Phantom’un ne kadar aktif ve entegre bir şekilde kullanıldığının somut bir kanıtı.

Saldırının başlangıç aşamasında, tehdit aktörleri FortiClient EMS, SimpleHelp, cPanel ve VPN ağ geçitleri gibi kamuya açık uç ve uzaktan erişim sistemlerini büyük ölçekte istismar ediyor. Yapay zeka tarafından yönetilen bilgi tabanları, kurbanları, çalınan kimlik bilgilerini ve kampanya ilerlemesini izlemek için kullanılıyor. İlk erişim sağlandıktan sonra, saldırganlar ağ içinde yanal hareket ediyor, kalıcılık sağlıyor, hassas verileri dışarı çıkarıyor ve fidye yazılımının dağıtımına doğru ilerliyor. Phantom’un desteklediği 18 farklı beceri modülü, bu karmaşık saldırı zincirinin otomasyonunu ve verimliliğini önemli ölçüde artırıyor.

Kritik Zafiyetler ve Hedeflenen Sistemler

Phantom çerçevesi kullanan fidye yazılımı iş ortaklarının, saldırılarında bir dizi kritik güvenlik zafiyetinden yararlandığı tespit edildi. Operatör kayıtlarına göre, aktif olarak istismar edilen zafiyetler arasında SimpleHelp platformundaki yol geçişi hatası olan CVE-2024-57727, Fortinet FortiClient’taki kimlik doğrulama baypas zafiyeti CVE-2026-35616 ve cPanel/WHM’deki bir başka kimlik doğrulama baypas zafiyeti olan CVE-2026-41940 bulunuyor. Bu zafiyetler, saldırganların sistemlere ilk erişimi elde etmesinde kilit rol oynuyor.

Hedeflenen sistemler sadece bunlarla sınırlı değil. SonicWall SMA 1000 SSRF zafiyeti CVE-2026-15409‘un hedefleme için hazırlandığı ancak henüz doğrulanmış bir ihlalin olmadığı belirtiliyor. Ayrıca, WordPress wp2shell (CVE-2026-63030), LiteLLM SQL enjeksiyonu (CVE-2026-42208) ve Drupal SQL enjeksiyonu (CVE-2026-9082) gibi zafiyetlerin geliştirildiği veya referans alındığı da kayıtlara geçmiş durumda. İçeri girdiklerinde, operatörler tekrarlayan bir yaşam döngüsü izliyor: Etki alanını numaralandırma, mümkün olduğunda etki alanı yöneticiliğine yükselme, çalıcı araçlarla kimlik bilgilerini toplama ve finans, İK, hukuk ve yönetici dosyalarını önceliklendirerek ters SOCKS tünelleri üzerinden toplama. Bu detaylı süreç, hedefe yönelik ve yıkıcı saldırıların nasıl organize edildiğini açıkça ortaya koyuyor.

Kurumsal Savunmalara Yönelik Etkiler ve Zorluklar

Bu yeni nesil fidye yazılımı operasyonlarının kurumsal savunmalar üzerindeki etkisi oldukça çarpıcıdır. SOCRadar analistlerinin belirttiğine göre, kimlik bilgisi yeniden kullanımı, saldırıların ana çarpan etkisi haline gelmiş durumda. Tek bir vaka, yeniden kullanılan tek bir parolanın VPN, sunucular, RMM, yedekleme ve güvenlik yönetimi platformlarının hepsini aynı anda açtığını gösteriyor. Bu durum, zayıf parola politikalarının veya kimlik bilgilerinin çalınmasının felaketle sonuçlanabilecek etkilerini gözler önüne seriyor.

Saldırganlar, güvenlik ürünlerini etkisiz hale getirmek için BYOVD (Bring Your Own Vulnerable Driver) katili ve yükleyici düzeyinde kaçınma teknikleri gibi özel araçlar kullanıyor. Bu taktikler, Endpoint Detection and Response (EDR) sistemleri gibi gelişmiş güvenlik çözümlerini bile aşmayı hedefliyor. Operatörlerin kendi günlükleri, kurumsal EDR’lere karşı elde edilen sonuçların karışık olduğunu belirtse de, bu durum tehdit aktörlerinin savunma mekanizmalarını sürekli olarak zorladığını ve atlatmak için sofistike yöntemler geliştirdiğini gösteriyor. Yapay zeka destekli bu otomasyon, geleneksel siber savunma modellerini ciddi şekilde sorgulatıyor ve yeni stratejilerin benimsenmesini zorunlu kılıyor.

Yeni Nesil Tehditlere Karşı Savunma Stratejileri

Yapay zeka destekli fidye yazılımı saldırıları karşısında kurumların ve bireylerin savunma mekanizmalarını güçlendirmesi kritik öneme sahiptir. Öncelikle, tüm uç ve uzaktan erişim sistemlerinde (VPN ağ geçitleri, FortiClient EMS, cPanel vb.) güncel güvenlik yamalarının derhal uygulanması gerekiyor. Zafiyet yönetimi, bu tür otonom saldırıların ilk erişim vektörlerini engellemede temel adımdır.

Kimlik bilgisi güvenliği de öncelikli alanlardan biridir. Tüm hesaplarda güçlü, benzersiz parolalar kullanılmalı ve çok faktörlü kimlik doğrulama (MFA) zorunlu hale getirilmelidir. EDR ve XDR (Genişletilmiş Tespit ve Yanıt) çözümlerinin etkin bir şekilde dağıtılması ve yapılandırılması, saldırıların erken aşamalarında tespit edilerek yayılmasını engellemek için hayati rol oynar. Ayrıca, düzenli güvenlik denetimleri ve sızma testleri ile sistemlerdeki zafiyetler proaktif olarak belirlenmeli ve giderilmelidir. Güvenlik ekiplerinin, yapay zeka destekli tehditlerin gelişen taktikleri hakkında sürekli bilgi sahibi olması ve savunma stratejilerini buna göre adapte etmesi de vazgeçilmezdir.

Yapay Zeka Destekli Fidye Yazılımlarının Geleceği

INC ve The Gentlemen gibi grupların yapay zeka ajanlarını fidye yazılımı operasyonlarına entegre etmesi, siber güvenlik dünyası için bir dönüm noktasını temsil ediyor. Bu gelişme, siber suçluların saldırılarını daha hızlı, daha verimli ve daha ölçeklenebilir hale getirebildiğini kanıtlıyor. Manuel insan müdahalesine olan bağımlılığı azaltarak, saldırganlar aynı anda daha fazla hedefe yönelme ve savunma bariyerlerini daha karmaşık yöntemlerle aşma potansiyeli kazanıyor.

Bu durum, güvenlik profesyonelleri için sürekli bir öğrenme ve adaptasyon çağrısıdır. Yapay zeka sadece savunma tarafında değil, saldırı tarafında da stratejik bir araç haline gelmiştir. Önümüzdeki dönemde, fidye yazılımı saldırılarının hem frekansında hem de karmaşıklığında artış görmeyi beklemek gerçekçi olacaktır. Bu nedenle, proaktif savunma mekanizmalarının ve tehdit istihbaratının geliştirilmesi, kurumsal ağların gelecekteki bu tür otonom tehditlere karşı ayakta kalabilmesi için temel taşıyacaktır.