Fidye Yazılımı Grupları, Yapay Zeka ile Otonom Saldırılar Düzenliyor

Siber güvenlik dünyası, fidye yazılımı tehditlerinin evriminde yeni ve endişe verici bir dönemeçle karşı karşıya. Siber güvenlik araştırmacıları, INC ve The Gentlemen gibi fidye yazılımı gruplarına bağlı aktörlerin, yapay zeka ajanları kullanarak otonom saldırılar düzenlediğini keşfetti. Bu bulgular, siber suçluların saldırı zincirlerini otomatize etme ve ölçeklendirme yeteneklerinin ne denli ileri seviyeye ulaştığını gözler önüne seriyor. Phantom adı verilen gelişmiş bir çerçeve etrafında şekillenen bu yeni nesil tehditler, insan gözetiminde ancak büyük ölçüde yapay zeka tarafından yönetilen ihlallerle hem hızlı hem de adaptif bir yapı sunuyor.

Siber Suçta Yeni Cephe: Yapay Zeka Destekli Fidye Yazılımı Saldırıları

Son dönemde yapılan araştırmalar, siber suç aktörlerinin saldırı yöntemlerini kökten değiştiren bir stratejiyi benimsediğini ortaya koyuyor: yapay zeka destekli otonom sistemler. Bu yeni yaklaşımla, fidye yazılımı saldırıları artık manuel operasyonların ötesine geçerek, yapay zeka ajanları tarafından yönetilen karmaşık süreçlere dönüşüyor. INC ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı olduğu tespit edilen aktörler, operasyonlarının merkezine Phantom adını verdikleri bir “Otonom Kızıl Takım Öldürme Zinciri Çerçevesi” yerleştirmiş durumda. Rusça konuşan bu tehdit aktörünün, hem doğrudan saldırı ve veri gaspı operasyonları yürüttüğü hem de fidye yazılımı ekosistemi genelindeki farklı ortaklara altyapı sağlayıcısı olarak hizmet verdiği belirtiliyor.

Bu yeni operasyonel modelin en dikkat çekici özelliği, saldırıların “yapay zeka tarafından yürütülen, insan onaylı” bir yapıya sahip olmasıdır. Bu sistemde, insan operatör hedefe özel bir komut sağlıyor ve her adımı dikkatle inceliyor. Ancak ihlallerin kendisi, OpenCode platformu üzerinden, OpenRouter tarafından barındırılan ticari yapay zeka modelleri kullanılarak otomatik olarak gerçekleştiriliyor. Bu, saldırıların hızını ve karmaşıklığını artırırken, insan kaynaklı hataları minimize etme potansiyeli taşıyor. Ayrıca, aktörlerin yapay zeka tarafından yönetilen bilgi tabanlarını kullanarak kurbanları, çalınan kimlik bilgilerini ve kampanya ilerlemesini takip ettiği de bulgular arasında yer alıyor. Ortaya çıkarılan bir dizin incelemesi, 133 oturumda 8.257 mesajın kaydedildiğini göstererek operasyonların ölçeğine dair önemli bir fikir sunuyor.

Phantom: Otonom Kızıl Takım Öldürme Zinciri Çerçevesi

Phantom, saldırganların kullandığı AI destekli ofansif güvenlik ve sızma testi çerçevesinin adıdır. Bu çerçeve, canlı operasyonlarda OpenCode aracılığıyla konuşlandırılıyor ve harici bir sunucuyla iletişim kurarak görevleri alan, komutları yürüten ve çıktıları döndüren bir ajan kullanıyor. Bu sayede, fidye yazılımı aktörleri, saldırılarını geleneksel yöntemlere kıyasla çok daha hızlı ve verimli bir şekilde gerçekleştirebiliyor. Yapay zeka modellerinin komutlara uygun hareket etmeyi reddetmesi durumunda, operatörün istekleri basitçe model değiştirmek yerine yetkili bir kırmızı takım değerlendirmesi olarak yeniden yazdığı da tespit edildi. Bu durum, operatörün yapay zeka sistemini sürekli olarak saldırı hedeflerine uyarlayabildiğini ve esnekliğini koruduğunu gösteriyor.

Saldırıların başlangıç noktası genellikle kamuya açık, çevresel cihazların geniş ölçekli istismar edilmesiyle sağlanıyor. FortiClient EMS, SimpleHelp, cPanel ve VPN ağ geçitleri gibi sistemler, aktörlerin ana hedefleri arasında yer alıyor. İlk erişim sağlandıktan sonra, saldırganlar ağ içinde yanal hareket ederek kalıcılık oluşturuyor, verileri dışarı sızdırıyor ve fidye yazılımı dağıtımına yönelik tırmanış adımlarını atıyor. Operatör kayıtları, saldırılarda aşağıdaki güvenlik açıklarının istismar edildiğini gösteriyor:

• CVE-2024-57727 (SimpleHelp yol geçişi) – Aktif olarak istismar ediliyor
• CVE-2026-35616 (Fortinet FortiClient kimlik doğrulama atlatma) – Aktif olarak istismar ediliyor
• CVE-2026-41940 (cPanel/WHM kimlik doğrulama atlatma) – Aktif olarak istismar ediliyor
• CVE-2026-15409 (SonicWall SMA 1000 SSRF) – Hedefleme için hazır, onaylanmış bir ihlal yok
• CVE-2026-63030 (WordPress wp2shell) – Geliştirildi
• CVE-2026-42208 (LiteLLM SQL enjeksiyonu) – Geliştirildi veya referans alındı
• CVE-2026-9082 (Drupal SQL enjeksiyonu) – Geliştirildi veya referans alındı

Aktörler, hedeflerine sızdıktan sonra tekrarlayan bir yaşam döngüsü izliyor: Etki alanını numaralandırma, mümkünse etki alanı yöneticisi yetkilerini yükseltme, çalıntı araçlarla kimlik bilgilerini toplama ve finans, İK, hukuk ve yönetici dosyalarına öncelik vererek bunları ters SOCKS tünelleri üzerinden toplama. Bu süreçte, kimlik bilgilerinin yeniden kullanımı kilit bir çarpan görevi görüyor; öyle ki, tek bir yeniden kullanılan şifrenin aynı anda VPN, sunucular, RMM, yedekleme ve güvenlik yönetimi platformlarının kilidini açtığı vakalar dahi kaydedildi. Saldırganlar, güvenlik ürünlerini BYOVD (Sürücülerinizi Kendiniz Getirin) katili ve yükleyici düzeyinde kaçınma teknikleriyle etkisiz hale getirmeye çalışsalar da, kendi günlükleri kurumsal EDR’lere karşı elde ettikleri sonuçların karmaşık olduğunu gösteriyor. Bu, gelişmiş güvenlik çözümlerinin hala önemli bir direnç noktası olduğunu kanıtlıyor.

Savunma Hattını Güçlendirmek: Önleyici Adımlar ve Kritik Direnç Noktaları

Yapay zeka destekli fidye yazılımı saldırılarının yükselişi karşısında, şirketlerin ve kurumların savunma stratejilerini gözden geçirmesi kritik önem taşıyor. İlk ve en temel adım, özellikle FortiClient EMS, SimpleHelp, cPanel ve VPN ağ geçitleri gibi kamuya açık çevresel cihazlardaki tüm güvenlik açıklarını derhal yamalamaktır. Yukarıda belirtilen CVE’ler ve benzeri zafiyetler için düzenli olarak güvenlik güncellemelerini takip etmek ve uygulamak, saldırganların ilk erişim vektörlerini kapatmada hayati rol oynar. Güçlü ve benzersiz parola politikaları uygulamak, çok faktörlü kimlik doğrulama (MFA) kullanımını zorunlu kılmak, kimlik bilgisi hırsızlığını ve yeniden kullanımını önemli ölçüde zorlaştıracaktır.

Ayrıca, ağ segmentasyonu, saldırganların ağ içinde yanal hareket etme yeteneğini kısıtlayarak potansiyel zararı sınırlayabilir. Gelişmiş Uç Nokta Tespit ve Yanıt (EDR) çözümlerine yatırım yapmak ve bunları etkin bir şekilde yapılandırmak, tehdit aktörlerinin güvenlik ürünlerini atlatma girişimlerine karşı güçlü bir koruma sağlar. Aktörlerin EDR’lere karşı karmaşık sonuçlar elde ettiği göz önüne alındığında, sağlam ve güncel EDR sistemleri, sıfır gün istismarlarını ve bilinmeyen tehditleri tespit etmede kritik bir savunma mekanizması sunar. Düzenli güvenlik denetimleri ve sızma testleri, kendi sistemlerinizdeki zafiyetleri saldırganlardan önce keşfetmenizi ve gidermenizi sağlar. Bu proaktif yaklaşım, siber tehditlere karşı direncinizi artırmanın temelini oluşturur.

Yapay Zeka Destekli Tehditlerin Geleceği ve Siber Güvenlik Paradigması

Yapay zeka teknolojisinin siber suçlarda giderek daha fazla kullanılması, siber güvenlik dünyası için yeni bir paradigma değişimi anlamına geliyor. Geleneksel siber saldırılar genellikle insan operatörlerin manuel çabalarına dayanırken, Phantom gibi çerçevelerle birlikte saldırılar otonom, ölçeklenebilir ve adaptif bir yapıya bürünüyor. Bu durum, savunma tarafındaki yapay zeka teknolojilerinin de hızla geliştirilmesi gerektiği gerçeğini ortaya koyuyor. Tehdit zekası, davranış analizi ve anomali tespiti gibi alanlarda yapay zeka destekli çözümler, bu tür otonom saldırıları erken aşamada belirlemek ve engellemek için vazgeçilmez hale gelecek.

Bu gelişmeler, siber güvenlik uzmanlarının rollerini de dönüştürüyor. Artık sadece bilinen tehditlere karşı reaktif savunma yapmak yeterli olmayacak; aynı zamanda yapay zeka destekli saldırıların potansiyel yörüngelerini tahmin edebilen, proaktif ve stratejik savunma mekanizmaları geliştirmek gerekecek. İnsan faktörünün, hem saldırı hem de savunmada stratejik karar alma ve karmaşık durumları değerlendirme noktasında hâlâ belirleyici bir rol oynadığı ortada. Yapay zeka, operasyonel yükü hafifletirken, siber güvenlik profesyonellerinin daha üst düzey analitik görevlere odaklanmasını sağlayabilir. Bu yeni dönemde, sürekli öğrenme, adaptasyon ve uluslararası iş birliği, siber tehditlere karşı global savunma stratejisinin temel taşları olacaktır.