Zafiyetli Altyapı Ortaya Çıkarıyor: Ransomware Acenteleri Sızmaları Gerçekleştirmek İçin Yapay Zekâ Ajanlarını Kullanmış.

Ransomware / Siber Suç

Görsel Kaynağı: The Hacker News

Siber güvenlik araştırmacıları, INC ve The Gentlemen ransomware gruplarının acenteleri tarafından işletilen yapay zekâ (AI) destekli bir sızma ekosistemi keşfetti.

İşletmenin merkezinde “Phantom” olarak bilinen bir “Otonum Kırmı Takım Öldürme Zinciri Çerçevesi” yer alıyor. Tehdit aktörünün Rusça konuşan olduğu değerlendiriliyor ve hem sızma hem de veri zorla çıkarma operatörü hem de ransomware ekosisteminde farklı ortakları destekleyen bir altyapı sağlayıcısı olarak faaliyet gösteriyor.

“Operatörler, FortiClient EMS, SimpleHelp, cPanel ve VPN ağları dahil olmak üzere uç ve uzaktan erişim sistemlerini toplu şekilde sömürdü. Mağdurları, çalınan kimlik bilgilerini ve kampanya ilerlemesini izlemek için yapay zekâ ile yönetilen bilgi tabanlarını kullandı,” dedi SOCRadar. “Mağdura özgü bir istem sağlayan ve her adımı gözden geçiren bir operatörün bulunduğu yapıda, sızmalar OpenCode üzerinden OpenRouter üzerinden barındırılan ticari modellerle gerçekleştiriliyor.”

Kampanyayı tanımlayan dikkate değer bir yön, “yapay zekâ ile yürütülen, insan onayıyla işleyen operasyonel yapı” niteliğidir; burada bir insan operatör mağdora özgü bir istem sağlar ve her adımı gözden geçirirken, sızmalar OpenCode ile OpenRouter üzerinden barındırılan ticari modeller kullanılarak gerçekleştiriliyor.

45.227.254[.]43 adresindeki açığa çıkan dizinin incelenmesi, 133 oturumda 8.257 mesajın kaydedildiğini ortaya koydu. Modeller istemlere göre hareket etmeyi reddederse, operatörün talepleri basitçe model değiştirmek yerine yetkili bir kırmı takım değerlendirmesi olarak yeniden yazdığı bulunmuştur.

İlk erişim, toplu şekilde halka açık uç cihazların sömürülmesiyle sağlanıyor; ardından saldırganlar yatay harekete geçiyor, kalıcılık kuruyor, veri çıkarıyor ve ransomware yerleştirmeye doğru tırmanıyor. Operatör kayıtları, saldırıların aşağıdaki açıkların sömürülmesini içerdiğini gösteriyor –

• CVE-2024-57727 (SimpleHelp yol gezinme açığı) (Aktif olarak sömürülüyor)
• CVE-2026-35616 (Fortinet FortiClient kimlik doğrulama atlatma açığı) (Aktif olarak sömürülüyor)
• CVE-2026-41940 (cPanel/WHM kimlik doğrulama atlatma açığı) (Aktif olarak sömürülüyor)
• CVE-2026-15409 (SonicWall SMA 1000 SSRF açığı) (Hedefleme için kurgulanmış, doğrulanmış ihlal yok)
• CVE-2026-63030 (WordPress wp2shell) (Geliştirilmiş)
• CVE-2026-42208 (LiteLLM SQL enjeksiyonu) (Geliştirilmiş veya atıf yapılmış)
• CVE-2026-9082 (Drupal SQL enjeksiyonu) (Geliştirilmiş veya atıf yapılmış)

“İçeriye girdikten sonra operatörler tekrarlayan bir yaşam döngüsü izledi: etki alanını taramak, mümkün olduğunda alan yöneticisi ayrıcalığına yükselmek, stealer araçlarıyla kimlik bilgilerini toplamak, finans, insan kaynakları, hukuk ve yönetici dosyalarına öncelik vermek ve bunları ters-SOCKS tünelleri üzerinden toplamak,” dedi SOCRadar.

Kaynak: The Hacker News

“Kimlik bilgisi tekrarının kullanılması ana güç çarpanıydı; bir vakada tek bir tekrarlanan parola aynı anda VPN’i, sunucuları, RMM’yi, yedekleme ve güvenlik yönetim platformlarını açtı. Ürün güvenlik araçları BYOVD öldürücü ve yükleyici seviyesinde atlatma ile etkisizleştirildi; ancak operatörlerin kendi günlükleri, kurumsal EDR’lere karşı karışık sonuçlar kaydediyor.”

Tehdit aktörünün hedeflerine ulaşmasını destekleyen, özel çerçevelerden, değiştirilmiş açık kaynak araçlardan ve derlenmiş ikili dosyalardan oluşan çeşitli bir araç seti bulunmaktadır –

• Phantom, OpenCode üzerinden canlı operasyonlarda kullanılan ve görevleri almak, komutları yürütmek ve çıktıları geri döndürmek için harici bir sunucuyla iletişim kuran bir ajan kullanan, yapay zekâ destekli saldırgan güvenlik ve zafiyet araştırması (penetrasyon testi) çerçevesidir. Keşif, ikili ters mühendislik, söürü (exploit) araştırması, steganografi, telemetri değerlendirmesi ve EDR parmak izi çıkarma gibi işleri kolaylaştıran 18 beceri modülünü destekler.
• WormGPT-MCP, yapay zekâ sistemini keşiften extorsiyona (şantaj) uzanan bir yelpazedeki işlevleri kapsayan 32 farklı modüle bağlayan 32 Model Context Protocol (MCP) sunucusundan oluşur.
• Ghost C2, Cloudflare, Telegram veya DNS üzerinden uzaktaki bir sunucuyla iletişim kuran ve ihlal edilen uç noktalarda görevleri yürüten ve kalıcı beacon’ları (bildirim işaretçilerini) sürdüren üç nesil çok biçimli (polymorphic) yerleştirmenin bir koleksiyonudur.
• RevSocks, mağdur ağların içine sıçramak ve veri kaçırma (exfiltration) için veri hazırlamak amacıyla kullanılan ters SOCKS5 çerçevesidir.

Diğer araçlar arasında Cloudflare önünde çalışan, QuickLine takma adını taşıyan Mythic ajanı, BYOVD saldırısının bir parçası olarak Zemana sürücüsünü (“zam64.sys”) kullanan bir Quick Heal/Seqrite EDR öldürücüsü ve rks3 ile BackupAgent gibi kaçırma programları yer alır.

Çoğu yapay zekâ tarafından yazılmış şantaj kaydının analizi, tehdit aktörlerinin veri odaklı bir yaklaşım benimsediğini gösteriyor. Bu yaklaşım, mağdanın banka veya sigortacıyla uğraşmadan ödeyebileceği tutarı belirlemek için çalınan finansal kayıtları incelemeyi, ardından maskelenmiş kanıt örneklerini göndermeyi ve senaryo gereği vishing (sesli dolandırıcılık) aramalarıyla baskıyı artırıp müşterileri, ortakları ve düzenleyicileri bildireceğine dair tehditlerde bulunmayı içerir.

Mağdanın 24-72 saatlik bir süre içinde ödeme yapmaması durumunda çalınan veriler veri sızdırma sitesinde yayımlanır. Yine de bu şantaj taleplerinin sonuçları bilinmemektedir; çünkü hiçbir kripto para cüzdanı veya ödeme kaydı ele geçirilemedi.

Operasyon sonucunda hedeflenen kuruluş sayısının toplamda 62 olduğu tahmin ediliyor; bu kuruluşlardan dördü INC ve The Gentlemen fidye yazılımı için veri sızdırma sitelerinde listelendi. Hedeflerin yüzde 50’sinden fazlası Amerika Birleşik Devletleri’nden geliyor. Saldırılar öncelikle sanayi, imalat ve enerji sektörlerini hedeflerken, ardından sağlık ve ilaç kuruluşları geliyor.

“Bu ifşa edilen altyapı üzerinden aktörler, özellikle FortiClient EMS kapıları, Ivanti/Citrix/SonicWall/OpenVPN kapıları, SimpleHelp uzaktan yönetim sunucuları ve cPanel hosting kontrolleri olmak üzere, ifşa edilen internet hizmetlerinin yaygın biçimde sömürülmesini gerçekleştirdi,” dedi SOCRadar.

“Eşzamanlı olarak, aktörler operasyonları Phantom çerçevesi üzerinden planladı, ağ yönlendirmesi için RevSocks ters-SOCKS vekil sunucuları kurdu, Ghost C2 varyantlarını yaydı ve mağazaların telemetrisini, ele geçirilen kimlik bilgilerini ve aktif kampanya durumlarını titizlikle kaydetmek için yapay zekâ ile yönetilen bilgi tabanlarını kullandı.”