Ransomware Operatörleri AI Kullanarak Saldırılarda Bulundu

Ransomware operatörleri, siber saldırılarını gerçekleştirmek için yapay zeka (AI) destekli yöntemler kullanarak dikkat çekici bir yaklaşım sergiliyor. Bu operatörlerin kullandığı "Otonom Kırmızı Ekip Kill Chain Framework" olarak adlandırılan Phantom sistemi, hem saldırı hem de veri zorlaması işlevi gören bir yapıya sahip. Operatörlerin Rusça konuştuğu ve farklı ortaklara destek sağlayarak ransomware ekosisteminde faaliyet gösterdiği belirtiliyor.

AI Destekli Saldırı Yöntemleri

SOCRadar tarafından yapılan açıklamalara göre, operatörler geniş ölçekli olarak uzaktan erişim sistemlerini hedef alıyor. FortiClient EMS, SimpleHelp, cPanel ve VPN geçitleri gibi sistemleri istismar eden bu operatörler, AI yönetimindeki bilgi tabanlarını kullanarak kurbanları, çalınan kimlik bilgilerini ve kampanya ilerlemesini takip ediyor.

Kampanyanın dikkat çeken bir yönü, "insan onaylı, AI yürütmeli operasyon yapısı"dır. Burada, bir insan operatör, her aşamayı gözden geçirirken, saldırılar OpenCode ile yürütülüyor. Bu süreçte, operatörlerin, talimatların uygulanmaması durumunda talepleri yeniden yazdığı ve yetkilendirilmiş bir kırmızı ekip değerlendirmesi olarak değiştirdiği gözlemleniyor.

Hedef Alınan Güvenlik Açıkları

Saldırılara dair yapılan incelemeler, operatörlerin 8,257 mesaj kaydettiği ve 133 oturum gerçekleştirdiğini ortaya koydu. İlk erişim, kamuya açık kenar cihazlarının istismar edilmesiyle sağlanıyor. Ardından, saldırganlar yan hareket ederek kalıcılık sağlıyor, verileri dışarıya çıkartıyor ve ransomware dağıtımına geçiyor. Operatörlerin kullandığı bazı güvenlik açıkları şunlardır:

• CVE-2024-57727 (SimpleHelp path traversal) - Aktif olarak istismar ediliyor.
• CVE-2026-35616 (Fortinet FortiClient kimlik doğrulama atlatma) - Aktif olarak istismar ediliyor.
• CVE-2026-41940 (cPanel/WHM kimlik doğrulama atlatma) - Aktif olarak istismar ediliyor.

Gelişmiş Araçlar ve Taktikler

Operatörlerin hedeflerine ulaşmalarını destekleyen çeşitli araçlar arasında, özel çerçeveler, modifiye edilmiş açık kaynaklı araçlar ve derlenmiş ikili dosyalar yer alıyor. Phantom, AI destekli bir siber güvenlik ve penetrasyon testi çerçevesi olarak kullanılıyor. Ayrıca, WormGPT-MCP ve Ghost C2 gibi diğer araçlar, uzaktan sunucularla iletişim kurarak görevleri yerine getiriyor.

Saldırganlar, çalınan mali verileri inceleyerek, kurbanların ödeyebileceği miktarı belirliyor ve ardından baskıyı artırmak için tehditler içeren aramalar yapıyor. Eğer kurban, belirlenen süre içinde ödeme yapmazsa, çalınan veriler bir veri sızıntı sitesinde yayımlanıyor.

Sonuç

Bu tür ransomware saldırıları, siber güvenlik alanında ciddi bir tehdit oluşturuyor. 62 kuruluşun hedef alındığı ve bunlardan dördünün veri sızıntı sitelerine listelediği belirtiliyor. Özellikle endüstri, üretim ve enerji sektörleri gibi alanlar, bu saldırılardan en çok etkilenenler arasında yer alıyor. Yapay zeka destekli yöntemlerin kullanılması, bu saldırıların daha karmaşık hale gelmesine ve siber güvenlik uzmanlarının bu tehditlere karşı daha dikkatli olmasına neden oluyor.