Açıkta kalan sunucu, INC ve Gentlemen fidye yazılımı ortaklarının yapay zekâ ajanı kullandığını ortaya koydu

Yanlış yapılandırılmış bir sunucu, INC ve The Gentlemen fidye yazılımı operasyonlarının Rusça konuşan bir ortağının yaklaşık 62 kuruma yönelik ağ sızmalarını yapay zekâ ajanlarıyla nasıl yürüttüğünü ortaya çıkardı. The Hacker News'in 23 Ekim'de SOCRadar araştırmasına dayanarak aktardığı bulgular, saldırının büyük kısmını ticari yapay zekâ modellerine yaptırıp her adımı bir insanın onayladığı bir fidye yazılımı ekibine dair nadir bir görünüm sunuyor.

Neler oldu?

Habere göre SOCRadar, 45.227.254[.]43 adresinde 133 oturumda 8.257 mesajın kaydedildiği açık bir dizin tespit etti. Araştırmada anlatılan operatör, SOCRadar'ın "yapay zekânın yürüttüğü, insanın onayladığı bir işleyiş yapısı" olarak tanımladığı bir model kullanıyordu: Bir insan kurbana özel bir istem yazıp her eylemi gözden geçirirken, sızmanın kendisi OpenRouter üzerinde barındırılan ticari modellerle OpenCode ajanı aracılığıyla yürütülüyordu. Aktarılanlara göre bir model isteği reddettiğinde operatör model değiştirmek yerine talebi yetkili bir kırmızı takım değerlendirmesi gibi yeniden yazıyordu. Kurbanlar, çalınan kimlik bilgileri ve kampanyanın ilerleyişi yapay zekânın yönettiği bilgi tabanlarında takip ediliyordu.

The Hacker News, aktörün hem sızma ve veri gaspı operatörü hem de fidye yazılımı ekosistemindeki diğer ortaklar için altyapı sağlayıcısı olarak çalıştığını belirtiyor.

Teknik detaylar

İlk erişim, uç ve uzaktan erişim sistemlerinin toplu istismarıyla sağlandı. Kayıtlarda SimpleHelp dizin aşımı açığı CVE-2024-57727, Fortinet FortiClient kimlik doğrulama atlatma açığı CVE-2026-35616 ve cPanel/WHM kimlik doğrulama atlatma açığı CVE-2026-41940 gibi aktif olarak istismar edilen açıkların yanı sıra hazırlık veya araştırma aşamasındaki başka açıklar da yer alıyor. İçeri girdikten sonra operatörler etki alanını taradı, mümkün olan yerlerde etki alanı yöneticisi yetkisine yükseldi, kimlik bilgilerini topladı ve finans, insan kaynakları, hukuk ve üst yönetim dosyalarına öncelik vererek verileri ters SOCKS tünelleri üzerinden dışarı çıkardı.

Araç setinde 18 beceri modülüne sahip Phantom adlı bir yapay zekâ saldırı çerçevesi, WormGPT-MCP adı verilen 32 Model Context Protocol sunucusu, Cloudflare, Telegram veya DNS üzerinden haberleşen çok biçimli Ghost C2 implantları ve Zemana sürücüsünü (zam64.sys) kötüye kullanan bir EDR sonlandırıcı bulunuyordu. Habere göre operatörlerin kendi kayıtları, kurumsal EDR ürünlerine karşı karışık sonuçlar alındığını gösteriyor.

Kimler etkileniyor?

Hedef alınan yaklaşık 62 kurumun yarıdan fazlası ABD'de bulunuyor; en çok sanayi, üretim ve enerji şirketleri, ardından sağlık ve ilaç firmaları etkilendi. Dört kurban INC veya The Gentlemen sızıntı sitelerinde listelendi. Herhangi bir kripto para cüzdanı veya ödeme kaydı bulunamadığı için nihai sonuçlar bilinmiyor. Şantaj sürecinde çalınan verilerin mali analizi, senaryolu telefon dolandırıcılığı aramaları ve 24 ila 72 saatlik süreler kullanıldı.

Ne yapmalı?

Makalede savunmaya yönelik öneri yer almıyor. Anlatılan erişim yöntemlerinden hareketle kurumların internete açık SimpleHelp, FortiClient EMS, cPanel/WHM, Ivanti, Citrix, SonicWall ve OpenVPN sistemlerini öncelikli olarak yamalaması, VPN, RMM, yedekleme ve güvenlik konsollarında parola tekrarını ortadan kaldırması, uzaktan erişimde oltalamaya dayanıklı çok faktörlü kimlik doğrulama zorunlu kılması ve zam64.sys gibi açık barındıran sürücülerin yüklenmesini izlemesi yerinde olur.