Sophos: Aur0ra fidye yazılımı çetesi ağlarda yapay zekâ ajanları gezdirdi

Aur0ra fidye yazılımı operasyonunun arkasındaki kişiler, ağ sızma işinin büyük bölümünü yapay zekâ kodlama ajanlarına yaptırarak bu ajanları kurban ağlarını haritalamaya, kimlik bilgisi çalmaya ve neredeyse elle müdahale etmeden alan yöneticisi erişimine doğru ilerlemeye yönlendirdi. Help Net Security'nin 2 Kasım 2026'da aktardığı Sophos araştırmasına göre grup GOLD OGRE olarak izleniyor ve ajanlar bazı ağlarda alan yönetimi erişimine ulaştı.

Neler oldu?

Help Net Security'ye göre Sophos, ağustos sonunda Cursor yapay zekâ kodlama asistanından kalıntılar elde etti; Gambit Security ve CloudSEK araştırmacıları da aynı açıkta kalan dizinden beslenen analizler yayımladı. Sophos'a göre operatörler ajanlara VPN girişleri, proxy erişimi, bir hedef listesi ve amaçlar verdi; ajanlar ardından ağı ve Active Directory'yi haritaladı, ağ paylaşımlarında, belgelerde ve yedeklerde parola aradı ve yanal hareket etti. Sophos, ajanların alan yönetimi erişimi kazandığı üç kurbanın daha sonra Aur0ra'nın veri sızıntı sitesinde adlandırıldığını belirtti. İlk sızma ve fidye yazılımı yükünün yerleştirilmesi ise insan denetiminde kaldı.

Teknik detaylar

Help Net Security, Sophos'tan aktararak operatör talimatlarının ele geçirilen kayıtlarda korunduğunu söylüyor. Bir operatör, bir ajanın Windows Active Directory ağını test edebilmesi için SOCKS5 proxy ve kullanıcı hesapları kurmayı önerdi; bir diğeri ajana alan yöneticisi hesaplarına kaba kuvvet denemesini bırakıp daha sessiz yöntemler kullanmasını söyledi; üçüncüsü ajandan yedekleme sunucularını, NAS cihazlarını ve sanallaştırma sistemlerini bulmasını istedi. Kayıtlardaki Kiril klavye hataları operatörlerin Rusça konuştuğuna işaret ediyor. Sophos'a göre saldırganlar, modellerin güvenlik korumalarını aşmak için eylemleri yetkili sızma testi veya tanılama testi gibi çerçeveledi. Rapora göre iş, Cursor'ın Composer ajan modeli ile Anthropic, xAI ve Moonshot modelleri üzerinden yürüdü; saldırganlar başlangıçta neredeyse yalnızca Anthropic'i kullanırken, amaçları araç geliştirmeden sızmaya kaydıkça diğerlerini de ekledi. Gambit'in raporu, yarı otomatik saldırılarda kullanılan bir Claude 4.5 Sonnet ajanına değiniyor.

Kimler etkileniyor?

Help Net Security'ye göre Sophos'un Counter Threat Unit ekibi, GOLD OGRE'nin araçlarının uç nokta tespit ve yanıt (EDR) ürünlerini atlatıp atlatamayacağını test etmek için yapay zekâ kullandığını ve ardından benzer teknolojiyi Aur0ra saldırıları için ortaklarına aktardığını yüksek güvenle değerlendiriyor. Sophos, diğer fidye yazılımı çetelerinin de operasyonlarına yapay zekâ ajanlarını katmasının yüksek olasılık olduğunu düşünüyor.

Ne yapmalı?

Sophos'un Help Net Security aracılığıyla aktarılan önerileri hâlâ geçerli savunma temelleri: İnternete açık cihazları yamalamak, kimlik avına dayanıklı çok faktörlü kimlik doğrulama uygulamak ve EDR uyarılarını yakından izlemek. Sophos, yapay zekânın bir saldırının aşamalarını hızlandırabildiği ve saldırı için gereken beceri düzeyini düşürdüğü için hızlı yanıt vermenin önemini vurguluyor; çünkü bu, sızma başladığında savunmacıların sahip olduğu tepki süresini kısaltıyor.