Siber güvenlik şirketi Bitdefender, 3 Kasım 2026’da yayımladığı araştırmada, siber suçluların yapay zekâyı insan operatörün yerine değil, onun “güç çarpanı” olarak kullanmaya başladığını gösteren dikkat çekici bir vakayı anlattı. Araştırmaya göre 3AM fidye yazılımı çetesiyle çalışan bir iş ortağı, İngiltere’deki bir okul yapısını hedef aldı ve yönetilmeyen bir bilgisayar üzerinden ulaştığı yaklaşık 50 makinenin 37’sini şifrelemeyi başardı.
Bitdefender’ın bu saldırıyı sıradan bir fidye yazılımı olayından ayıran tespiti ise saldırganın, yapay zekâ tarafından üretilmiş komutlar ve otomatik, ajan benzeri bir döngü kullanmış olabileceği.
Yapay zekâ izleri nereden geliyor?
Araştırmacılar bu sonuca, saldırı kayıtlarında gördükleri bir örüntüden ulaştı: Aynı komutlar defalarca tekrar ediliyor, her denemede küçük değişikliklerle yeniden yazılıyor ve yaklaşık 40 ila 100 saniyelik düzenli aralıklarla gönderiliyordu. Bu tablo, bir dil modelinin hata çıktısını okuyup komutu düzelttiği ve tekrar denediği bir döngüye benziyor.
Bitdefender yine de temkinli. Şirket, saldırganın çalıştığı makineye erişemedikleri için hangi modelin kullanıldığını, modelin yerelde mi uzakta mı çalıştığını, hatta bir insanın komutları ve sonuçları model ile zararlı yazılım arasında kopyalayıp yapıştırıp yapıştırmadığını belgeleyemediklerini açıkça belirtiyor. Bu nedenle araştırmacılar saldırıyı “tam otomatik” olarak değil, insan ve yapay zekâ unsurlarının birlikte çalıştığı “hibrit yapay zekâ fidye yazılımı saldırısı” olarak tanımlıyor.
Saldırı adım adım nasıl ilerledi?
Kötü amaçlı faaliyet 10 ile 19 Eylül arasında sürdü. Saldırganın ağa ilk nasıl girdiği tespit edilemedi. Sonrasında izlenen adımlar ise klasik fidye yazılımı senaryosunun neredeyse tamamını içeriyor:
- Değiştirilmiş, herkese açık bir PowerShell aracıyla üç Veeam yedekleme sunucusunda saklanan kimlik bilgileri çıkarılıp çözüldü.
- Parolaları içeren bir Chrome veritabanı kopyalandı; Mimikatz ve LSASS bellek dökümü araçları devreye alındı.
- Etki alanı ilişkileri haritalandı ve oturum açma betiklerinin bulunduğu klasörlerde diğer okullara yapılan atıflar arandı.
- “library” ve “svc_bkpmon” adlı iki arka kapı etki alanı yöneticisi hesabı oluşturuldu.
- Ele geçirilen makinelerden mali veriler çalındı.
- Daha önce birbirinden ayrı olan üç Active Directory etki alanı arasında çift yönlü güven ilişkileri kurularak saldırı diğer okullara yayıldı.
- Son aşamada Sophos ve Bitdefender korumaları kaldırılmaya, sistem durumu yedekleri silinmeye çalışıldı ve 3AM’in Rust ile yazılmış şifreleyicisi çalıştırıldı.
Yeni bir dönemin habercisi mi?
Saldırı, kullanılan teknikler açısından bilinen bir oyun kitabını izliyor. Asıl değişen, saldırganın bu adımları hayata geçirme hızı ve deneme-yanılma kapasitesi. Bir dil modeli, hata veren bir komutu saniyeler içinde düzeltip yeniden deneyebildiğinde, sınırlı teknik bilgisi olan bir iş ortağı bile karmaşık ağlarda daha uzağa gidebiliyor. Güvenlik araştırmacıları bu nedenle yapay zekânın siber suçta en büyük etkisini yeni saldırı türleri icat ederek değil, mevcut saldırıları ölçeklendirerek göstereceğini öngörüyor.
Okullar ve kurumlar ne yapmalı?
- Yedekleme sunucularını ayrı bir ağ bölümünde tutun; yedekleme yazılımındaki kayıtlı kimlik bilgilerini düzenli olarak yenileyin ve çevrim dışı ya da değiştirilemez yedekler saklayın.
- Yeni oluşturulan yönetici hesapları ve etki alanları arasında kurulan güven ilişkileri için anlık uyarılar tanımlayın.
- Yönetilmeyen cihazları envanterden çıkarmayın; ağa bağlı her cihazı güvenlik yazılımı kapsamına alın.
- Kısa aralıklarla tekrar eden, küçük farklarla değişen komut dizileri gibi “makine hızında” davranışları tespit edecek izleme kuralları ekleyin.
Kaynak: Bitdefender araştırma raporu, BleepingComputer, Dark Reading
