Fidye yazılımı çeteleri, bir ağa sızmanın en zahmetli aşamalarını artık yapay zekâ destekli kodlama araçlarına devrediyor. Siber güvenlik şirketi Sophos’un Counter Threat Unit (CTU) ekibi, Aur0ra (Aurora olarak da yazılıyor) fidye yazılımını işleten ve GOLD OGRE olarak izlenen grubun, saldırılarını geliştirmek ve yürütmek için yapay zekâyı yoğun biçimde kullandığını açıkladı.
Sophos’a göre saldırganlar, ellerindeki çalıntı kimlik bilgilerinden alan yöneticisi (domain admin) seviyesine, yani bir Windows ağındaki en yüksek kontrol düzeyine çıkmak için Cursor’ı kullandı. Bu, veri toplama ve fidye yazılımını yayma hazırlığının kritik bir adımı.
İş bölümü: İnsan erişimi sağlıyor, ajan ağda ilerliyor
Sophos’un tarif ettiği tipik iş akışı şöyle işliyor:
- İnsan operatörler, ajanlara VPN kimlik bilgileri, SOCKS proxy erişimi, hedefler ve amaçlar veriyor.
- Ajanlar ağı ve Active Directory yapısını keşfediyor, kimlik bilgilerine dayalı saldırı yollarını analiz ediyor, komut çalıştırıyor ve sınırlı insan müdahalesiyle makineden makineye geçiyor.
- Birçok ortamda ajanlar ağ paylaşımlarını, kullanıcı belgelerini, yedekleme depolarını ve buluta bağlı depolamayı tarıyor.
- Bu sırada parola püskürtme, Kerberoasting, NTLM zorlama ve aktarma saldırıları gibi bilinen teknikler deneniyor; dosyalardan ve yedeklerden kimlik bilgileri çıkarılıyor.
Sophos’a göre ajanlar bazı ortamlarda alan yönetimi erişimine ulaştı ve bu kurbanlardan üçü daha sonra Aur0ra’nın veri sızdırma sitesinde ifşa edildi.
Güvenlik bariyerleri “kırmızı takım testi” denerek aşıldı
Sophos analistleri Ağustos sonunda, Aur0ra operasyonları ve uç nokta güvenlik ürünlerini atlatma testleriyle bağlantılı Cursor kayıtlarını ele geçirdi. Kayıtlar, saldırganların yapay zekâ güvenlik bariyerlerini, saldırıları yetkili bir kırmızı takım çalışması ya da “tanılama testi” gibi sunarak aştığını gösteriyor.
Sophos’un paylaştığı ve Rusçadan çevrilen komut örnekleri, ajanlara nasıl yön verildiğini açıkça gösteriyor. Operatörler, Windows AD ağını “test etmek” için ajanlara SOCKS5 ve kullanıcı hesapları verebileceklerini yazıyor; alan yöneticisi hesaplarına kaba kuvvet denemelerinin bırakılmasını ve “daha az gürültülü” yöntemlerin denenmesini istiyor; altyapıdaki yedekleme sunucularını, NAS sunucularını ve sanallaştırma sistemlerini listelemeyi talep ediyor.
Saldırılar Cursor’ın kendi ajan tabanlı kodlama modeli Composer’ın yanı sıra Anthropic, xAI ve Moonshot modelleriyle yürütüldü. Sophos’a göre saldırganlar başlangıçta neredeyse yalnızca Anthropic modellerini kullandı, ardından başka modellere de geçti. Şirket bu değişimin, araç geliştirmekten fiilî saldırılara geçişle ilgili olabileceğini değerlendiriyor. Kayıtlardaki bazı komut hataları ise operatörlerin Rusça konuşan kişiler olduğuna işaret ediyor.
Önce test, sonra saldırı
Hikâyenin başlangıcı Mayıs 2026’ya uzanıyor. Sophos CTU araştırmacıları o tarihte, farklı üreticilerin uç nokta tespit ve müdahale (EDR) ürünlerini sınayan, yapay zekâ destekli bir saldırı sonrası çerçeveyi raporlamıştı. Bu test aşamasının ardından aynı altyapının, Aur0ra operasyonlarını destekleyen Cobalt Strike sunucularını barındırdığı görüldü.
CTU, GOLD OGRE’nin önce Cursor destekli bir test ortamında çeşitli araç ve tekniklerin güvenlik ürünlerinden kaçıp kaçamadığını sınadığını, ardından benzer teknolojiyi Aur0ra operasyonlarında iş ortaklarına sağladığını yüksek güvenle değerlendiriyor. Sophos, etkilenmiş olabilecek müşterilerini bilgilendirdiğini ve diğer kurumlara bildirim için kolluk kuvvetleriyle çalıştığını belirtiyor.
Diğer araştırmalarla örtüşüyor
Sophos’un bulguları, Ağustos sonunda Gambit Security ve CloudSEK’in yayımladığı raporlarla da örtüşüyor. Bu iki şirket, internete açık bırakılmış bir sunucuda bulunan saldırgan araç setini incelemişti. Sunucuda Aur0ra’nın Windows ve Linux/ESXi sürümleri, komut geçmişi ve Cursor sohbet kayıtları yer alıyordu.
Gambit Security, Nisan–Mayıs 2026 arasında on hedef kurumda Claude Sonnet çalıştıran bir Cursor ajanının saldırılarda kullanıldığını raporlamıştı. Raporda dikkat çeken bir bulgu da şuydu: Ajanın çalıştırdığı komutların çoğu ilk denemede hedefe ulaşamadı; birçok görev tekrar tekrar düzeltilerek tamamlandı, bazıları ise yalnızca bir deneme raporuyla sonuçlandı. Yani ajanlar tamamen otonom bir saldırgan değil, deneyimli bir operatörün gücünü katlayan yardımcılar gibi çalışıyor.
Kurumlar ne yapmalı?
Sophos, yapay zekânın saldırı zincirinin bazı aşamalarını hızlandırdığını ve saldırı için gereken teknik yetkinlik eşiğini düşürdüğünü vurguluyor. Şirkete göre mevcut önlemler hâlâ etkili, ancak başarı hızlı müdahaleye bağlı:
- İnternete açık cihazları güncel tutmak
- Oltalamaya dayanıklı çok faktörlü kimlik doğrulama kullanmak
- EDR uyarılarını yakından izlemek
- Kritik sunucuları ağda ayırmak ve yedekleri yalıtmak
- Alan yöneticisi yetkilerini gözden geçirmek, ayrıcalıklı erişim yönetimi (PAM) ve uygulama denetimi uygulamak
Sophos’a göre diğer fidye yazılımı gruplarının ve iş ortaklarının da Cursor gibi yapay zekâ ajanlarını operasyonlarına yerleştirmesi kuvvetle muhtemel. Bu da kurumlar için kodlama ajanı oturumlarını, izlenmesi ve yetkileri sınırlandırılması gereken yeni bir saldırı yüzeyi olarak görmeyi zorunlu kılıyor.
Kaynak: Sophos, Gambit Security, CloudSEK
