ARTEX geliştiricisi, son saldırı dalgasında kullanıldığı şüphelenilen Çin yapımı yapay zekâ aracının kamuya dağıtımını ve güncellemelerini durdurdu.
Seul merkezli siber güvenlik firması Logpresso’nun Pazar günü yayımladığı rapora göre, Güney Kore bankalarına yönelik son dönemde görülen yapay zekâ destekli siber saldırı dizisi, ücretli olarak DDoS saldırısı gerçekleştiren bir Çin grubuyla bağlantılı olabilir.
Şirket, banka saldırılarıyla bağlantılı olduğu belirtilen Telegram hesabı “YY520CN”in Eylül 2024’te Vitas adlı Çin grubunun ücretli müşteriler için DDoS saldırısı yaptığı GodNet adlı çevrimiçi topluluğun moderatörü olarak listelendiğini söyledi.
DDoS saldırıları, web sitelerini veya çevrimiçi hizmetleri trafikle doldurarak sistemleri aşırı yükler ve kullanıcıların erişimini engeller.
Logpresso’nun bulguları, bu ay başında ABD merkezli siber güvenlik firması CrowdStrike’ın yayımladığı raporun analizinden kaynaklanıyor. CrowdStrike, Telegram ve GitHub kayıtlarını “infostealer” olarak bilinen kötü amaçlı yazılımın çaldığı verilerle karşılaştırmıştı. Bu kötü amaçlı yazılım, enfekte cihazlardan şifreler ve diğer giriş bilgilerini toplar.
Kore güvenlik firması ayrıca GodNet personel listesinde yer alan ikinci bir hesabın detaylarını da izledi.
Logpresso, söz konusu üye ile bağlantılı GitHub kodunu inceledi ve bir Telegram hesabı ile GodNet alan adı arasında bağlantı buldu. Ayrıca kodun düzenleme geçmişinde bir e-posta adresi tespit etti ve bunu 2023’te infostealer kötü amaçlı yazılımı tarafından çalınan giriş bilgilerine kadar izledi.
Şüpheli üyenin şifre çalan kötü amaçlı yazılım bulaşmış görünüyor; bu durum kullandığı hesap ve hizmetlerin açığa çıkmasına yol açtı. Çalınan veriler arasında Microsoft ve Oracle bulut hizmetlerine ait giriş bilgileri de vardı. Logpresso’ya göre bu durum, üyenin grubun teknik sistemlerini işletmeye yardımcı olmuş olabileceğini düşündürüyor.
İkinci GodNet üyesi banka saldırılarıyla doğrudan ilişkilendirilmedi ancak Logpresso, çalınan giriş verilerini bulut sağlayıcılarının abone kayıtlarıyla karşılaştırarak hesabın operatörünü tanımlayabileceklerini ve bu sayede YY520CN’nin arkasındaki kişiyi izleyebileceklerini belirtti.
Ama şirket, hesap bağlantılarının saldırıları gerçekleştiren kişinin kim olduğunu tek başına kanıtlamadığını ve ihlallerin arkasında tek bir kişinin olduğunu kesin olarak söyleyemeyeceğini belirtti.
YY520CN hesabının operatörünün kimliği de belirsizliğini koruyor. CrowdStrike, saldırılarla bağlantılı bir sunucudaki yapay zekâ kullanım kayıtlarını inceledikten sonra Telegram kullanıcı adını açıklamıştı. Raporun yayımlanmasının ardından hesap 8 Ekim’de silindi.
Daha sonra aynı kullanıcı adıyla yeni bir hesap ortaya çıktı ve bağlantılı kanaldan karışık olmadığı yönünde bir açıklama paylaşıldı. İki hesabın da aynı kişi tarafından kontrol edilip edilmediği net değil.
YY520CN ile bağlantılı telefon numarasının sahibi de karıştığını reddetti ve numarasının izinsiz kullanıldığını söyledi. Logpresso, kişinin kimliğini doğrulamak için daha fazla bilgiye ihtiyaç olduğunu belirtti.
Son siber saldırı dalgasını soruşturan Güney Kore yetkilileri, saldırganın DeepSeek dahil birden fazla yapay zekâ modelini, Çin yapımı yapay zekâ destekli penetrasyon testi aracı ARTEX ile birleştirdiğinden şüpheleniyor. Saldırganın, art arda yedi Güney Kore finans kuruluşunu hedeflemek için Hong Kong merkezli kontrol sunucuları, ayrı saldırı sunucuları ve alternatif erişim yolları kullandığı bildiriliyor.
Reuters ve diğer haber kuruluşlarına göre ARTEX’in geliştiricisi GitHub’da, aracın siber saldırılarda kötüye kullanılması nedeniyle daha fazla güncelleme ve kamuya dağıtımının durdurulacağını duyurdu.
GitHub’da “Autumn-27” olarak bilinen geliştirici, kötüye kullanım nedeniyle aracın artık güncellenmeyeceğini ve kapalı kaynak modele geçeceğini söyledi.
