Devlet Linux Sunucuları SysGoRAT ve Yapay Zeka Destekli Betiklerle Hedef Alındı (Ekim 2025 – Nisan 2026)

Devlet Linux Sunucuları SysGoRAT ve Yapay Zeka Destekli Betiklerle Hedef Alındı

Siber güvenlik araştırmacıları, hükümet kurumları ve devlete bağlı altyapılarla ilişkili Linux altyapılarını hedef alan bir siber casusluk kampanyasının detaylarını açıkladı.

Palo Alto Networks Unit 42 tarafından Ekim 2025 ile Nisan 2026 tarihleri arasında gözlemlenen bu faaliyet, “CL-UNK-1211” adı altında takip edildi. Burada “CL” küme anlamına gelirken, “UNK” bilinmeyen motivasyonu ifade etmektedir.

Kampanyanın dikkat çekici bir yönü, yükleri oluşturmak ve kötü amaçlı kodları yürütmek için büyük dil modellerinin (LLM’ler) ve/veya otomatik yapay zeka (AI) ajanlarının kullanılmasıdır.

Araştırmacılar Roey Porat ve Tom Fakterman, “Bu faaliyet kümesinin arkasındaki saldırganlar, kapsamlı keşif yapmak ve istihbarat toplama amacıyla kalıcı ağ erişimini sürdürmek için Linux ortamlarına odaklandı” dedi. “Saldırganlar, hassas veritabanlarını boşaltmaya ve sosyal medya hesaplarına erişmek için hükümet e-posta kutularını sızdırmaya çalıştı.”

Kampanya, erişimi sürdürmek için açık kaynak araçlar, özel çapraz platform arka kapılar ve web kabuklarının bir kombinasyonunu kullanan “çok yönlü bir operasyonel oyun kitabı” kullanmaktadır. Bir diğer belirleyici özellik ise, uç nokta korumalarını devre dışı bırakma, sistem günlüklerini silme ve etkinliği meşru bir güvenlik değerlendirmesi olarak gizlemek için yanıltıcı kırmızı ekip işaretleri yerleştirme girişimleridir.

Tehdit aktörünün, kalıcılığı sürdürmek, keşif yapmak ve veri sızdırmak için muhtemelen yapay zeka kullanılarak oluşturulmuş kötü amaçlı PHP ve kabuk betikleri kullandığı da gözlemlenmiştir.

Siber güvenlik şirketi, “Standart geliştirici belgeleri yerine, birden fazla betik, konuşma tarzında, adım adım gerekçelendirme notları içeriyordu. Bu notlar, kodu ilk talimatları veren operatöre kodun mantığını açıklıyordu” dedi. “Varlıklarının, kodun doğrudan bir yapay zeka istem çıktısından kopyalandığını veya otomatik bir yapay zeka ajanı tarafından dağıtıldığını düşündürmektedir.”

Ana bilgisayar ağlarına kalıcı bir arka kapı sağlamak için açık kaynak ve özel PHP web kabuklarının bir karışımı kullanılmaktadır. Erişim daha sonra hedeflenen ortamdan kimlik bilgilerini toplamak için üç farklı yöntemle kötüye kullanılmaktadır:

• .bashrc dosyasını, parolaları çalmak için bir komut içeren kötü amaçlı bir sürümle değiştirmek.
• Yönetici kimlik bilgilerini toplamak için PHP giriş sayfalarına kod enjekte etmek.
• Yapılandırma dosyalarında ve komut geçmişi dosyalarında açık metin e-posta, SMTP ve veritabanı parolalarını taramak.

Saldırıların bir parçası olarak, Windows ve Linux sistemlerinde uzun süreli erişimi sürdürmek için çeşitli kalıcılık yöntemlerini destekleyen, Go dilinde yazılmış özel, çok platformlu bir uzaktan erişim trojanı olan SysGoRAT da dağıtılmıştır. SysGoRAT, sabit kodlanmış bir IP adresine (“104.194.158[.]65:443”) WebSocket üzerinden bir komuta ve kontrol (C2) bağlantısı kurar ve yedi tür komut alır:

• command: /bin/sh -c (Linux) veya cmd /C (Windows) aracılığıyla rastgele komutları yürütmek için.
• control: Alt komutlar aracılığıyla etkileşimli bir kabuk (shell_start), ekran görüntüleri (screenshot), dosyaları C2 sunucusuna sızdırma (download) ve kalıcılık yükleme (persist) başlatmak için.
• list_dir: Dizin içeriğini listelemek için.
• shell_input: Etkileşimli bir kabuk oturumu oluşturmak için.
• proxy_connect: Rastgele bir hedefe TCP bağlantısı kurmak için.
• proxy_data: Kurulmuş bir proxy bağlantısına çift yönlü veri aktarmak için.
• proxy_close: Bir proxy oturumunu sonlandırmak ve kaldırmak için.

Ayrıca, saldırılar diskte adli eserler bırakmaktan kaçınmak için bellekte ters kabuklar kullanmakta ve belirli klasörlerde depolanan e-posta sayısını saymak için “/var/qmail/mailnames/” dizinlerini numaralandırmaktadır.

Unit 42, “Daha sonra, saldırganlar sosyal medya ile ilgili e-postaları aradı” diye açıkladı. “E-posta başlıklarında belirli anahtar kelimeleri arayan ve sonuçları kullanıcı dostu bir formatta gösteren search_social.php adlı bir PHP betiği dağıttılar.”

“Betik daha sonra yanıtı ayrıştırdı ve tam dosya yolunu, sosyal medya hesabı e-posta göndericisini, alıcısını ve konusunu gösterdi.”

Saldırganların ayrıca, ilgilenilen e-postaları ZIP arşivlerine sıkıştırmak ve bilgileri sızdırmak amacıyla “zip_mails.sh” adlı bir bash betiği oluşturmaya çalıştıkları da tespit edildi. Ancak, betikteki sözdizimi hataları programın yürütme sırasında başarısız olmasına neden oldu.

Unit 42, “Bu kampanya, saldırganların geleneksel sömürü sonrası teknikleri yapay zeka hızlandırmalı iş akışlarıyla birleştirerek hükümet Linux sunucu altyapısını nasıl hedef aldığını göstermektedir” dedi. “Yapay zekayı operasyonel betikleri hızla oluşturmak, uyarlamak ve dağıtmak için kullanarak, CL-UNK-1211’in arkasındaki saldırganlar, manuel geliştirici yükünü en aza indirirken hızlı bir operasyon hızı sürdürdüler.”

Bu gelişme, Google Tehdit İstihbarat Grubu (GTIG) ve Mandiant’ın, Microsoft ile birlikte, tehdit aktörlerinin ARTEX, PentAGI, Hexstrike ve CAIRN gibi açık kaynaklı ajan tabanlı sızma testi çerçevelerini, saldırı yaşam döngüsünün çeşitli aşamalarında “geniş bir eylem yelpazesi” gerçekleştirmek için benzeri görülmemiş bir hız ve ölçekte kötüye kullandığını belgelediği bir döneme denk gelmektedir.

ARTEX, yaygın kötüye kullanım raporlarının ortaya çıkmasından sonra yazarı tarafından kaldırılmış olsa da, ARTEX PRO adlı ticari bir teklif ve ScopeWeaver adlı yerelleştirilmiş bir varyasyon da dahil olmak üzere birden fazla sürüm ortaya çıkarmıştır.

Bazı örnekler aşağıda listelenmiştir:

• Storm-0940 (diğer adıyla UNC7228) tarafından ARTEX’in, ABD ve Avrupa’daki kurumsal yazılım, endüstriyel otomasyon, yarı iletken üretimi ve tasarımı ile telekomünikasyon endüstrisi dikeylerindeki kuruluşları hedef alan veri hırsızlığı kampanyalarını düzenlemek için kullanılması.
• Finansal motivasyonlu tehdit aktörleri tarafından ARTEX’in, Asya’daki finans sektörünü hedef alan veri hırsızlığı şantajını kolaylaştırmak için kullanılması.
• Onyx Sleet (diğer adıyla Andariel) ve Pearl Sleet (diğer adıyla Lawrencium) gibi Kuzey Kore destekli hack grupları tarafından ARTEX’in operasyonlarda kullanılması.
• PentAGI’nin, WHOIS varlık eşlemesi ve Asya’daki kuruluşlara karşı sistematik keşif ve güvenlik açığı taraması için kullanılması.

GTIG ve Mandiant, “ARTEX ve benzeri ajan tabanlı saldırgan sızma çerçevelerinin ortaya çıkışı, tehdit aktörlerinin açık kaynaklı çok ajanlı saldırgan çerçeveleri ve potansiyel olarak özel ajan tabanlı donanımları benimsemesine yönelik daha geniş bir değişimi vurgulamaktadır” dedi.

“ARTEX gibi çerçeveler, saldırı zaman çizelgelerini makine hızına sıkıştırır; ancak, şu anda gizliliği hızla takas etmektedirler. Kısıtlanmamış otonom yürütme, adli trafik üretir, tanınabilir tanımlayıcılara dayanır ve belirgin kod düzeyinde izler bırakır, bu da tespit ve azaltma olasılığını artırır.”