Kazakistan Bağlantılı Hackerlar, Yapay Zeka Aracısı Kullanarak Orta Asya Hükümetlerini Casuslukla Hedef Aldı

Kazakistan Bağlantılı Hackerlar, Yapay Zeka Aracısı Kullanarak Orta Asya Hükümetlerini Casuslukla Hedef Aldı

Yeni araştırmalara göre, Kazakistan ile bağlantılı olduğundan şüphelenilen hackerlar, Orta Asya hükümetlerini gözetlemek için bir yapay zeka aracısı kullandı. Bu operasyonla hassas belgeler çalındı ve kritik altyapı ağlarına sızıldı.

Singapur merkezli siber güvenlik firması CloudSEK, bu operasyonu ortaya çıkardı. Firma, daha önce Kırgızistan, Türkmenistan, Tacikistan, Ermenistan, Belarus ve Rusya’yı hedef alan casusluk kampanyalarıyla ilişkilendirilen Silent Lynx adlı hacker grubuna ait açıkta kalan bir sunucuyu keşfetti.

Sunucu, on gigabayttan fazla veri içeriyordu. Bu veriler arasında çalınan hükümet belgeleri, hacking araçları ve bir saldırganın operasyonun bazı kısımlarını otomatikleştirmek için bir yapay zeka aracısını nasıl kullandığını gösteren kayıtlar bulunuyordu.

Çarşamba günü yayınlanan rapora göre, operatör, saldırgan siber güvenlik uzmanı olarak yapılandırılmış açık kaynaklı bir yapay zeka aracısı olan Hermes’e güvendi. Sistem öncelikli olarak Çinli DeepSeek şirketi tarafından geliştirilen yapay zeka modellerini kullandı. Geleneksel sohbet robotlarının aksine, yapay zeka aracıları komutları yürütebilir, yazılım çalıştırabilir ve kullanıcıları adına görevleri yerine getirebilir.

Araştırmacılar, aracının keşif, veri toplama ve ele geçirilen sistemlerden etkinlik izlerini silme konularında yardımcı olduğunu belirtti. Ayrıca, ek onay gerektirmeden potansiyel olarak yıkıcı belirli komutları yürütmek üzere yapılandırılmıştı.

Operatör, aracıyla Rusça iletişim kurdu ve onu bir Telegram botuna bağladı. Bu sayede hacker, uzaktan bir telefondan talimat verebildi.

Hükümet Ağları Ele Geçirildi

Grubun en önemli sızmalarından biri Tacikistan’ı hedef aldı. Burada hackerlar, en az Ağustos ortasından Ekim başına kadar ulusal demiryolu ağına kapsamlı erişimi sürdürdü.

Ağa sızdıktan sonra, saldırganlar çeşitli sunuculara erişim sağladı. Oturum açma kimlik bilgilerini içeren veritabanlarını çıkardı ve dahili belgeler ile operasyonel raporları çaldı.

Hackerlar ayrıca çok daha geniş bir hükümet bilgi koleksiyonuna erişim sağladı. Tek bir demiryolu çalışanının kimlik bilgilerini kullanarak, hükümet bakanlıkları ve ajanslarının resmi yazışmaları değiş tokuş etmek için kullandığı Tacikistan’ın ulusal elektronik belge yönetim platformuna giriş yaptılar.

Grup, 2026’da Tacikistan Savunma Bakanlığı’na gönderilen veya bakanlık tarafından işlenen binlerce belge de dahil olmak üzere büyük miktarda dosyayı indirmek için otomatik araçlar geliştirdi.

Çalınan materyal ayrıca Ulusal Muhafız, Devlet Ulusal Güvenlik Komitesi ve Devlet Yatırım Komitesi ile ilgili yazışmaları içeriyordu. Ayrıca 100’den fazla hükümet kuruluşu ve çalışanları hakkında bilgiler de çalınan materyaller arasındaydı.

CloudSEK ayrıca grubun Özbekistan’ın orman kaynaklarını izlemek ve yönetmek için kullanılan bir hükümet platformu olan Akıllı Ormancılık girişimini destekleyen bir sunucuyu ele geçirdiğine dair kanıtlar buldu.

Ek olarak, açıkta kalan sunucu, bir demiryolu bileti ve bölgesel bir hükümet raporu da dahil olmak üzere Türkmenistan’dan resmi belgeler gibi görünen kötü amaçlı dosyalar içeriyordu. Dosyalar Ekim ayında oluşturuldu ve test edildi. Bu durum, grubun başka bir kimlik avı kampanyası hazırladığını düşündürüyor. Araştırmacılar, Türkmenistan’a yönelik saldırıların başarılı olup olmadığını tespit edemedi.

CloudSEK, Rusça iletişimler ve ülkedeki bir konut internet sağlayıcısından kaynaklanan test bağlantılarını gerekçe göstererek Silent Lynx’in Kazakistan ile bağları olduğunu orta düzeyde bir güvenle değerlendirdi.

Bu bulgular, siber güvenlik araştırmacılarının grubun muhtemelen Kazakistan merkezli olduğuna dair önceki değerlendirmelerini desteklemekle birlikte, Kazak hükümetiyle herhangi bir bağlantı kurmuyor.

Cavalry Werewolf ve YoroTrooper olarak da takip edilen Silent Lynx, en az 2022’den beri aktif. Grup, daha önce Orta Asya, Rusya ve Avrupa’daki hükümet kurumlarını, diplomatik kuruluşları ve diğer kurumları hedef aldı.

Ekim 2025’te grup, Kırgız hükümet yazışmaları gibi görünen kimlik avı e-postaları kullanarak Rus hükümet kurumlarına ve sanayi firmalarına karşı aylarca süren bir siber casusluk kampanyası başlattı.