CrowdStrike: Çin Bağlantılı Hackerlar DeepSeek Ajanlarıyla 200’den Fazla Kuruluşu Hedef Aldı

CrowdStrike’ın 29 Ekim’de yayımladığı rapora göre, VAPOR PANDA adıyla takip edilen Çin bağlantılı bir casusluk grubu, DeepSeek’in büyük dil modeline dayanan bir yapay zekâ ajanı çerçevesini kullandı. Grup, yalnızca 11 gün içinde dünya genelinde 200’den fazla kuruluşa yöneldi. Uzmanlar, olayı yapay zekânın hackerların ölçeğini büyüttüğünün somut bir örneği olarak değerlendiriyor.

Kampanya 17 Ekim’de başladı

CrowdStrike’a göre operasyon 17 Ekim’de başladı ve ARTEX adlı bir çerçeve üzerinden yürütüldü. Bu yapı, tek bir kontrol merkezinden en az 14 ülkedeki kuruluşlara ulaşabiliyordu. Şirket, hedef alınan kuruluşlardan dokuzunda ağa girildikten sonraki faaliyetleri doğruladı. Saldırganlar ele geçirdikleri sistemlere, Ekim 2023’te kamuya açıkça belgelenen BLOODALCHEMY adlı bir arka kapı (backdoor) yerleştirdi. Arka kapı, saldırganın sisteme sonradan gizlice girmesini sağlayan yazılım anlamına geliyor.

Hedefte hükümetler, savunma ve telekom vardı

Hedefler arasında Latin Amerika, Avrupa, Asya ve Orta Doğu’daki dışişleri bakanlıkları, ABD’deki yarı iletken, savunma ve düşünce kuruluşları ile telekomünikasyon sağlayıcıları yer aldı. Bir operasyonda grup, tek bir Avrupa ülkesinin dışişleri bakanlığını, cumhurbaşkanlığını ve başbakanlık ofisini birlikte hedef aldı. Başka bir operasyonda ise ilaç, nükleer ve finans gibi alanlarda çalışan 19 ABD merkezli kuruluşa yöneldi. ABD, Belçika ve Filipinler’deki telekom sağlayıcıları da ele geçirildi. En az 12 kuruluş ayrıca parola püskürtme ve kimlik bilgisi tarama saldırılarına maruz kaldı.

Yapay zekâ ajanları nasıl çalıştı?

CrowdStrike’ın anlatımına göre ARTEX, ortak bir hedef grafiğini paylaşan planlayıcı ve işçi ajanları bir ana ajanın yönetiminde çalıştırıyor. Ajanlar, ilk erişimden keşfe ve ağ içinde yanal harekete kadar her aşamayı birlikte ilerletiyor. Ana model DeepSeek’ti; kimliği belirlenemeyen ticari bir ikinci model de kullanıldı. Tek bir saldırıda planlayıcı ajanlar yaklaşık 1,4 milyar girdi token’ı tüketti. Yine de süreç tamamen otonom değildi: ele geçirilen kayıtlarda Çince talimatlar veren bir insan operatör görüldü. CrowdStrike, bunu tekil sızmalardan insan yönetiminde eşzamanlı çoklu operasyonlara geçiş olarak tanımlıyor. Zscaler da 21 Ekim’de ARTEX’i DeepSeek, GLM ve Grok modelleriyle birlikte kullanan benzer bir kampanya bildirmişti.