CloudSEK ve Gambit Security’nin ayrı ayrı yürüttüğü incelemeler, Rusça konuşan bir siber suç grubuna bağlı açık bir altyapı üzerinden Aurora fidye yazılımı operasyonunun AI destekli biçimde yürütüldüğünü ortaya koydu. Araştırmacılar, Nisan ile Temmuz 2026 arasında dokuz ülkedeki 20’den fazla kuruluşa karşı aktif kalan ve aylarca süren bir faaliyete dair izler buldu; bu kurumlardan dördü daha sonra veri sızıntısı sitesinde listelendi.
İncelemelerde, saldırganın Cursor adlı ajan tabanlı kod asistanını Rusça komutlarla saldırı planlamak için kullandığı, ancak CIS yani Bağımsız Devletler Topluluğu ülkelerine ait IP aralıkları ve alan adlarını istisnasız dışarıda bıraktığı görüldü. Bulgular, fidye yazılımı gruplarının ticari yapay zekâ araçlarını yalnızca metin üretmek için değil, saldırı planlama ve operasyon yönetimi için de kullanmaya başladığını gösteriyor.
Aurora adının ilk kez Mayıs 2026 sonunda gündeme geldiği, CYFIRMA’nın Windows sistemlerini hedef alan saldırılara ve grubun aşamalı güncellemelerle teknik kapasitesini genişletmesine işaret ettiği hatırlatıldı. Ransomware.Live verileri ise grup tarafından listelenen mağdur sayısını 33 olarak veriyor; bu kurbanlar arasında ABD, Almanya, Hollanda, Kanada ve Birleşik Krallık’taki kurumlar yer alıyor.
Black Hills Information Security’nin bu ay başında ayrıntılandırdığı bir vakada saldırı zinciri, yoğun e-posta bombardımanıyla başladı. Ardından saldırganlar, yardım masası personeli gibi davranarak çalışanları telefonla aradı ve sorunu çözmeye çalıştıklarını söyledi. Bu sosyal mühendislik adımı, açık kaynaklı Xray-core aracıyla uzaktan erişim kurmalarına zemin hazırladı.
Bundan sonra saldırı iç ağda yayılma, kimlik bilgisi toplama ve savunmayı devre dışı bırakmaya uzandı. SMB, LDAP, WinRM, RDP ve RPC üzerinden yatay hareket eden saldırganlar, yüksek yetkili yönetici hesaplarına ulaştıktan sonra log temizleme ve Microsoft Defender’ı kapatma gibi adımlarla izlerini silmeye çalıştı. Son aşamada hassas veriler toplandı, dışarı aktarıldı ve encryptor devreye sokuldu.
CloudSEK, Aurora’nın hem Windows hem de Linux sürümlerinin Zig diliyle yazıldığını belirtti. Şirketin ele geçirdiği sohbet geçmişi, saldırganın Cursor’u saldırının farklı aşamalarını planlamak için yoğun biçimde kullandığını gösteriyor. Buna, Rusça yazılmış tam bir Active Directory Certificate Services, yani AD CS istismar planı da dahil.
Şirketin paylaştığı teknik ayrıntılara göre Windows tarafındaki sap.exe ile Linux ve ESXi için hazırlanan encrypt.out dosyası, tek bir Zig kod tabanından derlenmiş statik yapılar. Yani iki ayrı kez yazılmış farklı programlar değil, farklı hedefler için üretilmiş aynı kaynak ağacının çıktıları. Windows ikilisinin içinde Linux sürümüne ait kullanım örneklerinin bulunması da kod tabanının iki platform arasında paylaşıldığını ortaya koyuyor.
Windows varyantı, gölge kopyaları silerek ve Registry üzerinden System Restore’u kapatarak kurtarmayı zorlaştırıyor. Linux ve ESXi varyantı ise şifrelemeye başlamadan önce barındırdığı tüm sanal makineleri zorla sonlandırmaya çalışıyor. Bu yaklaşım, özellikle sanallaştırma altyapısına bağlı ortamlarda kesintiyi daha geniş bir alana yayıyor.
CloudSEK’in ulaştığı bir anahtarın, saldırgan ile adı açıklanmayan bir kurban arasındaki fidye pazarlığına erişim sağladığı da aktarıldı. Aynı anahtarla bağlantılı kripto cüzdan kümeleri, operatörlerle iştirakçiler arasındaki gelir paylaşımını da görünür hale getirdi. Bulgulara göre iştirakçiler fidyenin yüzde 54 ile 79 arasındaki kısmını alıyor, kalan pay yönetici tarafa gidiyor.
Paylaşım oranının kurbana göre değiştiği, istenen fidye tutarı ve hedef kurumun gelir düzeyinin bu oranı etkilediği bildirildi. Elde edilen yasa dışı gelirlerin daha sonra aklandığı ve nakde çevrildiği de incelemelerde yer aldı.
Gambit Security’nin kendi bulguları ise Cursor Agent’in, Anthropic’in Claude Sonnet modelini kullanarak 8 Nisan ile 21 Mayıs 2026 arasında 10 hedefe yönelik elle yapılan istismar faaliyetlerinde devreye sokulduğunu gösterdi. Threat intelligence direktörü Eyal Sela, bu vakalarda ajanlara ya doğrudan kimlik bilgisi ya da hedef organizasyona giren mevcut bir yol verildiğini, ardından çeşitli istismar görevleriyle görevlendirildiklerini söyledi.
Sela’nın anlattığına göre ajan bazen yalnızca bir hedefe ulaşmakla görevlendirildi, bazen de hangi aracın kullanılacağı önceden söylendi ya da daha önce hazırlanmış bir saldırı planını izlemesi istendi. Bazı durumlarda ajan, bir sonraki adım için seçenekler listesi sundu ve saldırgan yalnızca bu seçeneklerden birinin numarasını yanıtladı.
Ajanın üstlendiği görevler arasında VPN istemcisi veya proxychains kurmak, bunları yapılandırıp sağlanan kimlik bilgileri ya da mevcut bir SOCKS tüneliyle hedefe bağlamak da vardı. İç ağın taranması için Nmap ve NetExec kullanıldı; NetExec’in BloodHound kolektörüyle domain üzerindeki yetkiler çıkarıldı. Güvenlik ekipleri aynı araçları kendi ağlarındaki zayıf noktaları görmek ve saldırı yüzeyini haritalamak için meşru amaçlarla da kullanıyor.
Ayrıca PetitPotam, Coerce Plus ve PrinterBug ile kimlik doğrulama zorlanarak NTLM relay girişimleri yapıldığı, ardından Impacket ntlmrelayx ile bu oturumların aktarıldığı belirtildi. Sertifika tabanlı saldırılar için Certipy kullanıldı. Gambit, komutların çoğunun ilk denemede istenen sonucu vermediğini, bunun da her görev için komut ve betiklerde birkaç kez düzeltme yapılmasına yol açtığını aktardı. Bazı girişimler sonunda başarıya ulaşırken, bazıları yalnızca deneme raporuyla saldırgana geri döndü.
Linux sürümünün kullanıldığı saldırılarda ise esxi_finder.py adlı bir Python betiğiyle kurban ağındaki VMware ESXi hypervisor’ları ve vCenter sunucuları tarandı. Bu, Aurora operatörlerinin sanallaştırma ortamlarını da hedefe koyduğunu gösteren ek bir bulgu olarak kayda geçti.
Ortaya çıkan tablo, kötü niyetli aktörlerin ticari yapay zekâ araçlarını saldırı yürütmek için giderek daha fazla kullandığını ortaya koyan yeni örneklerden biri oldu. Model sağlayıcıları kötüye kullanımı sınırlamak için çeşitli güvenlik önlemleri eklese de, bu tür operasyonlarda AI destekli iş akışlarının yaygınlaştığı görülüyor. Kimliği açıklanmayan şirketler arasında Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, Arjantinli bir ilaç dağıtımcısı ve İtalyan bir üretici bulunduğu bildirildi.
Aynı dönemde ReliaQuest, Gryxa adı verilen yeni bir AI destekli araç setini de ortaya çıkardı. Şirket, bunun finansal motivasyonlu bir tehdidin 324 ana bilgisayarı hedefleyen ilk erişim operasyonunu yürütmek için kullandığı, baştan sona yapay zekâ yardımıyla oluşturulmuş ilk operasyonlardan biri olduğunu söyledi.
Gryxa, meşru uzaktan izleme ve yönetim, yani RMM yazılımını gizli erişim kanalına çeviriyor. Birbirinden bağımsız çalışan birkaç yeniden başlatma mekanizmasıyla erişimi canlı tutuyor ve ardından Chromium tabanlı tarayıcılarda saklanan kimlik bilgilerini çalıyor. ReliaQuest’e göre araç ayrıca bağlantı kesildiğinde uç nokta koruma yazılımlarına karşı da agresif davranıyor; Microsoft Defender dahil güvenlik ajanlarını devre dışı bırakmaya ya da kaldırmaya çalışıyor. Böylece saldırgana kalıcı erişim sağlanıyor ve kripto cüzdanlarının çalınmasına kadar uzanan bir yol açılıyor.
İncelemeye göre saldırgan, bir AI kodlama ajanını tüm geliştirme sürecini “yetkili dahili dağıtım” gibi göstererek kandırmış olabilir. Gryxa’nın büyük olasılıkla kimlik avı e-postalarıyla dağıtıldığı değerlendiriliyor. Kompromize edilmiş bir ana bilgisayarda çalıştığında zamanlanmış görevlerle kalıcılık kuruyor ve Chromium’un app-bound encryption, yani ABE korumasını aşarak tarayıcılardaki kimlik bilgilerini topluyor. Çalınan veriler Telegram üzerinden aktarılıyor.
Gryxa’nın en dikkat çekici yönlerinden biri, müdahale çabalarını kaydedip bunları saldırgana geri bildirmesi. Görünen RMM implantı kaldırıldıktan sonra devreye giren gizli bileşen, Windows günlüklerini ve sistem artefaktlarını topluyor ve saldırganın kontrolündeki altyapıya yüklüyor. Saldırganın bağlantısı yaklaşık 10 ila 13 dakika boyunca ulaşılamaz hale gelirse araç, Defender ve benzeri uç nokta koruma ajanlarını kapatmaya ya da kaldırmaya çalışıyor; bağlantı yeniden sağlandığında ise Defender’ı tekrar etkinleştiriyor.
ReliaQuest, Gryxa bileşeninin yalnızca topladığını ve yüklediğini, ne topladığını yorumlamadığını vurguladı. Hangi aracın kaldırma işlemini yaptığı, hangi hesabın bunu çalıştırdığı ve sürecin hangi sırayla ilerlediği gibi çıkarımlar, arşiv saldırgan tarafına ulaştıktan sonra operasyon konsolunda yapılıyor. Konsolda yer alan collect-forensics adlı hazır görev de bunun tek seferlik bir refleks değil, rutin bir yetenek olduğunu gösteriyor. Günlük dosyalarının 200 KB’ı aşınca döndürülmesi nedeniyle, hızlı müdahale eden bir savunucu son etkinlikleri görme şansı da bulabiliyor.