--- title: "Çin destekli hackerlar AI destekli ARTEX ile 200'den fazla kuruluşu hedef aldı" url: "https://teknotayf.com/haber/cin-destekli-hackerlar-ai-destekli-artex-ile-200-den-fazla-kurulusu-hedef-aldi" markdown_url: "https://teknotayf.com/haber/cin-destekli-hackerlar-ai-destekli-artex-ile-200-den-fazla-kurulusu-hedef-aldi.md" site: "teknotayf.com" language: "tr" published: "2026-10-30 19:58:44" updated: "2026-10-30 19:40:41" category: "Siber Güvenlik" tags: ["Yapay Zeka","Siber Casusluk","CrowdStrike","Tehdit Aktörü","ARTEX"] source: "The Hacker News" --- # Çin destekli hackerlar AI destekli ARTEX ile 200'den fazla kuruluşu hedef aldı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/cin-destekli-hackerlar-ai-destekli-artex-ile-200-den-fazla-kurulusu-hedef-aldi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** CrowdStrike'a göre Çin merkezli Vapor Panda takımı, Go tabanlı AI destekli ARTEX çerçevesini kullanarak 17 Ekim 2026'dan itibaren dünya genelinde 200'den fazla kuruluşa saldırdı. Hedefler arasında Latin Amerika, Avrupa, Asya ve Orta Doğu'daki dışişleri bakanlıkları ile ABD'deki yarı iletken, savunma ve telekom şirketleri yer alıyor. Araç, DeepSeek ve ticari bir büyük dil modeliyle çalışan planlayıcı ve işçi ajanları üzerinden otomatik keşif ve yatay hareket sağlıyor. - **Yayın tarihi:** 2026-10-30 19:58 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yapay Zeka, Siber Casusluk, CrowdStrike, Tehdit Aktörü, ARTEX - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/chinese-hackers-use-ai-powered-artex-to.html) ![Çin destekli hackerlar AI destekli ARTEX ile 200'den fazla kuruluşu hedef aldı](https://teknotayf.com/assets/uploads/2026/10/fa8d94f3a74209994ab3c5f9068abc5b.jpg) Çin destekli **tehdit aktörleri**, yüksek değerli hedeflere eş zamanlı saldırılarda Go tabanlı yapay zekâ destekli penetrasyon test çerçevesi **ARTEX**'i kullandıkları görüldü. Etkinlik, CrowdStrike tarafından Vapor Panda takma adıyla izlenen Çin merkezli "hedefli sızma rakibi"ne atfedildi. Daha önce VexatiousTemper olarak bilinen grup Şubat 2021'de ilk kez tespit edildi ve Trend Micro tarafından Earth Estries olarak detaylandırılan tehdit kümesiyle örtüşüyor. "ARTEX gibi ajan tabanlı araçlar, küçük bir ekibin manuel operasyonların destekleyeceğinden daha geniş bir hedef kümesini hızla takip etmesini sağlayarak ölçekte genişlemeyi mümkün kılıyor; bu, rakibin yerleşik erişim geliştirme misyonundan tamamen vazgeçmesi anlamına gelmiyor" dedi CrowdStrike Perşembe günü yayımlanan analizinde. 17 Ekim 2026'dan itibaren Vapor Panda'nın AI aracını **200'den fazla farklı kuruluşa** karşı kullandığı belirtiliyor. Hedefler arasında Latin Amerika, Avrupa, Asya ve Orta Doğu'daki dışişleri bakanlıkları; ABD'deki yarı iletken, savunma ve düşünce kuruluşları; birden fazla bölgede telekom sağlayıcıları bulunuyor. CrowdStrike'ın listelediği dikkat çekici hedefler şöyle: Latin Amerika merkezli iki ülkenin, Orta Amerika'nın ve Asya'nın dışişleri bakanlıkları Orta Doğu merkezli bir içişleri bakanlığı Avrupa'da bir ülkenin dışişleri bakanlığı, başkanlığı ve başbakanlık ofisi ile savunma, adalet, maliye ve istihbarat kurumları İlaç, yarı iletken, savunma, nükleer ve finans sektörlerinde 19 ABD merkezli kuruluş ABD, Belçika ve Filipinler'de telekom sağlayıcıları Post-sömürü faaliyeti dokuz kuruluşta doğrulandı; saldırgan BLOODALCHEMY'yi, ShadowPad'in bir türevini konuşlandırdı, ardından kimlik bilgisi püskürtme, ağ taraması ve keşif izledi. Vapor Panda'nın ayrıca en az 12 ek kuruluşa karşı parola püskürtme ve kimlik bilgisi tarama faaliyeti yürüttüğü belirtiliyor; bunlar arasında ABD merkezli düşünce kuruluşları ve Avrupa'daki hükümet kurumları var. Operasyonun merkezinde, sızmaları ölçekli şekilde gerçekleştirmek için DeepSeek ve henüz bilinmeyen abonelik tabanlı ticari bir büyük dil modeli ile kullanılan ARTEX bulunuyor. Ortak bir hedef doğrultusunda ilk erişimden ana bilgisayar keşfine ve yatay hareket etmeye kadar ilerlemek için birbirleriyle koordine olan planlayıcı ve işçi ajanlarından oluşan bir ordu kullanıyor. Döngüdeki insan operatörü operasyonu denetliyor, ajanlara web kabuğu yazma, etki alanı yöneticisi parolalarını çıkarma ve uç nokta sensörü kapsamını numaralandırma talimatı veriyor. "Tek bir sızmada Vapor Panda'nın planlayıcı ajanları yaklaşık 1,4 milyar giriş belirteci tüketti; bu, otomatik etkinliğin ölçeğini gösteriyor ve tüm operasyon genelinde çok daha yüksek tüketimi ima ediyor" dedi CrowdStrike. Bazı kampanyalarda tek tek dijital kırılmalara yardımcı olmak için kullanılan yaklaşımların aksine, ARTEX'in kullanımı çok daha üst düzeyde; birden fazla etkileşimi eş zamanlı yürütüyor ve insan operatörü yalnızca ajanları hedefe ulaşmaları için yönlendirmek üzere devreye giriyor, uç nokta savunmalarını atlatmak için adımlar atıyor. Elde edilen transkriptlerin analizi, ARTEX'in denenmiş ve doğrulanmış yaklaşımlarla birlikte kullanıldığını vurguluyor: İmzalanmamış bir Güvenlik İddiası İşaretleme Dili SAML onayını ve XML dış varlık XXE açığını zincirleyerek bulut Instance Metadata Service'i sorgulama. Bunu, binlerce örneğe yönetici komutları verebilen bir rol elde etmek ve erişimi yükseltip kurumsal yönetici hesabını kurtarmak izliyor. Web kabukları konuşlandırma, üretim konteyner ortamında kök erişimi elde etmek için doğrulanmamış bir orkestrasyon hizmetini kötüye kullanma, Local Administrator Password Solution LAPS parolalarını okuma ve ayrıcalıklı bir hesabı taklit etmek için kaynak tabanlı kısıtlı delegasyondan yararlanma. 2022'den beri döndürülmemiş bir kimlik doğrulama anahtarları kümesini ajana sağlama; ajan bu anahtarları yönetici belirteci sahtelemek ve posta kutularını okumak için kullanıyor. Bir sonraki aşamada ajan, kullanıcının gönderilen postasından kurtarılan VPN yapılandırmalarını ve Mayıs 2024'te sızdırıldığı iddia edilen bir e-posta sızıntısından kaynaklanan bir VPN istemcisi anahtarını kullanarak dahili ağa ulaşıyor. "Bu etkileşimlerde ajanlar web uygulamaları, bulut hizmetleri, konteyner ortamları, Active Directory ve posta ve VPN altyapısı boyunca paralel olarak birden fazla saldırı yolu izledi. Başarısız olan bir yol olduğunda alternatif yaklaşımlara geçti. Bu genişlik, tek bir operatörün manuel operasyonlarla mümkün olandan daha geniş bir teknik yelpazesini daha fazla hedefe karşı uygulamayı muhtemelen sağlıyor" diye açıkladı CrowdStrike. ![](https://teknotayf.com/assets/uploads/2026/10/65c0779d1659d74ce54b7a9ff2d343c0.webp) Gelişme, ARTEX'in kısa sürede tehdit aktörleri arasında yaygın benimsenme görmesiyle birlikte geldi; bu durum geliştirici Li Puhua'nın "Autumn-27" takma adıyla kapalı kaynağa almasına yol açtı. "Birden fazla büyük dil modeli arka ucunu koordine ederek keşif, güvenlik açığı tanımlama ve sömürü işlemlerini özerk olarak gerçekleştiriyor; bu da karmaşık sızma kampanyaları yürütmenin teknik engelini önemli ölçüde düşürüyor" dedi Zscaler ThreatLabz bu ayın başında yayımlanan raporunda. ## Panda tehdit kümelerinden biri Açıklama, Hollow Panda, Overcast Panda, Titan Panda ve Veiled Panda olarak bilinen ve istihbarat toplama ve fikri mülkiyet hırsızlığı için dünya genelinde geniş bir sektör yelpazesini hedefleyen dört daha önce belgelenmemiş Çin bağlantılı devlet destekli tehdit grubunun ortaya çıkmasıyla aynı zamana denk geldi. "Çin'e seyahat eden personeli olan kuruluşlar için karşılaştığı en operasyonel olarak sofistike ve kalıcı tehditlerden biri" olarak tanımlanan Overcast Panda, hedefler Çin'deyken doğrudan fiziksel erişim yoluyla kurbanların cihazlarına özel FlowCloud arka kapısını konuşlandırdığı yakın erişim sızmalarıyla ilişkilendirildi. FlowCloud, DLL sideloading yoluyla başlatılıyor; bileşenleri radar altında kalacak ve adli analize direnecek şekilde tasarlandı. Komuta ve kontrol, varlıklarını daha da gizlemek amacıyla meşru bulut altyapısı üzerinden gerçekleştiriliyor. "FlowCloud'un kendisi Overcast Panda ile eşsiz şekilde ilişkilendirilen sofistike, özel olarak üretilmiş bir araç" dedi CrowdStrike. "Konuşlandırıldıktan sonra FlowCloud, saldırgana hedef cihaza kalıcı, gizli uzaktan erişim sağlıyor; bu da tuş kaydı, ekran yakalama, dosya toplama ve kimlik bilgisi toplama olanağı veriyor." Titan Panda ise hukuk firmalarında uzaktan kod yürütme sağlamak için Intapp Time Server'daki sabit kodlu Internet Information Services IIS makine anahtarı güvenlik açığını istismar ederek hukuk faturalama yazılımını hedef aldığı görüldü. Saldırılar Nisan 2026'da ilk kez tespit edildi ve keşif, kalıcılık, yatay hareket ve veri sızıntısı gerçekleştirmek için IceGiant adlı bellek içi bir çerçevenin konuşlandırılmasına yol açtı. Tehdit aktörünün en az 2021'den beri faal olduğu değerlendiriliyor ve Kuzey Amerika'da iki yıldan uzun süredir birkaç hukuk kuruluşunu tehlikeye attığı belirtiliyor. "Titan Panda'nın varsayılan makine anahtarlarını nasıl elde ettiği bilinmiyor; ancak Intapp Time Server'ı çalıştıran bir hukuk kuruluşunun IIS'sinin tehlikeye girmesi, uygulamanın yapılandırma dosyasında sabit kodlu anahtarların açığa çıkmasına ve varsayılan kurulumları çalıştıran herhangi bir kuruluşa karşı ViewState deserialization saldırılarını mümkün kılmasına neden olmuş olabilir" dedi CrowdStrike. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/cin-destekli-hackerlar-ai-destekli-artex-ile-200-den-fazla-kurulusu-hedef-aldi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.