Siber güvenlik araştırmacıları, devlet kurumları ve devletle bağlantılı altyapıyla ilişkili Linux sistemlerini hedef alan bir siber casusluk kampanyasının ayrıntılarını açıkladı.
Palo Alto Networks Unit 42 tarafından Ekim 2025 ile Nisan 2026 arasında gözlemlenen faaliyet, CL-UNK-1211 kod adıyla izlendi. Kodda "CL" küme anlamına geliyor, "UNK" ise bilinmeyen motivasyonu ifade ediyor.
Kampanyanın dikkat çeken yönlerinden biri, yüklerin üretilmesi ve kötü amaçlı kodun çalıştırılması için büyük dil modelleri ve/veya otomatik yapay zekâ ajanlarının kullanılması.
"Bu faaliyet kümesinin saldırganları, istihbarat toplama amacıyla geniş çaplı keşif yapmak ve kalıcı ağ erişimi sağlamak için Linux ortamlarına odaklandı" diyen araştırmacılar Roey Porat ve Tom Fakterman, "Saldırganlar hassas veritabanlarını boşaltmaya ve sosyal medya hesaplarına erişmek için hükûmet posta kutularını dışarı çıkarmaya çalıştı" ifadelerini kullandı.
Kampanya, erişimi sürdürmek için açık kaynak araçların, özel çapraz platform arka kapılarının ve web kabuklarının bir kombinasyonunu kullanan "çok yönlü operasyonel bir oyun kitabı" uyguluyor. Bir diğer belirgin özellik, faaliyeti meşru bir güvenlik değerlendirmesi gibi göstermek için uç nokta korumalarının devre dışı bırakılmaya çalışılması, sistem günlüklerinin silinmesi ve aldatıcı kırmızı ekip işaretlerinin yerleştirilmesi.
Tehdit aktörü, kalıcılığı sürdürmek, keşif yapmak ve veri sızdırmak için yapay zekâ ile üretilmiş olduğu değerlendirilen kötü amaçlı PHP ve kabuk komut dosyaları kullanırken de görüldü.
"Standart geliştirici dokümantasyonu yerine birden fazla komut dosyası, operatöre ilk talimatları veren kişiye kodun mantığını açıklayan sohbet tarzı, adım adım akıl yürütme notları içeriyordu" diyen siber güvenlik şirketi, "Bu notların varlığı, kodun doğrudan bir yapay zekâ istemi çıktısından kopyalandığını ya da otomatik bir yapay zekâ ajanı tarafından dağıtıldığını düşündürüyor" dedi.
Açık kaynaklı ve özel PHP web kabuklarının karışımı, ana bilgisayar ağlarına kalıcı bir arka kapı sağlamak için kullanılıyor. Erişim daha sonra hedef ortamdan kimlik bilgileri toplamak için üç farklı yöntemle kötüye kullanılıyor.
.bashrc dosyasının şifreleri çalmaya yönelik bir komut içeren kötü amaçlı bir sürümle değiştirilmesi.
Yönetici kimlik bilgilerini toplamak için PHP giriş sayfalarına kod enjekte edilmesi.
Yapılandırma dosyaları ve komut geçmişi dosyaları içinde düz metin e-posta, SMTP ve veritabanı parolalarının taranması.
Saldırılarda ayrıca Windows ve Linux sistemlerinde uzun süreli erişimi sürdürmek için çeşitli kalıcılık yöntemlerini destekleyen özel, çok platformlu bir uzaktan erişim truva atı da konuşlandırıldı. SysGoRAT adı verilen truva atı, sabit kodlu bir IP adresi "104.194.158[.]65:443" üzerinden WebSocket ile komuta-kontrol bağlantısı kuruyor ve yedi tür komut alıyor.
command, /bin/sh -c üzerinden Linux'ta veya cmd /C üzerinden Windows'ta keyfi komutları çalıştırmak için
control, alt komutlarla etkileşimli bir kabuk başlatmak (shell_start), ekran görüntüsü almak (screenshot), dosyaları C2 sunucusuna sızdırmak (download) ve kalıcılık kurmak (persist) için
list_dir, dizin içeriğini listelemek için
shell_input, etkileşimli bir kabuk oturumu oluşturmak için
proxy_connect, keyfi bir hedefe TCP bağlantısı kurmak için
proxy_data, kurulmuş bir proxy bağlantısına çift yönlü veri iletmek için
proxy_close, bir proxy oturumunu sonlandırmak ve kaldırmak için
Ayrıca saldırılar, diskte adli bulgu bırakmamak için bellekte çalışan ters kabukların kullanılmasını da içeriyor ve ayrıca " /var/qmail/mailnames/ " dizinlerini numaralandırarak belirli klasörlerde saklanan e-posta sayısını sayıyor.
"Daha sonra saldırganlar sosyal medya ile ilgili e-postaları aradı" diye açıkladı Unit 42. "E-posta başlıklarında belirli anahtar kelimeleri arayan ve sonuçları kullanıcı dostu bir biçimde gösteren search_social.php adlı bir PHP komut dosyası konuşlandırdılar."
"Komut dosyası daha sonra yanıtı ayrıştırdı ve tam dosya yolunu, sosyal medya hesabı e-posta gönderenini, alıcısını ve konusunu görüntüledi."
Saldırganların ayrıca ilgilenilen e-postaları ZIP arşivlerine sıkıştırıp bilgiyi dışarı çıkarmak amacıyla "zip_mails.sh" adında bir bash komut dosyası oluşturmaya çalıştıkları da tespit edildi. Ancak komut dosyasında bulunan sözdizimi hataları nedeniyle program çalıştırıldığında başarısız oldu.
"Bu kampanya, saldırganların geleneksel post-sömürü tekniklerini yapay zekâ hızlandırılmış iş akışlarıyla birleştirerek hükûmet Linux sunucu altyapısını hedeflediğini gösteriyor" diyen Unit 42, "CL-UNK-1211'in arkasındaki saldırganlar, operasyon hızını korurken manuel geliştirici yükünü en aza indirmek için komut dosyalarını hızla üretmek, uyarlamak ve dağıtmak için yapay zekâyı kullandı" dedi.
Gelişme, Google Threat Intelligence Group (GTIG) ve Mandiant'ın Microsoft ile birlikte, ARTEX, PentAGI, Hexstrike ve CAIRN gibi açık kaynaklı ajan tabanlı penetrasyon test çerçevelerinin tehdit aktörleri tarafından saldırı yaşam döngüsünün çeşitli aşamalarında benzeri görülmemiş bir hız ve ölçekte geniş bir eylem yelpazesi gerçekleştirmek için kötüye kullanıldığını belgelemesiyle geldi.
Yaygın kötüye kullanım raporlarının ardından yazarı tarafından kapatılan ARTEX, ARTEX PRO adında ticari bir teklif ve ScopeWeaver adında yerelleştirilmiş bir varyasyon da dahil olmak üzere birden fazla sürüm doğurdu.
Bazı vakalar aşağıda listeleniyor.
Storm-0940 (aka UNC7228) tarafından ABD ve Avrupa'daki kuruluşları hedef alan veri hırsızlığı kampanyalarını koordine etmek için ARTEX kullanımı; kurumsal yazılım, endüstriyel otomasyon, yarı iletken üretim ve tasarım ile telekomünikasyon sektörleri.
Finansal olarak motive olmuş tehdit aktörleri tarafından Asya'daki finans sektörünü hedef alan veri hırsızlığı şantajını kolaylaştırmak için ARTEX kullanımı.
Onyx Sleet (aka Andariel) ve Pearl Sleet (aka Lawrencium) gibi Kuzey Kore'ye bağlı siber saldırı grupları tarafından operasyonlarda ARTEX kullanımı.
Asya'daki kuruluşlara karşı WHOIS varlık haritalaması ve sistematik keşif ve güvenlik açığı taraması için PentAGI kullanımı.
"ARTEX ve benzeri ajan tabanlı saldırgan sızma çerçevelerinin ortaya çıkışı, tehdit aktörlerinin açık kaynaklı çok ajanlı saldırgan çerçeveleri benimsemeye yönelik daha geniş bir değişimi ve potansiyel olarak özel ajan harnesi'ni vurguluyor" dedi GTIG ve Mandiant.
"ARTEX gibi çerçeveler saldırı zaman çizelgelerini makine hızına sıkıştırır; ancak şu anda gizliliği hız uğruna feda ediyorlar. Sınırsız otonom yürütme adli trafik üretir, tanınabilir tanımlayıcılara güvenir ve tespit ve hafifletme olasılığını artıran belirgin kod düzeyinde izler bırakır."
Güncelleme
Palo Alto Networks Unit 42, 24 Eylül ile 27 Ekim 2026 tarihleri arasında birden fazla hedefe yönelik sızma girişimleri gözlemlediğini ve bunların muhtemelen ARTEX veya ARTEX türevi bir çerçeve kullandığını açıkladı. Her saldırı aynı oyun kitabını izleyerek geniş çaplı keşifle başladı.
Hedef uygulama, JavaScript kaynak haritalarını, paketleri, çalışma zamanı yapılandırmasını ve OpenAPI özelliklerini toplayarak haritalandı.
Kimlik sağlayıcıları ve OAuth akışları test edildi.
Kimlik saldırıları başarısız olduğunda açık API yüzeyine geri dönüldü.
Sızmalar, üretim web uygulamasında hesapların kendi kendine kaydolmasına, bu kendi kendine kayıtlı hesaplardan gelen toplu onay ve kullanıcı kaydı değişikliklerinin kabul edilmesine ve birkaç doğrulanmamış yazma işlemine yol açtı.
30 Ekim 2026'da paylaşılan bir güncellemeye göre ARTEX, açık kaynaklı Zammad biletleme sistemindeki iki sıfırıncı gün açığını (CVE-2026-102489 ve CVE-2026-102490) sömüren Hollanda Kırılganlık Açıklama Enstitüsü (DIVD) hedefli saldırıda da kullanıldı. ARTEX'in saldırı sırasında açıkları kendi başına bulup bulmadığı konusunda netlik yok.
"Tüm bunlar, Zammad'daki bir sıfırıncı gün açığını yerel ayrıcalık yükseltmesi için ikinci bir sıfırıncı günle zincirleyerek ilk erişimden köke on iki dakikada ulaşılmasına yol açtı" dedi DIVD. "Ayrıcalık yükseltmesinin kendisi yaklaşık bir dakika sürdü."
Yapay zekâ destekli siber saldırılar, Kaspersky'nin bildirdiğine göre Afrika ve Latin Amerika'daki çeşitli ülkelerdeki eğitim sektöründeki kuruluşları hedef alan bir kampanyanın parçası olarak post-sömürü aracı olarak CyberStrikeAI'ye de güveniyor. Kampanya bilinen bir gruba bağlandı, ancak kaynak kod yorumları Çin'de konuşan bir operatöre işaret ediyor.
Faaliyet, ilk yerel keşif ve ağ keşfi yapmak, Windows ayrıcalık yükseltmesi için GodPotato gibi araçları bırakmak ve nihayetinde alan keşfi, veri sızdırma, planlanmış görevler aracılığıyla kalıcılık, yanal hareket ve toplu kimlik bilgisi dökümü işlemlerini yönetmek için CyberStrikeAI'yi teslim etmek amacıyla ele geçirilmiş SQL sunucularını giriş noktası olarak kullanıyor.
"Yakın zamana kadar dil modelleri öncelikle hazırlık aşamalarında kullanılıyordu - kimlik avı e-postaları yazmak, kodu hata ayıklamak veya güvenlik açıkları aramak için" diyen Rus siber güvenlik şirketi, "Şimdi ise saldırıların özüne gömülüyorlar ve her aşamada eylemleri otomatikleştiriyorlar: yük yürütme, ana bilgisayarda kalıcılık, keşif, yanal hareket ve son olarak veri toplama ve sızdırma."
"HexStrike AI ve benzeri araçlar 'bul ve kır' aşamasını kapsıyorsa ve Sliver/Mythic/Havoc 'ayak bastırma ve kontrol' aşamasını kapsıyorsa, CyberStrikeAI öldürme zincirini tamamlıyor: Go ile yazılmış tek bir sunucu tarafı işlem, MCP üzerinden yardımcı programları çalıştırıyor, web kabuğu bağlantılarını yönetiyor ve implanta görevler atıyor, model ise sonuçları analiz edip ne yapılacağına karar veriyor."
(Hikâye, Kaspersky ve Palo Alto Networks Unit 42'den gelen ek bilgilerle yayınlandıktan sonra güncellendi.)
