Yapay Zeka Ajanı Odaklı Saldırı Operasyonu: İfşa Olan Rakip Açık Dizini, Kitlesel Cüzdan ve Kimlik Bilgisi Sızıntısına Yol Açan Otonom Kripto Hırsızlığı Kampanyasını Ortaya Çıkarıyor

Yönetici Özeti

CloudSEK'in Küresel Tehdit İstihbaratı ekibi, ticari ve açık kaynaklı yapay zeka kodlama ajanlarından oluşan bir filoyu otonom bir bilgisayar korsanı ekibi olarak çalıştırarak sızma faaliyetlerini endüstriyelleştiren, finansal motivasyonlu, Çince konuşan bir saldırgan operatöre ait açık bir dizin tespit etti. Dizin, operatörün tam çalışma ana klasörünü halka açık internete sunarak iki paralel kampanyanın arkasındaki araçları, metodolojiyi, kimlik bilgilerini ve çalınan verileri ifşa etti: internet çapında fırsatçı istismar ve kripto ile DeFi kuruluşlarına yönelik hedefli hırsızlık.

• Otonom yapay zeka saldırı filosu: Operatör, her türlü güvenlik onayı devre dışı bırakılmış tam otomatik modda birden fazla yapay zeka kodlama ajanını (Claude Code, Codex ve açık kaynaklı Hermes ve pi ajanları) yönlendiriyor, onları tamamen Telegram üzerinden görevlendiriyor ve izliyor. Ajanların kendi oturum transkriptlerinden elde edilen insan tarafından yazılmış komutlar, hiçbir gerçek yetki içermeyen, tamamen bir jailbreak sarmalayıcısı olarak kullanılan yeniden kullanılabilir bir Çince "yetkili sızma testi" şablonunu gösteriyor.
• Onaylanmış kitlesel güvenlik ihlali: Çalışma dosyaları, otomatik bir WordPress-webshell istismar hattı tarafından üretilen 12.000'den fazla gerçek WordPress arka kapı kaydı (her biri saldırgan tarafından oluşturulmuş benzersiz bir yönetici hesabı), 66 adet gerçekten ele geçirilmiş (arka kapı olmayan) veritabanı yöneticisi kimlik bilgisi seti ve 3,4 milyonluk bir ana bilgisayar keşif külliyatı içeriyor.
• Doğrudan cüzdan anahtarı ve tohum cümlesi bulundurma: Operatör, yüzlerce uç kullanıcı kripto para cüzdanı için özel anahtarlar, tohum cümleleri ve canlı bakiyeler bulunduruyor. Bu materyalin büyük bir kısmı, bir kimlik avı klon ağının yanlış yapılandırılmış bulut veritabanından sıfır kimlik doğrulama ile kazınmıştır (kullanıcılar bu kimlik avı operasyonunun kurbanlarıdır), daha küçük bir anahtar materyal seti ise doğrudan kendi hedeflerinden alınmıştır. Ayrıca kripto borsaları, DeFi protokolleri ve blok zinciri altyapı sağlayıcıları için çok sayıda doğrulanmış canlı API anahtarı ve yönetici belirteci bulundurmaktadır.
• Blok zinciri C2 ve cryptojacking: Operatör, komutları halka açık bir blok zincirinde gizleyen, kapatılmaya dirençli EtherHiding tarzı bir komuta ve kontrol sistemi geliştiriyordu ve devam eden yasa dışı gelir için ele geçirilen ana bilgisayarlara ayrı olarak gizlenmiş bir Monero madencisi yerleştiriyordu.