Silent Lynx, Orta Asya hükümetlerine yönelik casuslukta yapay zekâ ajanı kullandı

Singapurlu siber güvenlik şirketi CloudSEK, 11 Kasım’da yayımladığı raporda Silent Lynx adlı grubun internete açık kalmış bir sunucusunu incelediğini açıkladı. The Record’un rapora dayanarak aktardığına göre sunucuda çalınmış kamu belgeleri, saldırı araçları ve bir saldırganın operasyonun bazı bölümlerini otomatikleştirmek için bir yapay zekâ ajanını nasıl kullandığını gösteren kayıtlar dahil 12 gigabayttan fazla veri vardı.

Silent Lynx daha önce Kırgızistan, Türkmenistan, Tacikistan, Ermenistan, Belarus ve Rusya’yı hedef alan casusluk kampanyalarıyla ilişkilendirilmişti. Grup Cavalry Werewolf ve YoroTrooper adlarıyla da izleniyor ve en az 2022’den beri faaliyette.

Yapay zekâ ajanı

The Record’a göre operatör, saldırgan bir siber güvenlik uzmanı gibi davranacak şekilde yapılandırılmış açık kaynaklı Hermes ajanını kullandı. Sistem çoğunlukla Çinli DeepSeek şirketinin geliştirdiği modellerle çalıştı. Sohbet botlarından farklı olarak yapay zekâ ajanları komut çalıştırabiliyor, yazılım kullanabiliyor ve kullanıcıları adına işler yürütebiliyor.

Araştırmacılara göre ajan keşif, veri toplama ve ele geçirilen sistemlerdeki izlerin silinmesine yardım etti ve yıkıcı olabilecek bazı komutları ek onay istemeden çalıştıracak şekilde ayarlanmıştı. Operatör ajanla Rusça yazıştı ve onu bir Telegram botuna bağlayarak telefondan uzaktan talimat verdi.

Tacikistan ve Özbekistan

The Record’un aktardığına göre grubun en önemli saldırılarından biri Tacikistan’ı hedef aldı. Grup en az Ağustos ortasından Ekim başına kadar ülkenin ulusal demiryolu ağında geniş bir erişim sürdürdü, birkaç sunucuya ulaştı, kimlik bilgileri içeren veritabanlarını, iç belgeleri ve faaliyet raporlarını çaldı.

Grup tek bir demiryolu çalışanının kimlik bilgileriyle, bakanlıkların ve kurumların resmî yazışmalarında kullandığı ulusal elektronik belge yönetim platformuna da girdi. Büyük miktarda dosya indirmek için otomatik araçlar geliştiren grubun aldığı belgeler arasında 2026’da Savunma Bakanlığı’na gönderilen ya da orada işlenen binlerce belge, Ulusal Muhafız, Devlet Ulusal Güvenlik Komitesi ve Devlet Yatırım Komitesi ile ilgili yazışmalar ve 100’den fazla kamu kurumu ile çalışanlarına ilişkin bilgiler var.

CloudSEK, grubun Özbekistan’ın orman kaynaklarını izleyip yönetmek için kullandığı Smart Forestry adlı kamu platformunu destekleyen bir sunucuyu ele geçirdiğine dair kanıt da buldu. Sunucuda ayrıca Türkmenistan’a ait resmî belge gibi gösterilmiş, aralarında bir tren bileti ve bir bölgesel yönetim raporunun bulunduğu zararlı dosyalar vardı. Ekim’de oluşturulup test edilen dosyalar, grubun yeni bir oltalama kampanyası hazırladığını düşündürüyor. Araştırmacılar Türkmenistan’a yönelik saldırıların başarılı olup olmadığını belirleyemedi.

Kazakistan bağlantısı

CloudSEK, Rusça yazışmalara ve Kazakistan’daki bir ev internet sağlayıcısından yapılan test bağlantılarına dayanarak Silent Lynx’in Kazakistan’la bağlantılı olduğunu orta güvenle değerlendiriyor. The Record’a göre bu bulgular, grubun büyük olasılıkla Kazakistan’da bulunduğu yönündeki önceki değerlendirmeleri destekliyor, ancak Kazakistan hükümetiyle herhangi bir bağlantı kurmuyor.

Grup Ekim 2025’te de Kırgız hükümeti yazışması gibi görünen oltalama e-postalarıyla Rus kamu kurumlarına ve sanayi şirketlerine yönelik aylarca süren bir casusluk kampanyası başlatmıştı.