Siber suçlular, yapay zeka (AI) çalışma kılavuzları ve geliştirici araçları gibi görünen dosyaların arkasına gizlenmiş AsyncRAT trojanını yaymak için yeni bir kampanya başlattı. Fortinet’in FortiGuard Labs ekibi tarafından yapılan analizde, 'AI-Ready PostgreSQL 18' ve Claude Code ile ajan kodlama konulu sahte bir rehber gibi dosyaların kullanıldığı tespit edildi. Bu dosyalar, AI öğrenme materyali arayan profesyonelleri hedef alıyor.
Saldırı, herhangi bir kuruluştaki Windows kullanıcılarını etkiliyor ve tamamen güvenilir sistem araçları üzerinden çalışarak gizleniyor. İçerisinde bir kısayol (LNK) dosyası ve iki gizli belge bulunan arşiv, açıldığında bir dizi betiği tetikliyor. Her betik, bir sonraki aşamayı PDF adlı bir veri dosyasındaki gizli ofsetlerden çekip şifresini çözerek çalıştırıyor. Ayrıca, Realtek ses hizmetleri gibi görünen zamanlanmış görevler oluşturuyor ve kurbanın zararsız bir dosya görmesi için temiz bir yem belgesi açıyor.
İki dosya, gerçekte AutoHotkey isimli meşru bir otomasyon aracının kopyaları olarak çalışıyor. Bu araç, yürütme motoru olarak kullanılıyor ve kötü amaçlı mantık, derlenmiş ikili dosyalara kıyasla daha zor tespit edilen betiklerde saklanıyor. Bir dal, sahte bir manifestodaki sayılardan gizli bir program yeniden oluşturuyor ve onu gerçek bir .NET işleminin içine yerleştirmek için process hollowing kullanıyor. Manifesto, iki .NET yükü ortaya çıkarıyor: Fortinet tarafından clay_Client olarak takip edilen modüler bir uzaktan erişim trojanı (RAT) ve kendi komuta kontrol (C2) sunucusuna bağlanan AsyncRAT.
Sistem Güvenliği
Uzmanlar, bu saldırıyı engellemek için katmanlı savunma öneriyor: AutoHotkey gibi izinsiz betik motorlarını engellemek veya izole etmek, uç nokta araçlarını sadece diskteki dosyaları değil belleği de tarayacak şekilde ayarlamak, zamanlanmış görevleri denetlemek ve olağandışı PowerShell ile giden trafiği izlemek. Ayrıca, geliştiricilere yönelik sahte AI araçları kullanarak phishing eğitimi verilmesi ve çalışanlara güvenilir bir dahili AI kaynak kütüphanesi sağlanması öneriliyor.
