Sahte ChatGPT ve Claude Uygulamaları Bilgisayarları Ele Geçiriyor

Zehirlenen arama sonuçları sahte yapay zekayı nasıl dağıtıyor?

Saldırganlar, Google sıralama algoritmalarını manipüle ederek sahte GitHub proje sayfalarını resmi kaynakların önüne geçirmeyi başardı.

Yeni nesil yapay zeka modellerine yönelik merak, siber dolandırıcılar için kazançlı bir silaha dönüştü. Check Point Research tarafından yayımlanan telemetri raporu, son iki aydır doğrudan bağımsız masaüstü yazılımı arayan kullanıcıları hedef alan organize bir kampanyayı ortaya koydu.

Saldırganlar güvenilir görünmek için sahte yıldızlarla donatılmış GitHub sayfaları kurmak yerine doğrudan arama motoru optimizasyonu (SEO) zehirlemesine başvurdu. Düşük kaliteli yüzlerce blog gönderisi ve yapay bağlantı ağı sayesinde Google botları bu zararlı depoları yetkili kaynak gibi algıladı. Claude Opus ya da tamamen uydurma olan "GPT-5.6 Sol" ve "GPT-6 Astra" aramaları yapan kullanıcıların karşısına ilk sırada zararlı GitHub bağlantıları çıktı.

Dolandırıcılık, basit bir alışkanlığı sömürüyor: Pek çok kişi yapay zekayı tarayıcı sekmelerinde çalıştırmak yerine bağımsız bir masaüstü penceresi olarak kullanmak istiyor. İndirilen kurulum dosyası açıldığında ise ortada herhangi bir dil modeli görünmüyor; sistemin derinliklerine Yoba adı verilen bir yükleyici yerleşiyor.

Yoba yükleyicisinin sinsi mekanizması ve XMRig sızıntısı

Yoba, Windows cihazlarında tespit edilmeden kalabilmek adına kapsamlı taktikler uyguluyor. Bilgisayar her yeniden başladığında otomatik çalışacak şekilde başlangıç süreçlerine entegre oluyor ve kendini standart sistem işlemleri ardına gizliyor.

Otomatik güvenlik taramalarını ve sanal kum havuzlarını (sandbox) atlatmak için zararlı yazılım ilk aşamada tam 14 gün boyunca tamamen hareketsiz bekleyebiliyor. Bunun yanı sıra işletim sisteminin klavye dilini kontrol ediyor; Rusya, Belarus, Kazakistan veya Özbekistan'a ait klavye düzenleri tespit edilirse program hiçbir işlem yapmadan kendini kapatıyor. Bu yöntem, Doğu Avrupa kökenli siber suç gruplarının yerel kolluk kuvvetlerinin radarından kaçmak için başvurduğu bilinen bir taktik.

Söz konusu güvenlik kontrollerinden başarıyla geçen sistemlerde Yoba, asıl yükünü devreye sokuyor: XMRig kripto madencisi. Cihazı kilitleyen fidye yazılımlarının aksine XMRig arka planda çalışıyor ve işlemci çekirdeklerini gizliliğe odaklanan Monero ağında kazım yaparak sömürüyor. Mağdurlar çoğu zaman fırlayan fan gürültüsü, düşen sistem performansı ve kabaran elektrik faturası dışında hiçbir anormallik fark etmiyor.

Yapay zeka heyecanını suistimal eden tehditler büyüyor

Kripto para hırsızlığı fidye saldırılarına kıyasla masum gibi görünebilir; ancak Yoba benzeri yükleyiciler bilgisayarda açık bir kapı bıraktığı için risk son derece yüksek. Saldırganlar komuta kontrol sunucuları üzerinden bu madenciyi istedikleri an parola çalan bir casus yazılıma veya kurumsal ağları felç eden bir fidye aracına çevirebilir.

Sektör uzmanları, otomasyon araçlarına yönelik kontrolsüz talebin güvenlik açıklarına zemin hazırladığı konusunda sık sık uyarılarda bulunuyor. Benzer risk modelleri, Anthropic sistemlerine sızan otonom yapay zeka ajanı örneğinde ve bankacılık devlerinin şifrelerin yapay zekaya verilmemesi yönündeki çağrılarında da görülmüştü. Bir teknoloji popülerleştiğinde, kötü niyetli grupların sahte kurulum paketleriyle ortalığı kaplaması şaşırtıcı değil.

Türkiye'deki kullanıcılar ne yapmalı?

Türkiye'de özellikle yazılım, tasarım ve içerik üretimiyle uğraşan profesyoneller iş akışlarını hızlandırmak için masaüstü yapay zeka araçlarını yoğun şekilde tercih ediyor. Ancak OpenAI ve Anthropic gibi şirketlerin resmi masaüstü uygulamaları yalnızca kendi resmi web siteleri ile Microsoft Store veya macOS App Store gibi onaylı platform mağazalarında yer alıyor.

Henüz duyurulmamış model isimleriyle üçüncü taraf platformlarda veya GitHub depolarında sunulan bağımsız programlara şüpheyle yaklaşmak gerekiyor. Bilgisayarınız boştayken bile fanların yüksek hızda dönmesi veya işlemci kullanımının sebepsiz yere tırmanması gizli bir madenciye işaret edebilir; böyle bir durumda Görev Yöneticisi üzerindeki yabancı işlemleri kontrol etmek ve güncel bir güvenlik taraması yapmak şart.

Büyük yapay zeka laboratuvarları yeni sürümlerini duyurdukça siber saldırganlar arama motorları üzerinden kullanıcıları kandırmaya devam edecek. Doğrulanmamış masaüstü paketlerinden uzak durmak, bilgisayarınızın korsanların madencilik cihazına dönüşmesini engellemenin en pratik yoludur.