Cisco Talos, OpenAI API'sini kurbanın bilgisayarından çağıran NIK C2 çerçevesini ortaya çıkardı

Cisco Talos, 29 Ekim 2026'da yapay zekâ entegrasyonuna sahip yeni bir komuta-kontrol (C2) çerçevesini kamuoyuyla paylaştı. NIK C2 adı verilen yapı, 64 bit Windows sistemlere yönelik Go tabanlı bir implant ile 52'den fazla komutu destekleyen bir operatör paneli içeriyor. SecurityOnline'a göre Broadcom Carbon Black da çerçevenin sahada aktif olarak kullanıldığını doğruladı.

Yapay zekâ kurbanın hesabından

Çerçeveyi diğerlerinden ayıran özellik, gömülü bir OpenAI istemcisi barındırması. Operatörler, kurbanın bilgisayarından doğrudan OpenAI Chat Completions API'sine istem gönderebiliyor. Model belirtilmezse varsayılan olarak gpt-4 kullanılıyor; ancak operatör geçerli herhangi bir model adını seçebildiği için yeni modellere geçiş ikili dosyayı güncellemeyi gerektirmiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Habere göre bir API anahtarı verilmezse implant, kurbanın ortam değişkenlerinde bulunan anahtarı kullanıyor; yani çıkarım maliyetini kurban ödüyor. Talos, bu yaklaşımın veri toplama ile istismar aşamalarını tek bir kesintisiz oturumda birleştirdiğini ve geçmişte savunuculara tespit fırsatı tanıyan çevrim dışı analiz gecikmesini ortadan kaldırdığını değerlendiriyor.

Diğer yetenekler

Bildirilen başlıca özellikler şöyle:

• Exodus, Electrum, MetaMask ve Phantom gibi kripto cüzdanlarını, tarayıcı oturum bilgilerini, Discord token'larını ve OpenAI API anahtarlarını çalma
• Canlı tuş kaydı akışı
• Bitcoin ve USDT adresleri gösteren, mshta.exe ile başlatılan bir ekran kilitleme fidye modülü
• AMSI yaması, UAC atlatma ve süreç sonlandırıldığında mavi ekrana yol açan kritik süreç bayrağı gibi kaçınma teknikleri

Haberde, çerçevenin Ağustos 2026'da kısa sürede üç sürüm geçirdiği ve OpenAI entegrasyonunun üçüncü sürümle eklendiği aktarılıyor. Talos, aktörün teknik açıdan yetkin olduğunu ve NIK C2'yi tam hizmet veren bir saldırı çerçevesine dönüştürmeye çalıştığını orta güvenle değerlendiriyor. Çerçeve henüz belirli bir ülke veya bilinen bir gruba atfedilmiş değil.

Ne yapılmalı?

• Çalışan bilgisayarlarından OpenAI API'sine giden olağandışı trafiği izleyin.
• API anahtarlarını işletim sistemi ortam değişkenleri yerine sır yönetim araçlarında saklayın.
• Sistem dışı ikili dosyalarda kritik süreç bayrağı ayarlanmasını ve mshta.exe başlatan otomatik başlatma kayıtlarını alarm kuralına bağlayın.
• 443 portu üzerinden sınıflandırılmamış IP adreslerine kurulan sertifika sabitlemeli WebSocket bağlantılarını inceleyin.