GhostAction Saldırısı Evrildi: Sahte Fontla GitHub Kimlik Hırsızlığı

Tedarik zinciri saldırılarının tehlikeli aktörü GhostAction, taktiklerini GitHub Actions iş akışlarına kötü niyetli kod enjekte etmekten çok daha öteye taşıdı. Son gelişmeler, saldırganların açık kaynak geliştiricilerini kimlik avı yöntemleriyle hedef aldığını ve sahte bir yazı tipi dosyası içine gizlenmiş bir kimlik bilgisi hırsızı yaydığını gösteriyor. Bu evrim, siber tehdit aktörlerinin savunma mekanizmalarına karşı sürekli adapte olduğunu ve yöntemlerini daha da sofistike hale getirdiğini kanıtlıyor.

GhostAction’ın Evrilen Yüzü: İlk Saldırılardan Bugüne

GhostAction tehdit aktörü, başlangıçta ele geçirilmiş projelere kötü amaçlı GitHub Actions iş akışları enjekte ederek dikkatleri üzerine çekmişti. Bu yöntem, yazılım tedarik zincirinin kritik bir noktasını hedef alarak geliştiriciler arasında önemli bir endişe kaynağı olmuştu. Ancak son analizler, saldırganların GitHub’ın bu tür iş akışlarının çalışmasını engellemek için attığı adımlara yanıt olarak operasyonel yaklaşımlarını aktif bir şekilde geliştirdiğini ortaya koyuyor. Artık sadece kod enjeksiyonuyla sınırlı kalmayan GhostAction, hedeflerine ulaşmak için çok katmanlı ve daha aldatıcı yöntemlere başvuruyor.

Bu yeni aşamada, saldırganlar, sahte bir web sitesi üzerinden geliştiricilerin kimlik bilgilerini çalmaya odaklanıyor. Geçmişteki doğrudan tedarik zinciri manipülasyonlarına kıyasla, bu yaklaşım, bireysel geliştiricileri doğrudan hedef alarak hassas erişim yetkilerini ele geçirmeye çalışıyor. Bu durum, siber güvenlik dünyasında tehdit aktörlerinin statik hedefler yerine dinamik ve adapte olabilen stratejiler geliştirmesinin bir örneğini teşkil ediyor. GitHub ekosistemindeki zayıflıkları sömürmeye devam eden GhostAction, sürekli değişen bir tehdit ortamının somut bir göstergesi.

Sahte GitHub Alan Adları ve Gelişmiş Kimlik Avı Yöntemleri

GhostAction aktörü, yeni saldırılarında “my-github[.]com” alan adını kaydettirerek bu alan adını, kötü amaçlı iş akışlarından toplanan verilerin dışarı sızdırılması için kullanılan IP adresi olan 193.32.204[.]199’a yönlendirdi. Bu alan adı, 9 Ekim 2026 tarihinde tescil edildi. Benzer bir şekilde, 17 gün öncesinde “my-gitlab[.]com” alan adının da tescil edildiği, ancak bu ikinci alan adının GhostAction altyapısıyla doğrudan bir bağlantısının henüz bulunmadığı belirtiliyor. Güvenlik araştırmacıları, her ne kadar “my-<kod-barındırıcı>.com” adlandırma kalıbını takip etse de, farklı kayıt şirketleri, tescil kayıtları, Cloudflare ad sunucusu çiftleri, IP adresleri ve DNS tasarımları nedeniyle doğrudan bir ilişki kurulamadığını ifade ediyor.

“my-github[.]com” alan adı, tescil edildiği gün açık kaynaklı bir proje yöneticisini hedef alan kimlik avı e-postasında kullanıldı. “noreply@my-github[.]com” adresinden gönderilen bu yanıltıcı mesaj, geliştiricinin GitHub hesabına Moskova, Rusya’dan yeni bir giriş yapıldığına dair bir güvenlik uyarısı içeriyordu ve hesaplarını güvence altına almaları için bir bağlantıya tıklamalarını istiyordu. Bu yöntem, kullanıcıları sahte bir güvenlik endişesiyle tuzağa düşürerek hassas bilgilerini ele geçirmeyi amaçlıyor. Saldırganlar, kullanıcıların dikkatini dağıtarak ve aciliyet hissi yaratarak, normalde şüphe duyulacak bir bağlantıya tıklamalarını sağlamaya çalışıyor.

Sessiz OAuth Yetkilendirmesiyle Geniş Kapsamlı Erişim Elde Etme

Kimlik avı sayfasının teknik detayları, saldırının ne kadar sofistike olduğunu gözler önüne seriyor. Saldırganlar tarafından oluşturulan aldatıcı sayfanın, bir tür ters proxy gibi çalıştığı iddia ediliyor. Bu sayede kurbanın şifresi ve iki faktörlü kimlik doğrulama (2FA) kodu toplanabiliyor. Ancak saldırı bununla da sınırlı kalmıyor. Sayfa aynı zamanda, iş akışlarını değiştirme iznine sahip bir OAuth uygulamasını yetkilendirmek için JavaScript kodu enjekte ediyor. Bu, GhostAction tarzı saldırıların önünü açan kritik bir adım.

Sahte oturum açma sayfası, repo, workflow ve read:org kapsamlarına sahip bir GitHub OAuth cihaz akışını sessizce yetkilendirmek için JavaScript kullanıyor. Bu geniş izinler, saldırganlara depoları okuma/yazma, Actions iş akışı dosyalarını değiştirme ve kuruluş üyeliği ile ilgili organizasyonel verilere erişim yetkisi veriyor. Cihaz kodu kimlik avı olarak bilinen bu teknikle amaç, GitHub’dan bir erişim belirteci almak ve bunu TCP/8443 portu üzerinden “my-github[.]com” adresine sızdırmak. Geliştirilen komut dosyası, bir cihaz kodu ve kullanıcı kodu alıyor, ardından GitHub’ın formlarını döndürülen HTML’den çıkararak otomatik olarak gönderiyor. Kullanıcı kodu ekleniyor, yetkilendirme formu bulunuyor ve authorize=1 eklenerek onay, kurbanın kimliği doğrulanmış proxy oturumu üzerinden gönderiliyor. Bu süreçte, kurbanın cihaz kodunu yazmasına veya OAuth uygulamasını bilinçli olarak onaylamasına gerek kalmıyor. Kit, kullanıcı kodu ve yetkilendirme adımlarını ters proxy oturumu aracılığıyla otomatikleştirerek süreci tamamen gizli hale getiriyor. Ele geçirilen depoya özgü bir OAuth belirteci, saldırganlara yeniden kullanılabilir bir API kimlik bilgisi sağlıyor ve uzun süreli erişim imkanı sunuyor.

Açık Kaynak Geliştiricileri Hedefte: Tedarik Zinciri Riskleri

Bu GhostAction saldırısı, özellikle açık kaynak geliştiricileri ve bakımcıları için ciddi bir tehdit oluşturuyor. Saldırı, GitHub gibi merkezi platformlara olan güveni sarsmakla kalmıyor, aynı zamanda açık kaynak ekosisteminin temelini oluşturan gönüllü çalışmalara da gölge düşürüyor. Saldırganların elde ettiği geniş kapsamlı izinler, bir projenin tüm kod tabanını tehlikeye atma, kötü amaçlı kodları enjekte etme veya mevcut kodları değiştirme potansiyeline sahip. Bu durum, nihai olarak, bu açık kaynak bileşenlerini kullanan tüm uygulamalar ve sistemler için bir tedarik zinciri riski yaratıyor.

Bir geliştiricinin hesabının ele geçirilmesi, o geliştiricinin katkıda bulunduğu tüm projelere domino etkisiyle yayılabilecek kritik güvenlik açıkları anlamına geliyor. GitHub Actions iş akışlarını değiştirme yeteneği, saldırganlara otomatikleştirilmiş dağıtım süreçlerine sızma ve kötü amaçlı yazılımları doğrudan üretim ortamlarına taşıma imkanı sunuyor. Ayrıca, kuruluş üyeliği ve ilgili organizasyonel verilere erişim, daha büyük ölçekli kurumsal saldırılar için zemin hazırlayabilir. Bu durum, bireysel geliştiricilerin güvenlik pratiklerinin, tüm bir ekosistemin güvenliği için ne kadar kritik olduğunu bir kez daha gösteriyor.

GhostAction Tehdidine Karşı Alınacak Önlemler

Geliştiricilerin bu tür gelişmiş tehditlere karşı uyanık olması gerekiyor. Her şeyden önce, e-posta yoluyla gelen güvenlik uyarılarına karşı aşırı dikkatli olunmalıdır. GitHub gibi hizmetlerden geldiği iddia edilen e-postaların gönderen adresleri ve içerdiği bağlantılar dikkatle incelenmelidir. Özellikle, şüpheli görünen alan adlarına (örneğin “my-github[.]com”) tıklamaktan kaçınılmalı, doğrudan resmi GitHub web sitesine gidilerek oturum açılmalı ve potansiyel güvenlik uyarıları kontrol edilmelidir.

İki faktörlü kimlik doğrulama (2FA) kullanımının yaygınlaştırılması ve mümkünse donanım tabanlı anahtarlar gibi daha güvenli yöntemlerin tercih edilmesi, hesap güvenliğini önemli ölçüde artırır. Ayrıca, GitHub hesabınıza bağlı OAuth uygulamalarının izinleri düzenli olarak gözden geçirilmeli ve tanınmayan veya gereksiz izinlere sahip uygulamalar derhal iptal edilmelidir. Yazı tipi dosyaları veya diğer harici kaynaklar indirilirken dikkatli olunmalı, bilinmeyen kaynaklardan gelen veya şüpheli görünen dosyalara karşı virüs taraması yapılmalıdır. Bu önlemler, geliştiricilerin kendilerini ve projelerini GhostAction gibi evrilen tehditlere karşı korumalarına yardımcı olacaktır.

Siber Güvenlikte Yeni Bir Tedarik Zinciri Paradigması

GhostAction saldırısının evrimi, siber güvenlikte tedarik zinciri saldırılarının sadece teknik zafiyetleri değil, aynı zamanda insan faktörünü ve sosyal mühendislik tekniklerini de ne kadar ustaca kullandığını gösteriyor. Başlangıçta otomasyon ve kod manipülasyonuna odaklanan saldırganların, şimdi doğrudan geliştiricilerin kimlik bilgilerini hedef alması, savunma stratejilerinin çok yönlü olması gerektiğini bir kez daha vurguluyor. Güvenlik yazılımları ve platform önlemleri ne kadar gelişirse gelişsin, saldırganlar her zaman yeni yollar bularak hedeflerine ulaşmaya çalışıyor.

Bu durum, açık kaynak topluluğunun ve genel olarak yazılım geliştirme ekosisteminin, yalnızca kod tabanı güvenliğine değil, aynı zamanda geliştirici hesaplarının ve kimlik doğrulama mekanizmalarının güvenliğine de yatırım yapmasının kritik önemini ortaya koyuyor. Artık sadece yazılımdaki güvenlik açıklarını kapatmak yetmiyor; yazılımı geliştiren, dağıtan ve yöneten kişilerin ve süreçlerin bütünsel olarak korunması gerekiyor. GhostAction, tedarik zinciri güvenliğinin sadece bir teknik mesele olmaktan çıkıp, kapsamlı bir insan, süreç ve teknoloji entegrasyonu gerektiren stratejik bir zorunluluk haline geldiğinin altını çiziyor.