Indexed-btree npm Paketi Kötü Amaçlı Kodunu Gizledi: Yeni Taktik

Yazılım tedarik zinciri saldırıları, özellikle kötü amaçlı npm paketi tehditleriyle yeni bir boyuta ulaşıyor. Son dönemde ortaya çıkan “indexed-btree” adlı paket, kötü niyetli davranışlarını alışılagelmiş yaşam döngüsü betikleri yerine doğrudan uygulamanın çalışma zamanı koduna entegre ederek güvenlik önlemlerini aşmayı hedefledi. Bu durum, siber saldırganların mevcut savunma mekanizmalarına karşı hızla adapte olduğunu ve taktiklerini sürekli güncellediğini gösteriyor.

npm Ekosisteminde Değişen Tehdit Manzarası

Yazılım geliştirme dünyasının temel taşlarından biri olan npm ekosistemi, geliştiricilere milyonlarca açık kaynaklı paket sunarak projelerin hızla inşa edilmesini sağlıyor. Ancak bu kolaylık, kötü niyetli aktörler için de geniş bir saldırı yüzeyi oluşturuyor. Geleneksel olarak, zararlı npm paketleri genellikle preinstall veya postinstall gibi yaşam döngüsü betiklerini kullanarak yükleme sırasında kötü amaçlı kodları otomatik olarak çalıştırırdı. Bu yöntem, kullanıcı onayı olmadan sistemlere sızmanın en yaygın yollarından biriydi.

Ancak npm’in 12. sürümüyle birlikte getirilen önemli güvenlik iyileştirmeleri, bu tür betiklerin otomatik yürütülmesini engellemek üzere tasarlandı. Bu değişiklik, tedarik zinciri güvenliğinde önemli bir adımı temsil ederken, saldırganların da yeni stratejiler geliştirmesine yol açtı. Güvenlik firmalarının gözlemleri, kötü niyetli aktörlerin artık yükleme kancalarını (install hooks) bırakarak, zararlı kodları doğrudan kütüphane kodunun içine gömmeyi tercih ettiğini ortaya koyuyor. Bu adaptasyon, güvenlik ekipleri ile siber suçlular arasındaki sürekli yarışı gözler önüne seriyor.

Kötü Amaçlı Kodun Gizlenme Mekanizması

“Indexed-btree” vakası, saldırganların ne kadar sofistike yöntemlere başvurduğunu somut bir şekilde gözler önüne seriyor. Bu paket, meşru bir B-ağacı/indeksleme aracı olan sorted-btree paketini taklit etmek üzere tasarlanmıştı. Ancak ana fark, kötü amaçlı yükleyicinin çalışma zamanı kodunda gizlenmesiydi. Paketin tehlikeli işlevi, özellikle BTree.prototype.set() yöntemi içine gizlenmişti. Bu yöntem çağrıldığında, asıl zararlı işlevi tetikleyen sharedLoad.min.js adlı bir JavaScript yükünü devreye sokuyordu. Bu JavaScript kodu, kötü amaçlı yazılımın karmaşıklaştırılmış ilk aşamasını içeriyordu.

Saldırının sonraki aşamaları daha da karmaşıklaşıyordu. Kötü amaçlı yazılım, ilk olarak yüklendiği ana makinenin parmak izini çıkarıyor ve elde ettiği detayları önceden belirlenmiş bir Slack kanalına ve Telegram botuna iletiyordu. Ardından, Sepolia test ağında konuşlandırılmış bir akıllı sözleşmeden EtherHiding tekniğini kullanarak şifreli veri blokları çekiyordu. Bu bloklar birleştirilerek ikinci aşama yükü oluşturuluyordu. Son olarak, tüm kötü amaçlı eserler siliniyor ve paketten tetikleyici kaldırılıyordu; bu da saldırının izlerini kapatmak için kullanılan önemli bir adımdı.

Geniş Kapsamlı Yayılım ve Finansal Sonuçlar

“Indexed-btree” paketi, npm kayıt defterine 18 Haziran 2026 tarihinde “charlessadler25” adlı bir kullanıcı tarafından yüklendi ve kısa sürede milyonlarca indirmeye ulaştı. Bu hızlı yayılım, geliştiricilerin güvenlik kontrollerine rağmen hâlâ kötü amaçlı paketlere maruz kalabildiğini gösteriyor. Paketin npm’den ve ilişkili GitHub deposundan kaldırılmış olmasına rağmen, yol açtığı potansiyel zarar oldukça büyüktü. Saldırganların bu kampanya aracılığıyla yaklaşık 230.933,57 € (yani 109 ETH) değerinde kripto para birimi elde ettiği tahmin ediliyor.

Bu olay, sadece tek bir pakete özgü değildi. Güvenlik araştırmacıları, “indexed-btree” ile aynı operasyonla bağlantılı olduğu belirlenen birçok başka npm paketini de tespit etti. ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map, sliding-score-window ve mutex-forge gibi paketlerin tamamı da npm’den kaldırıldı. Bu durum, saldırganların geniş bir yelpazede taklit paketler oluşturma kapasitesine sahip olduğunu ortaya koyuyor.

Geliştiriciler İçin Yeni Savunma Stratejileri

Siber saldırganların taktiklerini adapte etmesi, geliştiricilerin savunma stratejilerini de yeniden gözden geçirmesini zorunlu kılıyor. Yalnızca yükleme zamanı taramaları ve yaşam döngüsü betiklerini engellemek artık tek başına yeterli değil. Ensar Şeker, SOCRadar CISO’su, bu tür kampanyaların saldırganların yazılım tedarik zinciri savunmalarına neredeyse anında uyum sağladığını gösterdiğini belirtiyor. Bu nedenle, proaktif ve çok katmanlı bir güvenlik yaklaşımı benimsemek önem taşıyor.

Geliştiricilere, paketlerin yalnızca yükleme aşamasında değil, aynı zamanda çalışma zamanı davranışlarını da analiz etmeleri öneriliyor. Bu, bir paketin yükledikten sonra ne tür eylemler gerçekleştirdiğini izleyerek, gizlenmiş kötü amaçlı faaliyetleri tespit etmeyi kolaylaştırabilir. Güvenlik araçlarının sadece statik kod analizine odaklanmaması, dinamik davranış analizi yeteneklerini de içermesi, bu yeni nesil saldırılara karşı daha güçlü bir koruma sağlayacaktır. Ayrıca, geliştirme ortamlarında sürekli güvenlik denetimleri ve bağımlılık taramaları yapmak, bu tür riskleri minimize etmenin anahtarıdır.

Yazılım Tedarik Zinciri Saldırılarında Evrilen Taktikler

“Indexed-btree” vakası, yazılım tedarik zinciri saldırılarının sadece nicelik olarak artmadığını, aynı zamanda nitelik olarak da evrildiğini gösteren çarpıcı bir örnektir. Siber suçlular, güvenlik kontrolleri güçlendikçe, tespit edilmeyi zorlaştıran yeni ve yaratıcı yöntemler geliştirmeye devam ediyor. Yaşam döngüsü betiklerinden çalışma zamanı koduna geçiş, bu adaptasyonun somut bir kanıtı. Bu durum, savunma tarafındaki araştırmacıların ve geliştiricilerin sürekli tetikte olmasını ve güvenlik paradigmalarını güncel tutmasını gerektiriyor.

Bu gelişmeler, açık kaynaklı yazılım kullanımının yaygınlığı düşünüldüğünde, tüm endüstri için bir uyarı niteliği taşıyor. Şirketler ve bireysel geliştiriciler, kullandıkları her paketin arkasındaki riskleri anlamalı ve sadece paketin itibarına güvenmek yerine derinlemesine güvenlik analizleri yapmalıdır. Yazılım tedarik zinciri güvenliği, artık sadece bir ek özellik değil, modern yazılım geliştirme sürecinin ayrılmaz bir parçası haline gelmiştir ve bu alandaki inovasyon, saldırganların bir adım önünde kalmak için hayati önem taşımaktadır.