Kuzey Kore Siber Saldırıları: PolinRider Kampanyası Geliştiricileri Nasıl Hedefliyor?

Yazılım geliştirme ekosistemi, bugüne kadarki en karmaşık ve sürekli evrilen tehditlerden biriyle karşı karşıya. Kuzey Kore siber saldırıları ile ilişkilendirilen PolinRider kampanyası, geliştiricilerin en temel araçlarına sızarak dijital tedarik zincirini derinden sarsıyor. Peki, bu kampanya yüzlerce zararlı paketi platformlara nasıl sızdırdı?

PolinRider’ın Gölgesindeki Tehdit: Geliştiriciler Neden Hedefte?

PolinRider kampanyası, tehdit aktörlerinin npm, Packagist, Go gibi popüler paket yöneticileri ve Google Chrome gibi uzantı platformları üzerinden 108 benzersiz zararlı paket ve web tarayıcı uzantısı yayınlamasıyla ortaya çıktı. Siber güvenlik araştırmacılarının dikkatini çeken bu faaliyetler, ‘Contagious Interview’ olarak bilinen Kuzey Kore bağlantılı bir operasyonun devamı niteliğinde. Özellikle yazılım geliştiricilerini ve kripto para sektöründeki profesyonelleri hedef alan bu operasyon, sahte iş ilanları ve ikna edici mülakat senaryoları aracılığıyla kurbanları kötü amaçlı kod çalıştırmaya ikna ediyor.

Saldırganlar, LinkedIn, GitHub ve çeşitli serbest çalışma platformlarında kendilerini işe alım uzmanı veya işbirlikçi olarak tanıtarak güven inşa ediyorlar. Bu süreçte, yapay zeka destekli profil oluşturma ve özenle tasarlanmış paravan şirketler kullanmaları dikkat çekiyor. PolinRider’ın Mart 2026’da OpenSourceMalware ekibi tarafından ilk kez fark edilmesiyle, tehdidin GitHub havuzlarına sızma boyutu da netleşti. Peki, neden bu kadar çok geliştirici tuzağa düşüyor? 11 Nisan 2026 itibarıyla tam 1.951 genel GitHub havuzu ve 1.047 benzersiz hesap bu faaliyetlerden etkilendi. Bu durum, siber saldırıların ne denli geniş bir tabana yayıldığını açıkça gösteriyor.

“Yazılım tedarik zinciri, modern dijital dünyanın can damarıdır ve bu tür saldırılar, tüm ekosistemin güvenliğini temelden sarsma potansiyeli taşır. Geliştiricilerin bu konuda farkındalığı artırması, yalnızca kendi projelerini değil, bağımlı oldukları tüm sistemleri korumak için hayati önem taşır.”

Kampanya, TaskJacker adı verilen başka bir siber saldırı grubuyla da birleşerek, GitHub kullanıcılarının mevcut havuzlarına kötü amaçlı VS Code görev dosyaları bırakıyor. Bu görevler, runOn: ‘folderOpen’ seçeneği sayesinde, kullanıcılar klasörü VS Code veya Cursor gibi bir IDE’de çalışma alanı olarak açtığında rastgele kodların otomatik olarak yürütülmesine olanak tanıyor. Saldırganların GitHub kimlik bilgilerini çalmadığı, bunun yerine kurbanların kötü amaçlı VS Code uzantıları veya npm paketleri aracılığıyla ele geçirildiği tahmin ediliyor. Bu sofistike yaklaşım, Kuzey Kore siber saldırıları tehdidinin ne denli derinlemesine planlandığını kanıtlar nitelikte.

Kurbanlar Nasıl Tuzağa Düşüyor? Teknik Detaylar

PolinRider kampanyasının teknik detayları, tehdit aktörlerinin hedeflerine ulaşmak için ne kadar yaratıcı ve kararlı olduğunu gösteriyor. Araştırmacılar, saldırganların ele geçirdikleri hesapları, muhtemelen süresi dolmuş alan adı ele geçirme veya başka bir hesap kurtarma yöntemiyle elde ettiklerini belirtiyor. Bu yöntemler sayesinde, geliştiricilerin güvenini kazanmış, halihazırda yayınlanmış paketlerin kontrolünü ele geçirebiliyor ve buralara kötü amaçlı kod enjekte edebiliyorlar.

Kötü amaçlı yazılım, bir sisteme sızdığında, kurbanın bilgisayarında öncelikle belirli yapılandırma dosyalarını arıyor. Bunlar arasında postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs, babel.config.js ve app.js gibi genellikle JavaScript tabanlı projelerde bulunan dosyalar yer alıyor. Peki, bu dosyaları bulduğunda ne yapıyor? Bulundukları takdirde, bu dosyalara sinsi bir şekilde kötü amaçlı JavaScript kodu ekleniyor.

Sadece kod enjeksiyonuyla kalmıyor, saldırganlar izlerini de titizlikle gizliyor. Kötü amaçlı yazılım, son yapılan kaydın (commit) gizlice değiştirilmesi için bir Windows toplu iş (batch) betiği kullanıyor. Bu sayede, kötü amaçlı değişiklikler sanki orijinal yazar tarafından yapılmış gibi gösteriliyor. Git geçmişini yeniden yazma yeteneği, saldırganlara geriye dönük izleri silme ve saldırıyı daha da zor tespit edilebilir kılma olanağı sağlıyor. Linux ve macOS gibi diğer işletim sistemleri için de benzer araçların kullanıldığına dair güçlü şüpheler bulunuyor. Bu durum, geliştirme ortamlarının her köşesinde potansiyel bir tehlikenin pusuya yatmış olabileceğini düşündürmüyor mu?

Bu karmaşık saldırılar, yalnızca mevcut güvenlik duvarlarını aşmakla kalmıyor, aynı zamanda yazılım tedarik zincirinin en güvendiği katmanlarına, yani geliştiricilerin kendi kodlarına ve kullandıkları bağımlılıklara sızmayı hedefliyor. Kötü amaçlı yazılımın ‘BeaverTail’ adı verilen ve ‘Contagious Interview’ kampanyasıyla ilişkili olan yeni bir varyantı olduğu biliniyor. Bu varyant, GitHub’daki yüzlerce genel depoya gömülen gizlenmiş JavaScript yükleri aracılığıyla dağıtılıyor. Her geçen gün yeni saldırı vektörlerinin ortaya çıkması, güvenlik algımızı yeniden gözden geçirmemiz gerektiğini net bir şekilde gösteriyor.

Türkiye ve Küresel Yazılım Ekosistemi İçin Riskler

Türkiye’deki yazılım geliştirme topluluğu ve kripto para şirketleri, PolinRider gibi Kuzey Kore siber saldırıları karşısında küresel tehditlerle aynı riskleri taşıyor. Açık kaynak bağımlılıklarının yaygın kullanımı, Türk geliştiricileri de bu tür tedarik zinciri saldırılarının potansiyel hedefi haline getiriyor. Ülkemizdeki birçok startup ve büyük kuruluş, projelerinde npm, Go modülleri ve Composer paketleri gibi araçlara güveniyor. Bu bağımlılıklar üzerinden gelen zararlı bir kod parçası, ulusal dijital altyapımızın kritik bileşenlerine sızabilir ve yıkıcı sonuçlar doğurabilir.

Küresel çapta siber güvenlik uzmanları, açık kaynak ekosisteminin sürekli denetim altında tutulması gerektiği konusunda hemfikir. Türkiye’deki bilişim şirketlerinin, kullandıkları üçüncü taraf kütüphaneleri ve uzantıları düzenli olarak taramaları, zafiyetleri tespit etmeleri ve yamalarını uygulamaları kaçınılmaz bir sorumluluk. Ayrıca, geliştiricilerin kimlik avı (phishing) saldırılarına ve sosyal mühendislik taktiklerine karşı eğitilmesi, bu tür kampanyaların başarısını önemli ölçüde azaltabilir. Bir ulusun dijital bağımsızlığı, aynı zamanda yazılım tedarik zincirinin güvenliğine de bağlı değil midir?

Türk siber güvenlik ekosistemi için, bu tür küresel tehditleri yakından takip etmek ve yerel savunma mekanizmalarını güçlendirmek kritik önem taşıyor. Özellikle finans ve enerji gibi stratejik sektörlerde faaliyet gösteren şirketler, geliştirme süreçlerinde katı güvenlik protokolleri uygulamak zorunda. PolinRider örneği, basit bir paket bağımlılığının dahi ulusal güvenliği tehdit edebilecek bir siber silah haline dönüşebileceğini acı bir şekilde gösteriyor. Bu nedenle, yazılım geliştirme pratiklerimizi sürekli olarak güncelleyerek siber tehditlere karşı daha dirençli bir duruş sergilemeliyiz.

Bu Siber Tehditle Ne Yapmalısınız?

PolinRider kampanyası gibi sofistike tehditler karşısında geliştiricilerin ve kurumların alabileceği somut adımlar mevcut. Öncelikle, tüm hesaplarınız için çok faktörlü kimlik doğrulama (MFA) kullanımını zorunlu hale getirin. Bu basit ancak etkili önlem, hesap ele geçirme girişimlerinin önünü büyük ölçüde keser. İkinci olarak, kullandığınız tüm açık kaynak bağımlılıklarını düzenli olarak denetleyin ve güvenlik açığı tarayıcıları gibi otomatik araçlardan faydalanın.

Geliştirme süreçlerinize sıkı kod inceleme pratikleri entegre edin. Her yeni kod birleştirmesi (merge request) veya bağımlılık güncellemesi, güvenlik gözüyle incelenmeli. Socket gibi güvenlik araçları, bağımlılıklarınızdaki zararlı kodları veya güvenlik açıklarını erken aşamada tespit etmenize yardımcı olabilir. Peki, iş teklifleri veya iş birliği talepleri söz konusu olduğunda ne kadar şüpheci olmalısınız? Sosyal mühendislik saldırılarına karşı her zaman tetikte olun; bilinmeyen kaynaklardan gelen e-postaları veya mesajları dikkatle değerlendirin.

Düzenli yedeklemeler yapmak, bir siber saldırı durumunda veri kaybını en aza indirgemek için hayati önem taşır. Kötü amaçlı yazılım sisteminize sızsa bile, temiz bir yedekle hızlıca geri dönebilirsiniz. Ayrıca, işletim sistemlerinizi, IDE’lerinizi ve kullandığınız tüm yazılımları en son yamalarla güncel tutun. Unutmayın, siber güvenlik sürekli bir süreçtir, tek seferlik bir önlem asla yeterli değildir. Her geliştirici, bu tehditlere karşı kendi kişisel güvenlik duvarını güçlendirmeli ve topluluğun genel güvenliğine katkıda bulunmalıdır. Dijital varlıklarımızı korumak için proaktif bir duruş sergilemekten başka çaremiz yok.