Kuzey Kore Siber Saldırısı: Yazılım Dünyası PolinRider Tehlikesinde mi?

Yazılım geliştirme ekosistemini hedef alan yeni bir Kuzey Kore siber saldırısı kampanyası, teknoloji dünyasında endişe yaratıyor. “PolinRider” adı verilen bu gelişmiş operasyon, dünya genelindeki geliştiricilere ve kripto para sektöründeki profesyonellere yönelik 108 adet kötü amaçlı paket ve web tarayıcı uzantısı yayınlayarak geniş çaplı bir tehdit oluşturuyor.

Bu saldırılar, bilinen Contagious Interview kampanyasıyla ilişkili Kuzey Koreli aktörler tarafından yürütülüyor. Hedef, özellikle geliştiricilerin güvenini kazanıp sistemlerine sızmak. Peki, bu denli sofistike bir tehdit karşısında sektör nasıl bir direnç gösterecek?

PolinRider Kampanyasının Anatomisi: 108 Tehlikeli Paket

PolinRider kampanyası, npm, Packagist, Go ve Google Chrome platformlarını kapsayan 108 benzersiz paket ve web tarayıcı uzantısı aracılığıyla yayılıyor. Güvenlik araştırmacısı Karlo Zanki’nin analizine göre, bu kampanya aktifliğini koruyor ve kötü niyetli aktörlerin sürdürücü hesaplarını ele geçirmesi, yasal depoları değiştirmesi veya kayıt defteri erişimini elde etmesiyle yeni kötü amaçlı paketlerin ortaya çıkması muhtemel görünüyor. Bu Kuzey Kore siber saldırısı, tedarik zincirini hedef almasıyla dikkat çekiyor.

Toplamda 162 kötü amaçlı yayın artefaktı, 108 benzersiz paket ve uzantıya karşılık gelen birden fazla sürümü kapsıyor. Bunların arasında 19 npm kütüphanesi, 10 Composer paketi, 61 Go modülü ve bir Google Chrome uzantısı bulunuyor. Bu geniş dağıtım ağı, tehdidin ne kadar kapsamlı olduğunu gözler önüne seriyor. Bir geliştirici olarak kullandığınız herhangi bir paketin arkasında böyle bir tehdidin gizlenmesi ihtimali, soğuk terler döktürmez mi?

Contagious Interview, Kuzey Kore ile bağlantılı bir kampanyanın adı olup, yazılım geliştiricilerini ve kripto para sektöründeki bireyleri işe alım süreçlerini silah olarak kullanarak hedef alıyor. Bu Kuzey Kore siber saldırısı, ikna edici iş görüşmeleri ve değerlendirmelerle kurbanlarını kandırarak kötü amaçlı kod çalıştırmalarına zemin hazırlıyor. 2023’ten beri aktif olduğu bilinen bu faaliyet, sürekli evrilen bir tehlike sinyali veriyor.

Saldırganlar, LinkedIn, GitHub veya serbest çalışma platformları gibi mecralarda işe alımcı veya işbirlikçi kılığına giriyor. Güven oluşturmak amacıyla özenle hazırlanmış paravan şirketler ve yapay zeka tarafından oluşturulmuş çalışan profilleri kullanmaları, saldırının ne kadar profesyonelce kurgulandığını gösteriyor. Tüm bu çabanın tek bir amacı var: sisteme sızmak ve kritik verileri ele geçirmek.

Geliştiriciler ve Kripto Dünyası Hedefte: Aldatıcı Taktikler

OpenSourceMalware ekibi tarafından ilk kez Mart 2026’da tespit edilen PolinRider, yüzlerce kamuya açık GitHub deposuna kötü amaçlı, gizlenmiş JavaScript yükleri yerleştirerek faaliyet gösteriyor. Bu Kuzey Kore siber saldırısı yöntemi, Contagious Interview ile ilişkilendirilen bilinen bir JavaScript zararlı yazılımı olan BeaverTail’in yeni bir varyantını dağıtıyor. Bu durum, açık kaynak kodlu projelere olan güveni temelden sarsıyor. Bir projenin kaynak koduna güvenmeden nasıl katkıda bulunabiliriz ki?

11 Nisan 2026 itibarıyla, bu faaliyet 1.047 benzersiz sahibine ait 1.951 kamuya açık GitHub deposunu tehlikeye attı. Bu rakamlar, saldırının ölçeği hakkında ürkütücü bir tablo çiziyor. Ayrıca, GitHub kullanıcılarının mevcut depolarına kötü amaçlı VS Code görev dosyaları bırakan TaskJacker adlı başka bir küme ile birleştiği de saptandı. Bu birleşim, tehdidin boyutunu katlayarak büyütüyor.

VS Code görevleri, “runOn: ‘folderOpen'” seçeneğini içeriyor. Bu, VS Code veya Cursor gibi bir IDE’de klasör bir çalışma alanı klasörü olarak açıldığında rastgele kodun yürütülmesini tetikliyor. Söz konusu Kuzey Kore siber saldırısı, geliştiricilerin alışkanlıklarından faydalanarak zararlı yazılımı otomatik olarak devreye sokma potansiyeli taşıyor. Kod geliştirme süreçlerindeki bu tür otomasyonların ne kadar riskli olabileceğini yeniden düşünmek gerekmez mi?

OpenSourceMalware, tehdit aktörünün çalınmış GitHub kimlik bilgilerini kullanmadığını belirtti. Bunun yerine, mağdurların kötü amaçlı bir VS Code uzantısı veya npm paketi aracılığıyla tehlikeye atıldığı düşünülüyor. Bu, saldırının hedeflenmiş ve ustaca bir mühendislik çalışmasının ürünü olduğunu gösteriyor. Sürdürücü hesaplarının ele geçirilmesi, muhtemelen süresi dolmuş alan adı ele geçirme veya başka bir hesap kurtarma yoluyla gerçekleştiriliyor. Bu yöntemler, siber güvenlikte “zayıf halka” olarak kabul edilen insan faktörünü ve süreçsel boşlukları istismar ediyor.

“Siber güvenlik uzmanları bu tür saldırıları ‘tedarik zinciri saldırısı’ olarak nitelendiriyor. Temel bir bileşenin veya aracın zehirlenmesi, tüm ekosistemi riske atıyor; bu da modern yazılım geliştirme pratiklerinin en büyük handikaplarından biri.”

Derinlemesine Bir Bakış: Malware’in İşleyiş Mekanizması

Zararlı yazılım bir kez çalıştığında, enfekte olan bilgisayarda belirli dosyaları arıyor. Bu dosyalar arasında “postcss.config.mjs,” “tailwind.config.js,” “eslint.config.mjs,” “next.config.mjs,” “babel.config.js,” ve “app.js” gibi yaygın yapılandırma ve uygulama dosyaları bulunuyor. Eğer bu dosyalardan herhangi biri tespit edilirse, zararlı yazılım bunlara kötü amaçlı JavaScript kodu ekliyor. Bu işlem, meşru kodun içine sızarak tespiti zorlaştırıyor ve uzun süreli bir arka kapı oluşturuyor.

Saldırganlar ayrıca, son commit’i gizlice değiştirmek için bir Windows toplu iş (batch) betiği kullanıyor. Bu betik, değişikliklerin orijinal yazar tarafından yapılmış gibi görünmesini sağlıyor. Bu sayede, zararlı aktivite sürdürülebilirken, suçlu izleri de ustaca örtbas ediliyor. Bir geliştirici, kendi kod tabanında ‘kendi’ yaptığı ama hiç yapmadığı değişiklikleri nasıl fark edebilir ki?

Benzer araçların, Linux ve macOS gibi diğer işletim sistemleri için de Git geçmişini yeniden yazmak amacıyla kullanıldığına dair şüpheler mevcut. Bu, saldırının platform bağımsız bir tehdit olduğunu ve geliştirme süreçlerinin temelini oluşturan sürüm kontrol sistemlerinin bile manipüle edilebileceğini gösteriyor. Yazılım geliştirmenin bu temel taşlarına olan güven, bu Kuzey Kore siber saldırısı ile birlikte ciddi bir darbe alıyor.

Bu manipülasyon teknikleri, saldırganların sadece mevcut kod tabanına zarar vermekle kalmayıp, aynı zamanda projenin geçmişini de kirleterek gelecekteki güvenlik denetimlerini ve hata ayıklama süreçlerini imkansız hale getirdiğini gösteriyor. Bir projenin geçmişi yeniden yazıldığında, kim gerçek değişikliklerin ne zaman ve kim tarafından yapıldığını kesin olarak söyleyebilir?

Bu kampanyanın çekirdek yöntemi, tehdit aktörleri sürdürücü hesaplarını ele geçirdiğinde, yasal depoları değiştirdiğinde ve kayıt defteri erişimini sürdürdükleri veya elde ettikleri yerlerde enfekte paket sürümlerini yayınladığında tutarlı kalmaya devam ediyor. Bu sürekli ve adaptif yaklaşım, Kuzey Kore siber saldırısı tehditlerine karşı savunma mekanizmalarının da sürekli olarak güncellenmesini zorunlu kılıyor.

Bu Siber Tehdit Sizi Nasıl Etkiler ve Ne Yapmalısınız?

PolinRider gibi sofistike bir Kuzey Kore siber saldırısı, sadece büyük kurumsal firmaları değil, bireysel geliştiricileri ve Türkiye’deki startup ekosistemini de doğrudan etkileyebilir. Özellikle açık kaynak projelere katkıda bulunan veya çeşitli paket yöneticileri üzerinden bağımlılıklarını yöneten Türk geliştiriciler, bu tür tedarik zinciri saldırılarına karşı savunmasız kalabilirler. Unutmayalım ki, bir zayıf halka tüm zinciri kırar. Peki, bu durumda projenizin güvenliğini nasıl temin edeceksiniz?

Bu tür saldırıların Türkiye’deki yazılım geliştirme projeleri üzerindeki potansiyel etkisi büyük olabilir. Kötü amaçlı paketlerin veya uzantıların farkında olmadan kullanılması, hassas verilere erişimden fikri mülkiyet hırsızlığına kadar geniş bir yelpazede zararlara yol açabilir. Kripto para yatırımı yapan Türk vatandaşları veya bu alanda faaliyet gösteren şirketler için de ciddi finansal kayıp riskleri barındırıyor. Bu Kuzey Kore siber saldırısı, dikkatli olunmadığı takdirde ciddi sonuçlar doğurabilir. Dijital varlıklarınız gerçekten güvende mi?

Bu karmaşık tehdit karşısında alınabilecek bazı somut adımlar bulunuyor. Geliştiricilerin ve şirketlerin proaktif bir güvenlik duruşu sergilemesi, bu tür saldırıların etkilerini minimize etmek için hayati öneme sahip:

• Paketleri Titizlikle İnceleyin: Her yeni bağımlılık eklemeden önce, paketin güvenilirliğini, sürdürücüsünü ve geçmişini detaylıca araştırın. Bilinmeyen veya şüpheli kaynaklardan gelen paketlerden kaçının.
• Çok Faktörlü Kimlik Doğrulama (MFA) Kullanın: GitHub, GitLab, npm gibi tüm platformlarda MFA’yı aktif hale getirin. Bu, hesap ele geçirmelerini önemli ölçüde zorlaştıracaktır.
• Geliştirme Ortamlarını İzole Edin: Hassas projeler için sanal makineler veya konteynerler kullanarak izole geliştirme ortamları oluşturun. Böylece olası bir enfeksiyonun yayılması engellenir.
• Güvenlik Denetimleri Yapın: Kod depolarınızı ve kullanılan bağımlılıkları düzenli olarak güvenlik taramalarından geçirin. Otomatik araçlar, bilinen güvenlik açıklarını tespit etmede yardımcı olabilir.
• Eğitim ve Farkındalık: Geliştirme ekiplerini sosyal mühendislik saldırıları, oltalama ve tedarik zinciri riskleri konusunda sürekli eğitin. İnsan faktörü, siber güvenliğin en kritik bileşenidir.
• Güncel Kalın: İşletim sistemlerinizi, IDE’lerinizi ve tüm geliştirme araçlarınızı en son güvenlik yamalarıyla güncel tutun.

PolinRider gibi gelişmiş bir Kuzey Kore siber saldırısı, siber güvenlikte sürekli bir tetikte olmayı gerektiriyor. Geliştiriciler, paket seçimi ve proje yönetimi konusunda daha önce hiç olmadığı kadar dikkatli olmalı. Aksi takdirde, gelecekteki pek çok projenin kaderi belirsizlikle sonuçlanabilir.