WhatsApp Gruplarına Ekleyen 101 Zararlı npm Paketi Tehlikesi

Yazılım geliştirme ekosisteminin temel taşlarından biri olan npm, yeni bir tehdit dalgasıyla karşı karşıya. Siber güvenlik araştırmacıları, geliştiricilerin WhatsApp hesaplarını rızaları olmadan gruplara ekleyen tam 101 adet kötü amaçlı npm paketi tespit etti. “PhantomSub” adı verilen bu abone kampanyası, yazılım tedarik zinciri güvenliğine yönelik endişeleri bir kez daha artırıyor ve binlerce geliştiriciyi farkında olmadan dolandırıcılık veya reklam içerikli grupların parçası haline getiriyor.

Yazılım Tedarik Zincirinde Yeni Tehdit Dalgası

Modern yazılım geliştirme süreçlerinde paket yöneticileri, projelerin karmaşıklığını azaltan ve bağımlılık yönetimini kolaylaştıran kritik araçlardır. Node.js ekosisteminin merkezi deposu olan npm, milyonlarca pakete ev sahipliği yapar ve geliştiricilerin küresel çapta kod paylaşmasını sağlar. Ancak bu açıklık, kötü niyetli aktörler için de bir hedef haline gelmektedir.

Yakın zamanda yaşanan olaylar, bu tür bir zafiyetin somut bir örneğini teşkil ediyor. İlk olarak Ağustos 2026’da SafeDep tarafından, Baileys açık kaynak projesinin bazı npm fork’larında kötü amaçlı davranışlar gözlemlenmişti. Bu davranışlar arasında, yükleyici WhatsApp hesaplarını paketi yazan kişinin kontrolündeki kanallara gizlice abone etme ve bot tarafından gönderilen her görsel ve videoya reklam URL’leri enjekte etme gibi yöntemler bulunuyordu. Ardından, Xygeni Güvenlik Araştırma Ekibi de “@dappaoffc/baileys-mod” adında, geliştiricilerin kimliği doğrulanmış WhatsApp bot oturumlarını saldırgan kontrollü bülten kanallarına abone eden benzer bir Baileys modunu ortaya çıkarmıştı.

“PhantomSub” Kampanyasının Teknik İşleyişi

OX Security uzmanlarının detaylı analizi, “PhantomSub” olarak adlandırılan bu kötü amaçlı kampanyanın ardındaki mekanizmaları gün ışığına çıkardı. Tehdit aktörleri, Baileys WhatsApp açık kaynak projesini istismar ederek geliştiricileri rızaları dışında WhatsApp gruplarına ekliyor. Bu paketler toplu olarak 490.000 kez indirilmiş durumda; bunlardan 116.000’i son 30 gün içinde gerçekleşti. Bu durum, tehdidin ne denli hızlı yayıldığını ve geniş bir kitleyi etkilediğini gösteriyor.

Araştırmalar, kötü amaçlı yazılımın üç farklı varyantını ortaya koydu. Her varyant, abone olma rutinini farklı yollarla gerçekleştiriyor:

• Varyant 1 (19 paket): Kanal kimliklerini çalışma zamanında GitHub üzerinden çekiyor. Bu yöntem, saldırganlara kanalları dinamik olarak değiştirme esnekliği sunuyor.
• Varyant 2 (60 paket): Kanal kimliklerini doğrudan kaynak koduna açık metin olarak gömüyor. Bu, analizi kolaylaştırsa da, kodun derlenmesiyle gizli kalabilir.
• Varyant 3 (14 paket): Kanal kimliklerini kodlanmış ve gizlenmiş (obfuscated) biçimde kaynak koduna yerleştiriyor. Bu, tespit ve analiz süreçlerini daha zorlu hale getiriyor.

Örnek paket adları arasında ourin-baileys, @nexustechpro/baileys, levvleys, neuralwhatsapp ve my-auto-follow gibi isimler bulunuyor. Bu paketler, masum görünen işlevsellikler sunarken arka planda kötü niyetli faaliyetleri yürütüyor.

Geliştirici Hesapları Nasıl İstismar Ediliyor?

Bu kötü amaçlı npm paketlerinin geliştiriciler üzerindeki etkisi doğrudan ve rahatsız edicidir. Paketleri yükleyen geliştiriciler, farkında olmadan WhatsApp hesaplarının çeşitli gruplara eklenmesine neden oluyor. Bu gruplar genellikle spam içerikli reklamlar, dolandırıcılık girişimleri veya istenmeyen pazarlama materyalleri yaymak için kullanılıyor. Kimliği tespit edilen bir WhatsApp grubunun Endonezya merkezli olduğu ve Mobile Legends: Bang Bang ile TikTok gibi mobil oyun ve uygulamaların reklamlarını yaptığı belirlendi. Bu gönderilerde ayrıca “Dan” adlı Endonezyalı bir işletme WhatsApp hesabıyla bağlantılı bir telefon numarası da belirtiliyor.

Tespit edilen diğer gruplar ve kanallar, genellikle bot satıcıları veya pazar kanalları olarak işlev görüyor. Bu kanallar, takipçi sayılarını bot komut dosyaları, bot oluşturma hizmetleri, “premium” APK’lar ve sosyal medya etkileşimini artırma gibi hizmetlerin satışında bir sosyal kanıt olarak kullanıyor. Örneğin:

• Neural (798 takipçi): JualanRSS adlı çevrimiçi bir pazar yeri kullanarak kaynak satışları pazarlıyor. Bu pazar yeri, oyun içi yiyecek, cevher, taş, kereste ve altın gibi kaynakları satıyor.
• MONTE – BMG (1.000 takipçi)
• CORTANA TECH (1.300 takipçi)
• Fyxzpedia.ID – Utama (4.800 takipçi)

Bu durum, geliştiricilerin profesyonel ve kişisel iletişim alanlarını ciddi şekilde kirletiyor, zaman kaybına yol açıyor ve potansiyel olarak daha ciddi güvenlik risklerine zemin hazırlıyor. Reklam URL’lerinin enjekte edilmesi ise geliştiricilerin ürettiği içeriklerin güvenilirliğini zedeliyor.

Kendinizi Zararlı npm Paketlerinden Koruma Yolları

Geliştiricilerin bu tür tehditlere karşı tetikte olması ve belirli önlemleri alması hayati önem taşıyor. Paket seçimi sırasında dikkatli olmak ilk adımdır. Bilinmeyen veya şüpheli kaynaklardan gelen paketleri kullanmaktan kaçınmak, güvenilir geliştiriciler tarafından oluşturulmuş ve geniş çapta kullanılan popüler paketleri tercih etmek riski azaltır.

Herhangi bir npm paketini projenize dahil etmeden önce, paketin indirme sayısı, son güncelleme tarihi, bakım geçmişi ve GitHub üzerindeki etkinliği gibi faktörleri değerlendirmek önemlidir. Ayrıca, paketin kaynak kodunu gözden geçirme imkânınız varsa, özellikle kritik bağımlılıklar için bu işlemi gerçekleştirmek ek bir güvenlik katmanı sağlar. Günümüzde birçok güvenlik aracı, bilinen zafiyetleri ve kötü amaçlı kodları tespit etmek için npm paketlerini tarayabilir. Bu araçların düzenli kullanımı, potansiyel tehditlerin erkenden belirlenmesine yardımcı olur. Bağımlılıkları düzenli olarak güncellemek, bilinen güvenlik açıklarının yamalanmasını sağlar ve sisteminizi daha dirençli hale getirir.

WhatsApp hesabınızın güvende kalması için, özellikle bilmediğiniz veya şüpheli gördüğünüz gruplara eklenmeniz durumunda bu gruplardan derhal ayrılmalısınız. Ayrıca, WhatsApp’ın iki faktörlü kimlik doğrulama gibi güvenlik özelliklerini etkinleştirerek hesabınızı ekstra bir koruma katmanıyla güçlendirebilirsiniz. Bu tür olaylar, geliştiricilerin sadece kod yazmakla kalmayıp, kullandıkları araç ve kütüphanelerin güvenliği konusunda da sürekli bilgi sahibi olmalarının ne denli önemli olduğunu gösteriyor.

Açık Kaynak Ekosisteminin Geleceği ve Güven Sorunu

Bu olay, açık kaynak ekosisteminin karşı karşıya olduğu temel bir ikilemi net bir şekilde ortaya koyuyor: esneklik ve inovasyon sağlayan açık yapı, aynı zamanda güvenlik açıkları ve kötü niyetli istismarlar için de bir kapı aralıyor. Geliştiricilerin, milyonlarca paketten oluşan npm gibi devasa bir depoda her bir paketin güvenilirliğini manuel olarak doğrulaması imkansızdır. Bu durum, yazılım tedarik zinciri güvenliğinin, bireysel geliştiricilerin sorumluluğunun ötesine geçerek endüstri çapında ortak bir çaba gerektirdiğini gösteriyor.

Saldırganların genellikle Endonezya merkezli, bot satışı ve sosyal medya etkileşimini artırma gibi ticari faaliyetlere odaklanan küçük kanalları hedef alması, motivasyonlarının finansal olduğunu gösteriyor. Takipçi sayıları, bu tür pazarlarda bir tür itibar ve güvenilirlik göstergesi olarak kullanılıyor. Bu durum, yalnızca teknik bir güvenlik açığından ibaret olmayıp, aynı zamanda belirli dijital alt kültürlerdeki istismar potansiyeline işaret ediyor. Gelecekte, paket yöneticileri ve topluluklar, otomatik güvenlik taramalarını ve topluluk tabanlı denetim mekanizmalarını daha da güçlendirmek zorunda kalacak. Aksi takdirde, geliştiricilerin bu temel araçlara olan güveni sarsılmaya devam edebilir ve bu da tüm yazılım geliştirme sürecini olumsuz etkileyebilir.