npm Tedarik Zincirinde Sinsi Tehdit: 40 Binden Fazla İndirilen Zararlı Paketler

Siber güvenlik uzmanları, açık kaynaklı yazılım geliştirme ekosisteminin merkezindeki npm tedarik zinciri üzerinde uzun soluklu bir kötü amaçlı yazılım kampanyasının detaylarını ortaya koydu. MALFEX olarak adlandırılan bu operasyonda, geliştiricilerin sistemlerine bilgi hırsızları ve uzaktan erişim trojanları (RAT) enjekte edildi. Ağustos 2023’ten bu yana devam eden bu tehdit, tek bir saldırganın işi olarak değerlendiriliyor ve binlerce kez indirilen zararlı paketlerle geniş bir potansiyel tehlike yaratıyor.

npm Tedarik Zincirindeki Gizli Tehlike: MALFEX Operasyonu

MALFEX kampanyası, npm kayıt defterine yüklenen toplam 12 paketten sekizinin kötü amaçlı olduğu tespit edilerek gün yüzüne çıktı. Bu paketler, Windows sistemlerini hedef alacak şekilde tasarlandı ve farklı enfeksiyon yolları kullanıyor. Toplamda 40.767 kez indirilen bu zararlı yazılımların büyük bir kısmı, tek başına 37.419 indirmeye ulaşan “function-flag” paketi üzerinden yayıldı. İlk olarak Temmuz 2024’te yayımlanan bu paket, son sürümünü Ağustos 2025’te aldı.

Saldırganın, paket açıklamalarına Portekizce bir karşılama mesajı eklemesi, “Malfex ekibi tarafından büyük bir sevgi ve özveriyle oluşturuldu, sahibi Murizada’dır” şeklinde ifadeler kullanması dikkat çekiyor. Bu detaylar, tehdit aktörünün coğrafi kökeni veya hedef kitlesi hakkında önemli ipuçları sunuyor. Kampanyanın uzun ömürlü olması ve sürekli güncellenen paketler kullanması, siber güvenlik araştırmacılarının npm ekosistemindeki tedarik zinciri saldırılarının ciddiyetini bir kez daha vurgulamasına neden oldu.

Gizlenen Tehlike: Overlord RAT ve Bilgi Hırsızlarının Anatomisi

MALFEX kampanyasında dağıtılan kötü amaçlı yazılımlar arasında iki ana bileşen öne çıkıyor: Overlord RAT ve özel olarak hazırlanmış bir Node.js bilgi hırsızı. Açık kaynaklı ve Go dilinde yazılmış bir uzaktan erişim trojanı olan Overlord, komuta ve kontrol (C2) adresini Solana blokzinciri işlemleri aracılığıyla elde etmesiyle diğer RAT’lerden ayrışıyor. Bu yenilikçi C2 mekanizması, geleneksel tespit yöntemlerini atlatmak için tasarlanmış sofistike bir yaklaşım sergiliyor.

“tlxbnhd”, “tldriver” ve “mxdriver” gibi paketler Overlord RAT’nin yükleyicisi olarak işlev görüyor. Bu paketlerdeki kötü amaçlı kod, yaşam döngüsü kancaları (lifecycle hooks) aracılığıyla tetiklenerek zararlı bir Windows yürütülebilir dosyasını indirip çalıştırıyor. “img-to-native” gibi ikinci bir paket grubu ise “cdn-img-fetch” bağımlılığı üzerinden Go dilinde yazılmış bir yürütülebilir dosyayı alıyor ve bu dosya daha sonra Discord, tarayıcılar, Telegram ve kripto para cüzdanları gibi hassas hedefleri ele geçiren bir Node.js bilgi hırsızını (movinlike) indiriyor.

Kampanyanın en çok indirilen paketi “function-flag”, kurulum sonrası kancasına (postinstall hook) yerleştirilmiş bir JavaScript yükü içeriyor. Bu yük, uzak bir sunucudan ikinci bir zararlı yazılım indirmek için tasarlanmış. Paketin her yeni sürümünde, bu zararlı yükün farklı bir uzak konumdan alındığı gözlemlendi. “function-color” adlı paket ise doğrudan kötü amaçlı bir yük içermiyor ancak “function-flag” paketini bağımlılık olarak listeliyor. En son 1.7.3 sürümünde, kurulum sonrası betiği “example.js” dosyasını çalıştırıyor. Bu dosya, paketin ASCII sanatı işlevini “Bloody” yazı tipi değeriyle çağırıyor ve bu değer, Brezilya merkezli bir uygulama barındırma hizmeti olan cdnzona.discloud.app adresinden “node.exe” dosyasını indiren gizli bir rutini tetikliyor. İndirilen “node.exe” dosyası, %APPDATA% dizinine kaydedilip gizli bir pencerede çalıştırılıyor.

Geliştiricileri Bekleyen Siber Tuzak: Kapsamlı Etkiler

Bu tür tedarik zinciri saldırılarının temel etkisi, geliştiricilerin farkında olmadan projelere kötü amaçlı kod eklemesidir. Tüm bu gelişmeler gösteriyor ki, bu paketleri kullanan herhangi bir uygulama veya sistem güvenlik ihlali riskiyle karşı karşıya kalır. Overlord RAT, saldırganlara ele geçirilen Windows sistemleri üzerinde tam kontrol sağlarken, bilgi hırsızı bileşeni de Discord hesaplarından tarayıcı geçmişine, Telegram mesajlarından kripto para cüzdanı anahtarlarına kadar geniş bir yelpazede hassas verileri çalabiliyor. Bu durum, hem bireysel geliştiriciler hem de büyük ölçekli yazılım projeleri için ciddi finansal ve itibari kayıplara yol açabilir.

Özellikle 40 binden fazla indirmenin gerçekleşmiş olması, bu saldırının potansiyel etki alanının ne kadar geniş olduğunu gözler önüne seriyor. Birçok geliştirici, hız ve kolaylık adına üçüncü taraf npm paketlerine güveniyor ve bu güven kötü niyetli aktörler tarafından istismar ediliyor. Geliştirme ortamlarının tehlikeye atılması, yalnızca mevcut projeleri değil, gelecekteki yazılım ürünlerini de riske atarak sektör genelinde bir domino etkisi yaratabilir.

Sistemlerinizi Korumak İçin Kritik Adımlar

npm ekosisteminde ortaya çıkan MALFEX gibi tehditlere karşı korunmak için geliştiricilerin proaktif güvenlik önlemleri alması büyük önem taşıyor. Öncelikle, herhangi bir npm paketi kurulumundan önce paketin güvenilirliğini dikkatlice değerlendirmek gerekiyor. Düşük indirme sayılarına sahip, yeni yayımlanmış veya şüpheli açıklamalara sahip paketlerden uzak durulmalı, mümkünse alternatifleri tercih edilmelidir. Paketlerin kaynak kodları, özellikle kritik projelerde kullanılacaksa, güvenlik açıkları veya gizlenmiş kötü amaçlı kodlar açısından incelenmelidir.

Bağımlılıkların yönetimi de kritik bir adımdır. Geliştiriciler, kullanılan tüm paketlerin güncel ve bilinen güvenlik açıklarından arınmış olduğundan emin olmak için düzenli olarak güvenlik taramaları yapmalıdır. npm’in kendi güvenlik denetim araçları veya üçüncü taraf güvenlik çözümleri bu konuda yardımcı olabilir. Ayrıca, paket bağımlılıklarını belirli sürümlere sabitlemek (pinlemek), beklenmedik ve zararlı güncellemelerin otomatik olarak yüklenmesini engelleyebilir. Ağ trafiğinin izlenmesi, özellikle Overlord RAT’nin Solana tabanlı C2 iletişimi gibi alışılmadık bağlantı denemelerinin tespit edilmesi açısından önemlidir.

Açık Kaynak Ekosistemindeki Büyük Resim ve Gelecek

MALFEX kampanyası, açık kaynaklı yazılım tedarik zincirlerinin siber saldırganlar için ne kadar cazip hedefler haline geldiğini bir kez daha gösteriyor. npm gibi platformlar, geliştiricilere büyük kolaylıklar sunarken, aynı zamanda geniş bir saldırı yüzeyi oluşturuyor. Overlord RAT’nin sadece npm paketleri aracılığıyla değil, aynı zamanda Temmuz 2026’dan bu yana WordPress güvenlik açıklarının (CVE-2026-63030 ve CVE-2026-60137) istismar edilmesi ve macOS’ta sahte Zoom yükleyicileri kullanılması gibi farklı kampanyalarda da gözlemlenmesi, bu trojanın çok yönlülüğünü ve tehdit aktörlerinin adaptasyon yeteneğini ortaya koyuyor.

Özellikle sahte Zoom yükleyicisi kampanyasının, Kuzey Kore ile bağlantılı olduğu düşünülen UNK_DeadDrop adlı tehdit grubuyla taktiksel örtüşmelere sahip olması, MALFEX’in daha büyük, uluslararası siber suç yapılarının bir parçası olabileceği şüphelerini uyandırıyor. Bu durum, siber güvenlik dünyasında, tek bir saldırının arkasındaki aktörlerin küresel tehdit ekosistemiyle nasıl iç içe geçebileceğini gözler önüne seriyor. Açık kaynaklı yazılımların yaygınlaşmasıyla birlikte, tedarik zinciri güvenliğinin önemi daha da artacak ve sürekli tetikte olma hali, geliştiriciler ve kullanıcılar için vazgeçilmez bir gereklilik haline gelecek.