npm Zararlı Paketi Twilio Kimliğiyle Kimlik Avı Tehdidi Oluşturdu

Yazılım geliştirme süreçlerinde kritik bir yer tutan npm zararlı paket tehditleri, tedarik zinciri saldırılarının günümüzdeki en belirgin örneklerinden birini sunuyor. Siber güvenlik araştırmacıları, “tw-pkgprobe-7731” adında yeni bir npm paketinin detaylarını ortaya çıkardı. Bu paket, Twilio entegrasyonu kullanan geliştiricileri hedef alarak hassas verileri gizlice ele geçirmeye çalışırken, kendisini yetkili bir güvenlik aracı gibi gösteriyor. Geliştiricilerin dikkatini çeken bu tür saldırılar, modern yazılım ekosistemlerinin karşı karşıya olduğu ciddi güvenlik zorluklarına işaret ediyor.

Sahte Güvenlik Aracının Ortaya Çıkışı

“tw-pkgprobe-7731” adlı kötü amaçlı npm paketi, Ağustos 2026 ortalarında “twdepprobe7731” isimli bir npm hesabı tarafından npm kayıt defterine yüklendi. Sadece yaklaşık 45 dakikalık kısa bir süre içinde, aynı gün arka arkaya toplam 11 sürüm yayınlandı. Paketi yükleyen npm hesabı, bu yazı itibarıyla artık mevcut değil. Bu durum, saldırganların hızla hareket etme ve izlerini silme eğilimini ortaya koyuyor.

Paketin ilk versiyonu, kendisini yetkili bir güvenlik araştırma probu olarak tanıttı. Paketin içindeki yorumlarda, “Yetkili bug-bounty araştırma probu (Twilio HackerOne programı)” olduğu ve “sadece Twilio’nun sunucusuz paketleyici sanal alanında çalıştığı” belirtiliyordu. Ayrıca, “yerel süreç/ana bilgisayar bağlamını topladığı ve yanına yazdığı; yıkıcı bir eylem yapmadığı” iddia ediliyordu. Ancak, bu iddialar ReversingLabs araştırmacılarının incelemeleriyle çelişiyordu.

Adım Adım Sızma: Ortam Kontrolünden Hassas Veri Toplamaya

Paket çalıştırıldığında, öncelikle mevcut ortamın bir Twilio geliştirici ortamı olup olmadığını kontrol etti. Eğer ortam Twilio’ya ait değilse, kötü amaçlı yazılım hemen kendini sonlandırdı. Bu kontrol mekanizması, paketin sadece belirlenmiş hedefler üzerinde çalışmasını sağlayarak tespit edilme riskini azaltmayı amaçlıyordu.

Ortam kontrolü başarılı olduğunda, kötü amaçlı yazılım ortam değişkenlerini, sistem detaylarını, bağlama noktalarını (mounts), geçici klasörleri ve çeşitli sistem konfigürasyonlarını toplamaya başladı. Toplanan bu bilgiler daha sonra bir webhook aracılığıyla dışarı sızdırıldı. Bu yöntem, saldırganların topladıkları hassas verileri gizlice kendi kontrol ettikleri sunuculara iletmelerini mümkün kıldı ve uzun süreli erişim için zemin hazırladı.

npm paketinin sonraki versiyonları (1.0.1, 1.0.2 ve 1.0.3), özellikle Twilio API’lerini kullanan geliştiricilere odaklandı. Bu versiyonlar, belirli Twilio hesap Dize Tanımlayıcıları (SID’ler) ile ilişkili klasörleri aradı. Önemli olarak, belirli bir SID adına sahip bir klasör mevcutsa herhangi bir işlem yapmaktan kaçınıyordu. Eğer eşleşen hedef klasörler bulunursa, yüklü npm paketlerini ve node_modules dizinini tarayarak özel bir npm PoC (Kavram Kanıtı) paketi enjekte edip, içine package.json ve index.js dosyaları oluşturuyordu. Bu da hedef sistemde daha fazla kötü amaçlı kodun yürütülmesine olanak tanıyordu.

Kimlik Bilgisi Ele Geçirme ve Şaşırtıcı Taktik Değişiklikleri

Paketin 1.0.4 sürümü, saldırganların yeteneklerini kritik bir seviyeye taşıdı. Bu sürüm, process.env.ACCOUNT_SID ve process.env.AUTH_TOKEN gibi kritik Twilio kimlik bilgilerini sızdırma yeteneği ekledi. Bu, mağdurun Twilio hesap bilgilerini doğrudan ele geçirmek anlamına geliyordu ve tehdit aktörüne faturalandırmayı yetkilendirme veya Twilio’nun iletişim hizmetlerini kötüye kullanma potansiyeli sunuyordu. Bu tür bir ele geçirme, kurumsal ve bireysel düzeyde ciddi finansal ve operasyonel zararlara yol açabilirdi.

Ancak, son üç versiyonda (1.0.8, 1.1.0 ve 1.1.1) şaşırtıcı bir geri dönüş yaşandı. Bu versiyonlar, önceki iterasyonlarda bulunan kötü amaçlı işlevlerden vazgeçerek paketin 1.0.0 versiyonunda görülen temel araştırma profiline geri döndü. Ek olarak, son iki versiyonun çeşitli Twilio ile ilgili ana bilgisayarları (örneğin, support-api.us1.twilio[.]com, kafka-ui.au1.twilio[.]com ve litellm.ai-services.corp.twilio[.]com) sorgulayarak Açık Kaynak İstihbaratı (OSINT) toplama faaliyeti yürüttüğü belirlendi. Hatta AWS’nin “169.254.169[.]254/latest/meta-data/” adresinden meta veri çekmeye çalıştığı da görüldü.

Bu alışılmadık taktik değişiklikleri ve geri dönüşler, saldırganların nihai hedefleri hakkında belirsizlik yaratıyor. Paketin bir hata ödül programının parçası olarak mı yayınlandığı sorusu akıllara gelse de, ReversingLabs, paket versiyonlarının Twilio’nun HackerOne platformunda listelenen hata avcılığı yönergelerine uymadığını açıkça belirtti. Bu durum, paketlerin kötü niyetli bir amaca hizmet ettiğini ve temel güvenlik araştırma prensiplerini ihlal ettiğini gösteriyor.

Tedarik Zinciri Güvenliğinde Yeni Bir Meydan Okuma

Bu olay, modern yazılım geliştirme ekosistemlerinde tedarik zinciri saldırılarının ne kadar karmaşık ve sinsi hale gelebileceğini bir kez daha ortaya koyuyor. Açık kaynaklı paket yöneticileri, geliştiricilere kolaylık sağlarken, aynı zamanda kötü niyetli aktörlerin de hedefi haline gelebiliyor. Bir paketin kendisini yetkili bir güvenlik aracı veya hata ödül programının parçası gibi tanıtması, geliştiricilerin güvenlik algısını manipüle etmeyi amaçlayan ileri düzey bir sosyal mühendislik taktiği olarak değerlendirilebilir.

Geliştiricilerin, projelerine dahil ettikleri her bir harici paketin gerçek doğrulamasını yapmasının zorluğu göz önüne alındığında, bu tür olaylar sektöre geniş çaplı bir sorumluluk yüklüyor. Paket yöneticilerinin ve güvenlik platformlarının, şüpheli davranışları otomatik olarak tespit edebilecek daha gelişmiş analiz araçlarına yatırım yapması, bu tehditlerin yayılmasını engellemek için kritik önem taşıyor. Aksi takdirde, şirketler ve bireysel kullanıcılar, güvenilir görünen bağımlılıklar aracılığıyla ciddi risklerle karşı karşıya kalmaya devam edecektir.

Geliştiriciler İçin Güvenlik Önlemleri ve En İyi Yaklaşımlar

npm ekosisteminde ortaya çıkan “tw-pkgprobe-7731” gibi zararlı paketler, geliştiricilerin yazılım tedarik zinciri güvenliğine daha dikkatli yaklaşmasını zorunlu kılıyor. Geliştiricilerin alabileceği pratik önlemler, bu tür saldırıların etkilerini en aza indirmeye yardımcı olabilir. İlk olarak, projelere eklenen her yeni npm paketinin ve bağımlılığının kaynak kodu, güvenilirliği ve geliştiricisi dikkatle incelenmelidir. Bilinmeyen veya şüpheli görünen kaynaklardan gelen paketlerden kaçınmak temel bir adımdır.

İkinci olarak, geliştirme ortamlarında hassas ortam değişkenlerinin ve API anahtarlarının doğrudan depolanmasından kaçınılmalıdır. Bunun yerine, bu tür bilgilerin güvenli anahtar yönetim sistemleri veya şifreli depolama çözümleri aracılığıyla erişilebilir olması sağlanmalıdır. Ayrıca, geliştiricilerin düzenli olarak kullandıkları tüm bağımlılıkları güvenlik açıkları açısından tarayan araçları devreye sokması ve güncellemelere hızla yanıt vermesi gereklidir. Şüpheli paket veya davranışlar fark edildiğinde, ilgili platformlara bildirimde bulunmak, topluluğun genel güvenliğini artırmaya katkı sağlar.