Geliştiricileri Hedef Alan Yeni Bir Tehdit: Yazılım Tedarik Zinciri Nasıl Çatladı?

Son dönemde siber güvenlik dünyası, geliştiricilerin gündelik iş akışına sızan ve kritik verileri hedefleyen tehlikeli bir yazılım tedarik zinciri saldırısıyla sarsıldı. Bu yeni nesil tehdit, popüler geliştirme ortamlarını manipüle ederek zararlı yazılımları sistemlere gizlice enjekte ediyor. Peki, bu sofistike saldırı yöntemleri, geleneksel güvenlik önlemlerini neden aşabiliyor?

Sanal Tuzak: VS Code Görevlerinin Gizli Gücü

Siber güvenlik araştırmacıları, ele geçirilmiş iki npm paketi ve bir dizi Go paketinin, Windows, Linux ve macOS işletim sistemlerinde Python tabanlı bir bilgi hırsızı konuşlandırmak için özel olarak tasarlandığını ortaya koydu. Bu saldırının en dikkat çekici yönü, yaygın npm yaşam döngüsü betiklerini pas geçerek, özellikle npm v12’nin güvenlik sertleştirmelerini atlatma girişimi taşımasıdır. Saldırganlar, zararlı yazılımın yürütülmesini gizlemek için Microsoft Visual Studio Code (VS Code) içindeki gizli bir görevi kullanıyor.

Saldırının başlangıç noktası, “eslint-check” adında, kurban bir proje klasörünü VS Code veya Cursor gibi bir IDE’de açtığında rastgele kod yürütmeyi tetiklemek üzere “runOn: ‘folderOpen'” seçeneğiyle yapılandırılmış gizli bir VS Code görevidir. Geliştiricinin kötü niyetli paket dizinini çalışma alanı olarak açması ve güvenilir olarak işaretlemesi ya da otomatik görevlere açıkça izin vermesiyle bu tetikleyici devreye giriyor. Komut, yükü bir yazı tipi dosyası gibi kamufle ediyor—örneğin, public/fonts/fa-solid-400.woff2. Oysa bu dosya sadece JavaScript kodu barındırıyor. Geliştiricilerin bu tür kamufle edilmiş dosyalara karşı daha dikkatli olması gerekmez mi?

Söz konusu npm paketleri olan html-to-gutenberg ve bağımlısı olan fetch-page-assets, 25 Mayıs 2026 tarihinde npm platformuna yüklendi. Neyse ki, bu paketler şu an itibarıyla kayıt defterinden indirilmeye kapatılmış durumda. Bu tür olaylar, açık kaynak ekosisteminin zayıf noktalarını bir kez daha gözler önüne seriyor.

Kripto Hırsızlığından Daha Fazlası: InvisibleFerret’in Pençesi

JavaScript zararlı yazılımının yazı tipi dosyası olarak gizlenmesi ve VS Code’daki otomatik çalışma görevinin kötüye kullanılması, daha önce Kuzey Kore merkezli siber saldırı gruplarına atfedilen yöntemlerle büyük benzerlik gösteriyor. OpenSourceMalware ekibi, bu aktiviteyi “Fake Font” takma adıyla takip ediyor ve bunu, yazılım geliştiricilerini ve teknik personeli sahte iş görüşmeleri yoluyla hedef alan uzun soluklu “Contagious Interview” kampanyasının bir varyantı olarak tanımlıyor. Bu, 2023’ten bu yana devam eden kampanyanın üçüncü alt harekatı olma özelliği taşıyor.

Güvenlik araştırmacısı Paul McCarty’nin Ocak ayında belirttiği gibi, “Fake Font” kampanyası, nihayetinde InvisibleFerret adlı Python arka kapısını konuşlandıran çok aşamalı bir yükleyici sunuyor. Bu arka kapı, kurbanların kripto para cüzdanlarını ve tarayıcı kimlik bilgilerini çalmakla kalmıyor, aynı zamanda bulaşan sistem üzerinde kalıcı erişim de sağlıyor. Sisteme sızan saldırganlar, Socket.io tabanlı bir arka kapı aracılığıyla uzaktan kontrol elde ediyor. Bu backdoor, sızılan makine üzerinde geniş yetenekler sunar:

• Kabuk yürütme (shell execution)
• Pano içeriğini toplama (clipboard harvesting)
• Dosya sistemi işlemleri
• Dosya yükleme
• Süreç yönetimi
• Ve diğer rastgele komut yürütme yetenekleri

“Geliştirme araçlarının ve ekosistemlerin karmaşıklığı arttıkça, saldırganlar için yeni ve daha sinsi saldırı vektörleri ortaya çıkıyor. Bu, sadece bir paketin ele geçirilmesinden çok daha fazlası; bu, geliştiricilerin güven duyduğu temel araçlara yapılan bir saldırı.”

Bu yetenekler, saldırganlara ele geçirdikleri sistem üzerinde tam hakimiyet sağlayarak, hassas verilerin çalınmasından daha geniş çaplı ağ saldırılarına kadar her türlü kötü niyetli aktiviteyi gerçekleştirmelerine olanak tanıyor. Yazılım geliştiricilerin çalışma ortamları, son yıllarda neden bu denli cazip bir hedef haline geldi?

Blockchain Üzerinden Gizlenen Tehdit ve Arka Plan

Sahte yazı tipi dosyası, bir “ölü bırakma çözücü” (dead drop resolver) olarak blockchain altyapısını kullanarak, TronGrid ve bir yedek mekanizma olarak Aptos’a dayanıyor. Bu sayede, bir sonraki aşama JavaScript yükünü elde ediyor. Bu yöntem, saldırganların altyapılarının çökertilme çabalarına karşı oldukça dirençli olmasını sağlıyor. Zira blockchain üzerindeki verileri kaldırmak, merkezi bir sunucuyu kapatmaktan çok daha zordur.

JavaScript aşaması da benzer bir ölü bırakma alma modelini tekrarlayarak, dosya yüklemelerine ve Python zararlı yazılımı dağıtımına olanak tanıyan bir komuta-kontrol (C2) sunucusu yapılandırıyor. Bu çok aşamalı ve dirençli yapı, saldırının tespitini ve durdurulmasını zorlaştırıyor. Geliştiricilerin kullandığı üçüncü taraf kütüphanelerin ve araçların güvenlik denetimi, bu tür karmaşık saldırılar karşısında ne kadar etkili olabilir?

Türkiye’deki yazılım geliştirme ekosistemi de hızla büyüyor ve bu tür küresel saldırılardan muaf değil. Özellikle kripto para birimlerinin popülaritesi ve hızla artan yazılımcı sayısı göz önüne alındığında, yerel şirketler ve bireysel geliştiriciler de bu tür sofistike tehditlere karşı benzer riskler taşıyor. Bu durum, Türkiye’nin siber güvenlik stratejilerinde tedarik zinciri saldırılarına daha fazla odaklanması gerektiğinin açık bir göstergesidir.

Bu Geliştirme Ortamı Tehditleri Sizi Nasıl Etkiler?

Bu saldırı türü, geliştiricilerin sadece yazdıkları kodun değil, kullandıkları araçların ve bağımlılıkların da güvenlik risklerini taşıdığını net bir şekilde ortaya koyuyor. Özellikle açık kaynaklı projelerde, paket bağımlılıkları üzerinden sızabilecek kötü amaçlı kodlara karşı ekstra uyanık olmak gerekiyor. Peki, bireysel geliştiriciler ve kurumsal yazılım ekipleri bu yeni nesil tehditlere karşı nasıl bir duruş sergilemeli?

Öncelikle, VS Code kullanıcıları, çalışma alanlarını açarken otomatik görevlerin tetiklenmesi konusunda daha dikkatli olmalıdır. Güvenilmeyen bir proje klasörünü açmadan önce, görev ayarlarını ve .vscode/tasks.json dosyalarını manuel olarak incelemek hayati önem taşır. Ayrıca, kullanılan tüm npm ve Go paketlerinin kaynaklarını doğrulamak ve mümkünse paket bütünlüğü kontrollerini uygulamak, zararlı enjeksiyonları erken aşamada tespit etmeye yardımcı olabilir.

İşletmeler için ise, yazılım tedarik zinciri güvenliğini sağlamak amacıyla daha kapsamlı bir strateji geliştirmek elzemdir. Bu, bağımlılık tarama araçları kullanmayı, paketlerin dijital imzalarını kontrol etmeyi ve geliştirme ortamlarını sıkı güvenlik politikalarıyla izlemeyi içerir. Unutmayalım ki, bir saldırganın tek bir zayıf halkayı bulması, tüm sistemi tehlikeye atmak için yeterlidir. Güvenlik, artık sadece son ürünün değil, tüm geliştirme sürecinin ayrılmaz bir parçası olmalı.