Yeni npm Zararlı Yazılımı, Kurulum Betiği Savunmalarını Nasıl Aşıyor?

Yazılım tedarik zinciri saldırıları, özellikle npm ekosisteminde yeni bir boyut kazanıyor. Yakın zamanda keşfedilen bir npm zararlı yazılımı, geleneksel kurulum betiklerine odaklanan güvenlik önlemlerini etkisiz hale getirerek, kötü amaçlı yükünü kütüphane fonksiyonlarının derinliklerine gizlemeyi başardı. Bu yöntem, milyonlarca indirmeye ulaşan paketlerin, fark edilmeden sistemlere sızmasına olanak tanıdı ve yazılım geliştiricileri için yeni bir endişe kaynağı oluşturdu.

Tedarik Zinciri Saldırılarında Taktik Değişimi

Yazılım tedarik zinciri saldırıları, uzun süredir kurulum betikleri üzerinden sistemlere sızma eğilimindeydi. Geliştiricilerin paket bağımlılıklarını kurarken çalışan preinstall veya postinstall gibi betikler, kötü niyetli kodların devreye alınması için kolay bir yol sunuyordu. Ancak npm’in Haziran ayında yaşam döngüsü betikleri üzerindeki kontrolleri sıkılaştırmasıyla, saldırganlar yeni ve daha sinsi yöntemlere yöneldi. İşte tam bu noktada “indexed-btree” adlı kötü amaçlı paketin ortaya çıkışı, sektördeki güvenlik anlayışını derinden sarsıyor.

Bu yeni yaklaşım, zararlı yükü doğrudan paketin çekirdek çalışma zamanı koduna entegre ediyor. Geleneksel güvenlik tarayıcılarının sıklıkla gözden kaçırdığı bu yöntem, paketlerin normal işlevselliği içine gizlenmiş kötü amaçlı bir sürpriz barındırıyor. Geliştiriciler, bu tür bir zararlı yazılımdan korunmak için artık yalnızca kurulum betiklerini kontrol etmekle kalmayıp, aynı zamanda bağımlılıkların çalışma zamanı davranışlarını da çok daha detaylı incelemek zorunda kalacaklar.

Blockchain Destekli Komuta Kontrol ve Veri Sızdırma

“indexed-btree” zararlı yazılımı, kötü amaçlı kodunu paketin BTree.prototype.set adı verilen bir çalışma zamanı yöntemine gömüyor. Bu yöntem belirli bir anahtar değerini aldığında, gizlenmiş ilk aşama yükleyiciyi bağımsız bir Node.js süreci olarak başlatıyor. Başlatıldıktan sonra, yükleyici ana bilgisayarı parmak izi gibi tarayarak işletim sistemi mimarisi, ana bilgisayar adı, CPU, bellek ve çalışma süresi gibi kritik bilgileri topluyor.

Toplanan veriler, doğrudan kod içine sabitlenmiş Slack kanalları ve Telegram sohbetleri aracılığıyla sızdırılıyor. Saldırganlar, komuta ve kontrol (C2) sunucusu adresini Sepolia Ethereum test ağındaki bir akıllı sözleşmeye gizleyerek geleneksel C2 yaklaşımlarına göre çok daha dirençli bir yapı kurmuş. Akıllı sözleşme, zararlı yazılımın sorguladığı alıcı ve ayarlayıcı işlevler sunuyor, bu sayede eski adresin devre dışı kalması durumunda yeni bir adrese yönlendirme yaparak kesintisiz iletişim sağlıyor. Zincirin ilerleyen aşamalarında ise zararlı yazılım, blok zincirinden alınan bir genel anahtarla ortak bir gizli anahtar oluşturmak için kriptografik anahtarlar üretiyor. Bu gizli anahtar, akıllı sözleşmedeki iki şifreli bölümden ikinci aşama yükleyicisini açmak için kullanılıyor. Güvenlik araştırmacıları ikinci aşama yükleyicisinin ne yaptığını tam olarak belirtmese de, zararlı yazılımın kendisini temizleme yeteneğine sahip olduğu, kötü amaçlı dosyaları ve tetikleyici kodu ana prototip işlevinden silme işlevselliği içerdiği biliniyor.

Milyonlarca İndirmeye Ulaşan Geniş Kapsamlı Saldırı

Bu zararlı yazılım kampanyasının arkasındaki operatörler, ekosistemi meşru göstermek için büyük çaba sarf etmişler. GitHub üzerinde çok sayıda taahhüt içeren depolar sürdürürken, kötü amaçlı kodun kendisini depolardan uzak tutmuşlar. İlişkili GitHub hesabı bile yapay zeka tarafından oluşturulmuş bir profil resmi kullanmış. “indexed-btree” adlı kötü amaçlı paket, 3 Eylül 2026’da kayıt defterinden kaldırılmadan önce haftada yaklaşık 2 milyon kez indirilmişti. Bu durum, ilk kötü amaçlı sürümün yayınlanmasından yaklaşık 11 hafta sonra gerçekleşti.

Güvenlik araştırmacıları, bu kampanyaya bağlı dokuz farklı npm paketini daha tespit etti. Bu paketler arasında “ordered-kv-index”, “btree-leaderboard”, “priority-slot-queue”, “btree-range-store”, “btree-core”, “btree-time-index”, “btree-lru-cache”, “neighbor-key-map” ve “sliding-score-window” bulunuyor. Bu paketlerin birçoğu yüz binlerce indirmeye sahipken, “btree-core” adlı paket 1.9 milyondan fazla indirilmişti. Bu durum, saldırının ne denli geniş bir kitleye ulaştığını ve yazılım tedarik zinciri güvenliğinin ne kadar kritik olduğunu bir kez daha ortaya koyuyor.

Geliştiriciler İçin Yeni Güvenlik Önlemleri ve Farkındalık

Bu tür sofistike saldırılar karşısında geliştiricilerin artık sadece paketlerin kurulum betiklerini değil, çalışma zamanı davranışlarını da dikkatlice incelemesi gerekiyor. Güvenlik ekipleri, Checkmarx gibi kuruluşlar tarafından sağlanan ihlal göstergelerini (IOC) aktif olarak izlemeli ve tespit sistemlerine entegre etmelidir. Bağımlılık analiz araçları, artık sadece bilinen güvenlik açıklarını değil, aynı zamanda şüpheli çalışma zamanı dinamiklerini de belirleyebilecek kapasitede olmalıdır. Paketlerin popülaritesi, tek başına bir güven göstergesi olmaktan çıkmış, aksine geniş kitlelere ulaşan zararlı yazılımların potansiyelini de ortaya koymuştur.

Derinlemesine kod incelemesi ve sürekli izleme mekanizmaları, bu yeni nesil tehditlere karşı en önemli savunma hattını oluşturacaktır. Otomatik güvenlik tarayıcılarının dahi atlatılabildiği bir ortamda, insan analizi ve şüpheli davranışlara karşı artırılmış hassasiyet büyük değer taşımaktadır. Ayrıca, açık kaynaklı bağımlılıkların kullanımı sırasında, sadece en popüler veya en çok indirilen paketlere güvenmek yerine, topluluk desteğini, bakım sıklığını ve güvenlik denetimlerini de göz önünde bulundurmak hayati önem taşımaktadır.

Yazılım Tedarik Zincirinin Geleceği: Sürekli Savunma Evrimi

Bu olay, yazılım tedarik zinciri güvenliği alanında bir dönüm noktası olarak değerlendirilebilir. Zararlı yazılımların geleneksel savunma mekanizmalarını aşmak için sürekli olarak yeni yöntemler geliştirmesi, sektördeki tüm paydaşları daha proaktif ve kapsamlı güvenlik stratejileri benimsemeye itiyor. Blockchain teknolojisinin C2 sunucularını gizlemek için kullanılması gibi yenilikçi yaklaşımlar, siber güvenlik araştırmacılarının ve yazılım geliştiricilerinin sürekli tetikte olmasını gerektiriyor.

Buradaki asıl mesele, yalnızca mevcut güvenlik açıklarını kapatmak değil, aynı zamanda gelecekteki olası saldırı vektörlerini tahmin edip bunlara karşı önlemler alabilmektir. Bu, hem güvenlik araçlarının evrimini hem de geliştirici topluluğunun güvenlik bilincini artırmayı zorunlu kılıyor. Yazılım tedarik zincirinin geleceği, teknolojik yeniliklerle birlikte güvenlik mimarilerinin de eş zamanlı olarak gelişmesine bağlı olacaktır. Aksi takdirde, milyonlarca kullanıcıya ulaşan paketler üzerinden gerçekleşen bu tür sofistike saldırılar, yazılım dünyasını daha kırılgan hale getirebilir.