Güvenlik araştırmacıları, geçtiğimiz günlerde 42 farklı üçüncü taraf GitHub deposunun siber saldırganlar tarafından hedef alındığını ve ele geçirildiğini duyurdu. JFrog Security Research ekibinin raporuna göre saldırganlar, GitHub’ın standart arama motoru ve API yolları tarafından tespit edilmesini engellemek amacıyla 13,7 MB boyutuna ulaşan oldukça büyük veri blokları (payload) kullandı. Bu strateji, depo içerisindeki zararlı dosyaların geleneksel tarama yöntemlerinden kaçmasını sağladı. Söz konusu saldırılar, yapay zeka kodlama asistanları ve entegre geliştirme ortamlarına (IDE) yönelik kanca işlevlerini (execution hooks) manipüle ederek, geliştiricilerin sistemlerine sızmayı amaçlayan karmaşık bir tedarik zinciri saldırısını gözler önüne serdi.
- Saldırganlar, GitHub arama mekanizmalarının boyut sınırlarını aşan büyük dosyalar kullanarak güvenlik taramalarını atlattı.
- Ele geçirilen depolar, Claude, Gemini ve Cursor gibi yapay zeka araçlarına yönelik zararlı yapılandırma kancaları içeriyordu.
- Saldırı zinciri, npm paketleri üzerinden kimlik bilgisi hırsızlığı ve CI/CD süreçlerinin zehirlenmesi ile devam etti.
- Güvenlik uzmanları, geliştiricilerin tüm geliştirme ortamı kimlik bilgilerini sıfırlamalarını ve depolarını derinlemesine incelemelerini tavsiye etti.
Saldırı Yöntemleri Gelişmiş Teknikler İçeriyor
Saldırının merkezinde, geleneksel “kurulum zamanlı” taramaların ötesine geçen oldukça sinsi bir yöntem yer alıyor. Araştırmacılar, saldırganların bir dosyanın çalıştırılması için sadece bir klasörün açılmasının yeterli olduğu bir tetikleme mekanizması kurduğunu belirtiyor. Bu durum, özellikle .claude/settings.json gibi dosyaların modern geliştirme araçlarında adeta eski dönemlerin “autorun.inf” dosyaları gibi çalıştığını kanıtlıyor.
Saldırganlar tarafından kullanılan .napi_cache adlı dosya, şifreli veriyi çalışma zamanında çözen ve kendi başına hiçbir zararlı yük taşımayan native bir eklenti olarak tasarlandı. Bu yöntem, statik analiz araçlarının zararlı içeriği fark etmesini imkansız hale getiriyor. Ayrıca, saldırganların Windows işletim sistemlerinde Wireshark veya Process Monitor gibi araçların çalıştığını algıladığında faaliyetlerini durdurması, saldırının ne kadar profesyonelce kurgulandığını gösteriyor.
Güvenlik Önlemleri Acilen Alınmalı
JFrog ekibi, bu tür saldırılara maruz kalan kurumların sadece bir paket yüklemesini değil, tüm sunucu ve geliştirici ortamını ele geçirilmiş olarak kabul etmesi gerektiğini vurguluyor. Güvenlik yöneticilerinin; GitHub, npm, PyPI ve bulut hizmetleri gibi tüm kritik platformlardaki kimlik bilgilerini derhal değiştirmeleri büyük önem arz ediyor.
Bunun yanı sıra, geliştiricilerin .github/init.js, .cursor/rules/setup.mdc ve .vscode/tasks.json gibi dosyaları kontrol ederek yetkisiz yapılandırmaları temizlemeleri gerekiyor. GitHub’ın standart arama motoruna güvenmek yerine, depo ağaçlarının doğrudan taranması ve şüpheli commit geçmişlerinin detaylı incelenmesi hayati bir savunma stratejisi olarak öne çıkıyor.
Yapay Zeka Araçları Yeni Bir Risk Alanı Oluşturuyor
Uzmanlar, yapay zeka kodlama asistanlarının popülaritesinin artmasıyla birlikte, bu araçların yapılandırma dosyalarının saldırganlar için yeni bir odak noktası haline geldiğine dikkat çekiyor. Bir yazılımcının projesini sadece bir editörde açması, saldırganın hazırladığı zararlı komutların tetiklenmesine neden olabiliyor. Bu yeni nesil saldırı modeli, yazılım geliştirme süreçlerinde kullanılan yardımcı araçların artık birer güvenlik riski olarak değerlendirilmesi gerektiğini hatırlatıyor.
Sizce geliştirme ortamlarında kullanılan yapay zeka araçları ve bunların yapılandırma dosyaları, yazılım güvenliği açısından yeterince korunuyor mu? Benzer bir siber güvenlik olayıyla karşılaştıysanız veya bu tür saldırıları önlemek için farklı yöntemler uyguluyorsanız, düşüncelerinizi yorum kısmında bizimle paylaşabilirsiniz.
