npm ekosisteminde haftalık 2 milyardan fazla indirilen 20 popüler paket, karmaşık bir tedarik zinciri saldırısının hedefi oldu. Saldırı, npm bakımcısı Josh Junon’a (Qix) gönderilen sahte bir e-posta yoluyla iki faktörlü kimlik doğrulama (2FA) bilgilerini ele geçirmeye yönelikti. Bu oltalama saldırısı sonucunda, kötü amaçlı yazılım npm kayıt defterine yayıldı.

Hedef Paketler ve Saldırının Detayları

Etki altındaki paketler arasında ansi-regex, chalk, debug ve supports-hyperlinks gibi yaygın kullanılan kütüphaneler bulunuyor. Saldırganlar, 2FA tokenlarını ve kullanıcı bilgilerini ortadaki adam (AitM) saldırısıyla çalarak, npm paketlerine zararlı kod enjekte etti. Bu kötü amaçlı yazılım, kripto para işlemlerini izleyip hedef cüzdan adreslerini Levenshtein mesafesi hesaplayarak saldırganın kontrolündeki adreslerle değiştiriyor.

Tarayıcı Tabanlı Kötü Amaçlı Yazılım ve Kripto Hırsızlığı

Aikido Security’den Charlie Eriksen’in analizine göre, zararlı kod tarayıcıda çalışarak ağ trafiğini ve API isteklerini manipüle ediyor. window.fetch, XMLHttpRequest ve window.ethereum.request gibi API’lerle etkileşim kuran bu yazılım, bağlı cüzdanlardan kripto varlıklarını çalıyor. Geliştiriciler doğrudan hedef olmasa da, etkilenen paketleri kullananlar risk altında.

Tedarik Zinciri Saldırılarının Artan Tehdidi

Sonatype ve ReversingLabs verilerine göre, npm ve PyPI gibi paket yönetim sistemleri, popülerlikleri nedeniyle sürekli saldırı altında. Saldırganlar, typosquatting ve yapay zeka destekli slopsquatting yöntemleriyle geliştiricileri yanıltmaya çalışıyor. Bu olay, CI/CD süreçlerinin güçlendirilmesi ve bağımlılıkların sıkı denetlenmesi gerekliliğini bir kez daha ortaya koyuyor.

Ek Paketler ve Saldırının Yayılması

Qix’e yönelik saldırı, başka bir yüksek profilli bakımcı olan duckdb_admin’i de etkiledi. Bu kapsamda @coveops/abi, duckdb ve prebid gibi paketler de ele geçirildi. Saldırganların yaklaşık 600 dolar kazandığı, bunun büyük kısmının Ethereum ve Solana üzerinden gerçekleştiği bildirildi.

Bu gelişmeler, yazılım tedarik zinciri güvenliğinin kritik önemini vurguluyor ve geliştiricilerin, özellikle popüler açık kaynak paketlerinin bakımcılarına yönelik saldırılara karşı daha dikkatli olmalarını gerektiriyor.