Saldırının Genel Çerçevesi
Son dönemde tespit edilen yeni bir tedarik zinciri solucanı, npm paketlerini hedef alarak geliştirici tokenlarını ele geçirmeye başladı. Hem Socket hem de StepSecurity tarafından fark edilen bu tehdit, çalınan verilerin dışa aktarımı için ICP (Inter-Canister Protocol) kanisteri kullanıyor. Bu teknik, saldırganların veri sızıntısını gizli ve etkili şekilde gerçekleştirmesine olanak tanıyor.
CanisterSprawl olarak adlandırılan bu kampanya, özellikle yazılım geliştirme süreçlerinde kullanılan paket yöneticilerini ve açık kaynak bileşenlerini hedef alıyor. Bu durum, küresel çapta yazılım projelerinde çalışan geliştiriciler ve kurumları doğrudan etkiliyor.
Saldırı Zinciri ve Teknik Detaylar
Saldırı, öncelikle npm paketlerine kötü amaçlı kod enjekte edilmesiyle başlıyor. Bu kod, MCP (Malicious Code Payload) istemcisi aracılığıyla geliştirici makinelerinde çalıştırılıyor. Ardından, AsyncRAT benzeri uzaktan erişim araçları kullanılarak tokenlar ve kimlik bilgileri toplanıyor. Veri dışa aktarımı için ise ICP kanisterleri kullanılıyor; bu, saldırganların C2 (Command and Control) iletişimini gizlemesine yardımcı oluyor.
Bu saldırı zincirinde, özellikle IAM (Identity and Access Management) zafiyetlerinden faydalanıldığı ve MFA (Multi-Factor Authentication) eksikliklerinin istismar edildiği gözlemleniyor. Ayrıca, konteyner ortamlarında rastgele açılan SSH portları üzerinden lateral hareketler gerçekleştirilebiliyor.
Sistem Yöneticileri ve SOC Ekipleri İçin Öneriler
- npm paketlerinin bütünlüğünü düzenli olarak doğrulayın ve güvenilir kaynaklardan indirin.
- EDR çözümlerinde CanisterSprawl gibi tedarik zinciri tehditlerine yönelik özel kurallar oluşturun.
- Geliştirici tokenlarının kullanımını IAM politikalarıyla sınırlandırın ve MFA zorunlu kılın.
- SIEM sistemlerinde ICP protokolü üzerinden yapılan anormal veri transferlerini izleyin.
- Firewall ve ağ segmentasyonu ile konteynerlerin SSH portlarını sıkı kontrol altında tutun.
- Olay müdahale planlarında tedarik zinciri saldırılarına yönelik senaryoları dahil edin.
- Geliştirici ortamlarında loglama seviyesini artırarak şüpheli aktiviteleri erken tespit edin.
- E-posta güvenliği çözümleriyle phishing ve sosyal mühendislik saldırılarına karşı koruma sağlayın.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir SaaS sağlayıcısında kullanılan npm paketlerine kötü amaçlı kod enjekte edildiğinde, geliştirici makinelerindeki tokenlar çalınabilir. Bu tokenlar, bulut ortamındaki kaynaklara erişim için kullanılabilir ve fidye yazılımı gibi daha karmaşık saldırıların kapısını aralayabilir. Bu nedenle, bulut güvenliği ve ağ segmentasyonu stratejilerinin gözden geçirilmesi kritik önem taşıyor.