Geliştirici araç zincirini hedef alan yeni bir tedarik zinciri saldırısı, popüler bir VS Code eklentisi üzerinden kimlik bilgisi hırsızlığına dönüştü. Etkilenen sürümün rwl.angular-console 18.95.0 olduğu, saldırının özellikle VS Code geliştiricilerini hedef aldığı ve olayın Mayıs 2026 ortasında ortaya çıktığı bildiriliyor. Saldırı, eklenti açılır açılmaz zararlı bir yükün indirilip çalıştırılmasıyla ilerliyor; bu da kurumsal geliştirme ortamlarında hem kaynak kodu hem de bulut erişim anahtarları açısından ciddi risk yaratıyor.
İlk bulgulara göre etki alanı yalnızca VS Code ile sınırlı değil; Cursor ve JetBrains tabanlı editörlerde kullanılan benzer geliştirme iş akışları da dolaylı olarak risk altında olabilir. Ancak Open VSX sürümünün bu olaydan etkilenmediği belirtiliyor. Bu ayrım, geliştiricilerin hangi eklenti deposunu kullandığının tedarik zinciri güvenliği açısından ne kadar kritik olduğunu bir kez daha gösteriyor.
Saldırı Zinciri Nasıl İşledi?
Teknik analizler, saldırganların resmi GitHub deposu içinde gizlenmiş, terk edilmiş bir commit üzerinden 498 KB boyutunda obfuscate edilmiş bir payload çalıştırdığını ortaya koyuyor. Geliştirici herhangi bir workspace açtığında eklenti sessizce bu içeriği çekiyor, ardından Bun JavaScript runtime kurulumunu tetikleyerek gizlenmiş index.js bileşenini devreye alıyor.
Bu aşamadan sonra zararlı yazılım, ortamın saat dilimini kontrol ederek Rusya ve BDT bölgesine ait sistemleri atlamaya çalışıyor. Ardından arka planda ayrık bir süreç olarak çalışıp 1Password kasaları, Anthropic Claude Code yapılandırmaları ve npm, GitHub ile AWS hesaplarına bağlı sırları toplamaya başlıyor. Veri sızıntısı için HTTPS, GitHub API ve DNS tunneling gibi birden fazla kanal kullanılması, klasik ağ izleme yöntemlerini zorlaştırıyor.
Bu davranış zinciri, MITRE ATT&CK açısından T1195 (Supply Chain Compromise), T1059 (Command and Scripting Interpreter), T1041 (Exfiltration Over C2 Channel) ve T1001 (Data Obfuscation) teknikleriyle ilişkilendirilebilir. Ayrıca macOS sistemlerde Python tabanlı bir arka kapı kurulduğu ve GitHub Search API’nin komut alma mekanizması olarak kullanıldığı aktarılıyor.
Hangi Kimlik Bilgileri Hedefte?
Saldırının en kritik yönü, yalnızca tek bir oturum bilgisini değil, geliştirici ekosisteminin tamamını hedeflemesi. Elde edilen sırlar arasında npm yayın token’ları, GitHub erişim bilgileri, AWS anahtarları, SSH anahtarları ve 1Password kasalarına erişebilecek veriler bulunuyor. Bu durum, bir geliştirici hesabının ele geçirilmesinin kısa sürede CI/CD boru hatlarına, paket yayın süreçlerine ve bulut altyapısına sıçrayabileceği anlamına geliyor.
Özellikle OIDC tabanlı npm token’larının çalınması, saldırganın aşağı yönlü paketlere geçerli ve imzalı görünen provenance kayıtları ekleyebilmesine kapı aralıyor. Bu da kurumsal güven zincirinde çok daha inandırıcı görünen kötü amaçlı paketlerin yayınlanması riskini artırıyor. Sigstore, Fulcio ve SLSA provenance desteğinin kötüye kullanılması, yazılım tedarik zinciri güvenliğinde son dönemde öne çıkan en tehlikeli taktiklerden biri olarak değerlendiriliyor.
Kurumsal Ortamlarda Olası Etki
Bu tür bir olay, bir SaaS sağlayıcısında yalnızca bir geliştirici dizüstü bilgisayarının etkilenmesiyle sınırlı kalmaz. Aynı makinede saklanan GitHub token’ları, bulut erişim anahtarları veya Kubernetes sırları varsa saldırgan bunları kullanarak staging ortamlarına, container registry’lere ya da üretim CI ajanlarına geçiş yapabilir. Bu nedenle olay müdahale ekipleri yalnızca endpoint temizliği değil, IAM politikaları, secret rotation ve ağ segmentasyonu açısından da hızlı hareket etmelidir.
Kurumsal SOC ekipleri için en önemli sinyal kaynakları; EDR telemetrisi, GitHub audit log’ları, npm yayın geçmişi, DNS sorgu kayıtları, proxy log’ları ve macOS LaunchAgents izleridir. Özellikle beklenmedik Bun kurulumu, şüpheli Python süreçleri, GitHub API’ye olağandışı erişimler ve kısa aralıklarla yapılan dış bağlantılar dikkatle incelenmelidir.
Yapılan Güncellemeler ve Etki Alanı
Geliştirici ekibi, etkilenen sürümün 18.100.0 ve sonrasına yükseltilmesini öneriyor. Ayrıca 18.95.0 sürümünün 18 Mayıs 2026 günü CEST saat diliminde kısa bir zaman aralığında dağıtıldığı, bu pencere içinde kurulum yapan kullanıcıların risk altında olabileceği belirtiliyor. Etkilenen sistemlerde ~/.local/share/kitty/cat.py, ~/Library/LaunchAgents/com.user.kitty-monitor.plist, /var/tmp/.gh_update_state ve /tmp/kitty-* gibi dosyaların varlığı IOC olarak öne çıkıyor.
Ayrıca çalışan süreçler arasında cat.py çalıştıran bir Python örneği veya ortam değişkenlerinde __DAEMONIZED=1 bulunan bir süreç tespit edilirse, bu durum daha derin bir bulaşma ihtimaline işaret ediyor. Etkilenen kullanıcıların yalnızca ilgili süreçleri sonlandırması yeterli değil; disk üzerindeki kalıntıları silmesi ve erişilebilen tüm sırları döndürmesi gerekiyor.
SOC ve Sistem Yöneticileri İçin Pratik Kontrol Listesi
1. VS Code, Cursor ve JetBrains eklenti envanterini gözden geçirerek yalnızca doğrulanmış kaynaklardan kurulum yapıldığını doğrulayın.
2. GitHub, npm, AWS ve 1Password için tüm erişim token’larını ve SSH anahtarlarını zorunlu rotasyona alın.
3. EDR üzerinde Bun runtime, obfuscate edilmiş JavaScript ve beklenmedik Python süreçleri için özel algılama kuralları oluşturun.
4. DNS tunneling belirtileri için resolver log’larını ve proxy kayıtlarını inceleyin; kısa aralıklarla tekrarlanan alan adlarını işaretleyin.
5. GitHub audit log’larında beklenmeyen workflow çalıştırmaları, contributor yetkileri ve orphan commit hareketlerini kontrol edin.
6. macOS sistemlerde LaunchAgents, cron benzeri kalıcılık mekanizmaları ve geçici dizinlerdeki şüpheli dosyaları tarayın.
7. CI/CD ortamlarında dependency confusion riskini azaltmak için private registry önceliklerini ve paket çözümleme kurallarını sıkılaştırın.
8. Olay müdahale planına, geliştirici uç noktalarından gelen secret sızıntısı senaryolarını ve bulut IAM kilitleme adımlarını ekleyin.
Nx Ekosisteminde İkinci Büyük Tedarik Zinciri Vakası
Bu olay, Nx ekosisteminin bir yıl içinde ikinci kez hedef alınması nedeniyle ayrıca önem taşıyor. 2025 Ağustos’unda da bazı npm paketleri, s1ngularity adı verilen bir kampanyanın parçası olarak kimlik bilgisi hırsızlığına maruz kalmıştı. Son vakada ise saldırı doğrudan VS Code eklentisi üzerinden ilerledi ve geliştirici iş akışının merkezine yerleşti.
Yapılan son değerlendirmeler, kötü amaçlı sürümün ilk etapta sınırlı sayıda kurulumla görünmesine rağmen gerçek etki alanının daha geniş olabileceğini gösteriyor. Analizlerde, yalnızca VS Code kaynaklı kurulumların sayısının binlerle ifade edilebileceği, Open VSX tarafında ise daha düşük ama yine de kayda değer bir dağılım görüldüğü aktarılıyor.
Benzer Paketler ve Genişleyen Tehdit Yüzeyi
Aynı dönemde açık kaynak depolarında tespit edilen başka kötü amaçlı npm paketleri de saldırı yüzeyinin ne kadar genişlediğini ortaya koyuyor. Bazı paketler Claude Code oturumlarını hedefleyen gizli ELF ikilileri içerirken, bazıları SSH anahtarları, AWS kimlik bilgileri, Kubernetes sırları, .env dosyaları ve tarayıcı cüzdan verilerini toplamaya odaklanıyor. Başka örneklerde ise Telegram tabanlı C2 altyapısı, sahte SDK görünümlü paketler veya tarayıcı çerez hırsızları öne çıkıyor.
Bu tablo, yazılım tedarik zincirinde yalnızca zararlı kodu değil, yayın sürecinin güvenini de hedef alan daha sofistike bir tehdit modeline işaret ediyor. Kurumlar için en sağlıklı yaklaşım; paket doğrulama, imza kontrolü, bağımlılık kilitleme, ağ segmentasyonu ve sıfır güven (Zero Trust) ilkelerini birlikte uygulamak. Özellikle e-posta güvenliği, bulut güvenliği ve olay müdahale süreçleri bu tür saldırılara karşı tek başına değil, bütüncül şekilde ele alınmalı.
Teknik Özet
Hedef: VS Code geliştiricileri, Nx ekosistemi kullanıcıları ve açık kaynak paket tüketen kurumsal ekipler.
Yöntem: Terk edilmiş commit üzerinden zararlı payload, obfuscation, Bun runtime kurulumu, Python arka kapı, GitHub Search API kötüye kullanımı.
Veri Hırsızlığı: npm, GitHub, AWS, 1Password, SSH anahtarları ve geliştirici sırları.
Önerilen savunma: Token rotasyonu, EDR avcılığı, GitHub audit incelemesi, DNS ve proxy log analizi, paket doğrulama, CI/CD sertleştirme, ağ segmentasyonu.
Bu tür olaylar, yazılım geliştirme ortamlarının artık yalnızca kod yazılan yerler değil, aynı zamanda yüksek değerli kimlik bilgileri ve üretim erişimlerinin toplandığı kritik alanlar olduğunu gösteriyor. Bu nedenle geliştirici uç noktaları, kurumsal güvenlik mimarisinin geri kalanıyla aynı seviyede korunmalı.