GitHub ve npm ekosistemlerini hedef alan Shai-Hulud solucanı, yeni ve çok daha geniş kapsamlı bir saldırı dalgasıyla geri döndü. Eylül 2025’te 180 depoyu etkileyen sınırlı bir kampanya olarak başlayan tehdit, şimdi 19.000’den fazla GitHub deposunu yeniden enfekte ederek endişe verici bir ölçeğe ulaştı. Bu artış, yazılım tedarik zinciri güvenliğine yönelik sistematik tehdidin giderek yoğunlaştığını gösteriyor.
Zararlı Yazılımın Yayılma Mekanizması Değişti
Siber saldırganlar, ele geçirilmiş paket bakımcı hesaplarını kullanarak, orijinal geliştiricilerden geliyormuş izlenimi veren sahte npm paketleri yayınlıyor. Bu paketler, güvenilir kaynak görüntüsü altında yazılım geliştiricileri tarafından indirildiğinde, kimlik bilgilerini ve CI/CD sistemlerine ait hassas yapılandırma sırlarını tarayan bir zararlı yazılım etkinleştiriliyor.
Wiz Threat Research ekibinin açıklamalarına göre saldırı her 30 dakikada 1000 yeni depoyu etkileyecek şekilde hızlanıyor. Ethereum İsim Sistemi ekosisteminden Zapier’e kadar uzanan 700 npm paketinin güvenliği ihlal edildi. Saldırganlar bu kez install lifecycle komut dosyalarını kullanıyor. Yeni payload dosyaları olan setup_bun.js ve bun_environment.js dikkat çekiyor. Zararlı yazılım kimlik doğrulama başarısız olduğunda veya kalıcılık sağlayamadığında, kurbanın ana dizinindeki tüm yazılabilir dosyaları silmeye çalışıyor. Bu agresif davranış saldırının tahrip edici boyutunu gözler önüne seriyor.
Sonatype’ten güvenlik araştırmacısı Garrett Calpouzos, kampanyanın ilginç bir yönünü ortaya çıkardı. Zararlı yazılımın boyutu ve yapısı nedeniyle yapay zeka analiz araçlarını yanılttığını belirtti. ChatGPT ve Gemini’nin dosyayı analiz ederken farklı sonuçlar ürettiğini ifade etti. AI modellerinin şüpheli etki alanı çağrıları gibi belirgin kalıpları aradığını ve bulamadığında dosyayı yanlışlıkla meşru bir oturum yönetim kütüphanesi olarak sınıflandırdığını açıkladı.
Güvenlik uzmanları geliştiricileri derhal harekete geçmeye çağırıyor. Aikido ekibi, kurulu tüm paketlerin güvenliği ihlal edilmiş paket listesiyle karşılaştırılmasını öneriyor. Etkilenen paket versiyonlarının derhal kaldırılması gerekiyor. GitHub hesaplarında “Shai Hulud: The Second Coming” açıklamasına sahip yetkisiz depoların kontrol edilmesi tavsiye ediliyor. Wiz, geliştiricilere GitHub, npm, bulut ve CI/CD sırlarını döndürmelerini öneriyor.
Kurumsal kullanıcılar için CI ortamlarında npm postinstall komut dosyalarının devre dışı bırakılması hayati önem taşıyor. Tüm GitHub ve npm hesaplarında çok faktörlü kimlik doğrulamanın zorunlu kılınması gerekiyor. Temizlendiği doğrulanana kadar otomatik güncellemelerin durdurulması öneriliyor.
Aikido’dan malware araştırmacısı Charlie Eriksen, saldırının zamanlamasının dikkat çekici olduğunu vurguladı. npm’in 9 Aralık’ta klasik token’leri iptal edeceğini duyurmasının ardından saldırganların bu fırsatı değerlendirdiğini ifade etti. Birçok kullanıcının güvenilen yayıncılığa geçiş yapmamış olmasının saldırganlara avantaj sağladığını belirtti.
