npm’de Tespit Edilen IronWorm Zararlısı Geliştirici Hesaplarını Hedef Aldı

npm ekosisteminde ortaya çıkan yeni bir siber saldırı dalgası, 36 paketin zararlı kodla güncellenmesine yol açtı. Güvenlik araştırmacıları, IronWorm adı verilen bilgi hırsızı yazılımın geliştirici ortamlarından kritik erişim bilgilerini toplamaya çalıştığını açıkladı. Erken aşamada fark edilen operasyon, daha popüler paketlere ulaşamadan durduruldu.

Zararlı Yazılım Paketlerden Daha Fazlasını Amaçladı

JFrog tarafından yürütülen teknik inceleme, IronWorm’un Rust programlama dili kullanılarak geliştirildiğini ortaya koydu. Araştırmacılar, zararlının eBPF tabanlı bir çekirdek rootkit ile gizlenmeye çalıştığını belirlerken saldırganlarla Tor ağı üzerinden iletişim kurduğunu da tespit etti. Güvenlik ekipleri, yazılımın yalnızca veri toplamadığını, ele geçirilen hesapları kullanarak yeni enfeksiyon zincirleri oluşturmayı hedeflediğini bildirdi.

Analiz raporları, zararlının npm üzerinde yayımlama yetkisine sahip hesapları özel olarak takip ettiğini gösterdi. Saldırganlar, elde edilen erişim bilgilerini kullanırken mağdurlara ait paketlerin yeni sürümlerine zararlı kod ekleyebiliyor. Bu yöntem, yazılım tedarik zinciri saldırısı senaryolarında görülen en kritik risklerden biri olarak değerlendiriliyor. Araştırmacılar, IronWorm’un toplam 86 farklı ortam değişkenini izlediğini açıkladı. Zararlının ilgi alanında OpenAI, AWS, Anthropic ile npm hesaplarına ait erişim bilgileri yer aldı. İnceleme süreci sırasında yaklaşık 20 farklı kimlik bilgisi dosyasının da hedeflendiği görüldü.

👉️ İlginizi Çekebilir: Red Hat NPM Paketlerinde Kritik Güvenlik İhlali Ortaya Çıktı

Teknik ekipler, geliştirici kimlik bilgileri sızıntısı riskinin özellikle otomasyon altyapılarında ciddi sonuçlar doğurabileceğini vurguladı. Kurumsal sistemlerde kullanılan SSH anahtarları, kasa yapılandırmaları ile kripto para cüzdan dosyaları da zararlının toplamak istediği veriler arasında yer aldı. Bu tablo, npm güvenlik riski konusundaki endişeleri artırdı. JFrog araştırmacıları, kod incelemesi sırasında alışılmış komuta kontrol altyapılarından farklı bir mekanizma keşfetti. Zararlı yazılım, topladığı bilgileri tek bir veri kümesinde birleştirirken bunları sıradan çıktı dosyaları gibi gösteren bir yöntem kullanıyor. Sistem daha sonra ilgili dosyayı GitHub Actions süreçleri üzerinden yapı çıktısı olarak yükleyebiliyor.

Uzmanlar, incelenen kampanyada bu tekniğin aktif olarak kullanılmadığını belirtti. Yine de yaklaşımın, harici sunucularla iletişim kurmadan veri aktarımına imkân tanıması nedeniyle dikkat çekici bulundu. Güvenlik ekipleri, CI/CD sistemleri güvenliği açısından benzer yöntemlerin yakından takip edilmesi gerektiğini ifade etti. Araştırmacılar, saldırının ilk olarak “asteroiddao” isimli ele geçirilmiş bir hesap üzerinden yayıldığını belirledi. Zararlı sürümler içerisinde bulunan Rust tabanlı zararlı yazılım, kurulum aşamasında çalışarak hedef depolara otomatik commit gönderebiliyordu.

İnceleme kayıtları, commit yazarının “claude” adıyla göründüğünü ortaya koydu. Güvenlik uzmanları, bazı kayıtların zaman damgalarının yıllar öncesine ayarlandığını tespit etti. Araştırmacılar, saldırganların inceleme süreçlerini zorlaştırmak amacıyla geçmiş tarihli kayıtlar oluşturmuş olabileceğini değerlendiriyor. Aynı dönemde Endor Labs ile StepSecurity ekipleri de benzer yöntemler kullanan farklı bir JavaScript tabanlı zararlı yazılım kampanyasını takip ettiklerini açıkladı.