OrtaII Siber Savaş ve Kritik Altyapı26 Ekim 2026, Pazartesi
Solucan 42 GitHub deposunu aşırı büyük dosyayla gizlenerek silahlandırdı
JFrog 26 Ekim'de, npm üzerinden yayılan bir solucanın 11 ayrı sahibe ait 42 gerçek GitHub deposuna yerleştiğini bildirdi. Zararlı sarmalayıcılar 12,9–13,7 MB boyutunda tutularak GitHub'ın kod aramasından kaçırılmış.
JFrog araştırmacıları 26 Ekim'de yayımladıkları raporda, npm paket deposu üzerinden yayılan bir solucanın 11 ayrı sahibe ait 42 gerçek GitHub deposuna yerleştiğini yazdı. Operatörün kendi hesabı ayrıca 17 kampanya deposu barındırıyordu. Depoların ele geçirilmesi eylülde başlamış görünüyor.
Kampanyanın ayırt edici yanı boyut. Zararlı sarmalayıcılar 12,9 ile 13,7 MB arasında tutuluyor ve hepsi aynı gizli yayıncı yükünü çözüyor. JFrog'a göre bu şişkinlik, benzeri bulaşmaları ortaya çıkaran GitHub kod arama ve API yollarının devre dışı kalmasını sağladı.
Depolara yapay zekâ kodlama yardımcıları ve geliştirme ortamları için çalıştırma kancaları, yani araç her açıldığında kendiliğinden kod yürüten ayar dosyaları bırakılmış. Yükleyici çalışmadan önce sanal makine, konteyner ve hata ayıklayıcı arıyor, bulursa sessizce çıkıyor. Solucan kimlik bilgisi topluyor ve çalınan GitHub jetonu iptal edilirse kurbanın ev dizinini silen bir bileşen taşıyor.
Talay değerlendirmesi
Sonuç
Kampanya yeni bir açık kullanmıyor, tarama altyapısının boyut sınırını kullanıyor. Yükü 13 MB'a şişirmek, savunmayı imza kalitesinden değil ölçek kısıtından düşürüyor; bu yapısal bir boşluk ve yama ile kapanmıyor. Hedefin geliştirici makinesi ve sürekli tümleştirme hattı olması, tek bulaşmanın aşağı akıştaki paketlere yayılabileceği anlamına geliyor. Jeton iptalini silmeyle cezalandıran bileşen ise kurbanı temizlik yapmaktan caydırmak için tasarlanmış.
Olası etkiler
- Paket deposu denetimiOlumsuzOrta vade
Kod arama ve API yollarının büyük dosyaları atlaması, tarama tabanlı tespitin boyut eşiğine bağlı kaldığını ve kolayca aşıldığını gösteriyor.
- Geliştirici araç zinciriOlumsuzKısa vade
Yapay zekâ kodlama yardımcılarının ayar dosyalarına kanca bırakılması, depo klonlayan her geliştiriciyi doğrudan yürütme hedefine dönüştürüyor.
- Olay müdahalesiOlumsuzKısa vade
Çalınan jetonun iptali ev dizinini silen bileşeni tetiklediği için kurumlar temizlik sırasını yanlış kurarsa veri kaybediyor.
İhtimaller
- 1Depolar boyut kuralı getirir%40
GitHub ve npm tarama kapsamını büyük dosyalara genişletir ya da yayın öncesi boyut denetimi ekler.
İzlenecek: GitHub ya da npm'den kod arama kapsamına dair duyuru
- 2Kampanya yayılmayı sürdürür%40
Aynı operatör yeni paket adlarıyla devam eder ve ele geçen depo sayısı kasımda artar.
İzlenecek: JFrog ya da SafeDep'ten güncellenmiş depo sayısı
- 3Aşağı akışta kurban çıkar%20
Ele geçen depolardan biri yaygın bir paketi besler ve ikincil bir tedarik zinciri olayı açıklanır.
İzlenecek: Popüler bir npm paketinde zehirli sürüm bildirimi
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Silahlandırılan depo▼ 42 depo
- Etkilenen depo sahibi▼ 11 sahip
- Sarmalayıcı boyutu▼ 12,9–13,7 MB
- Operatörün deposu▼ 17 depo