Birden fazla güvenlik sağlayıcısı, Shai-Hulud saldırısını anımsatan bir şekilde npm kayıt defterini hedef alan ikinci bir saldırı dalgası konusunda alarm veriyor.
Yeni tedarik zinciri kampanyası Sha1-HuludAikido, HelixGuard, Koi Security, Socket ve Wiz’in raporlarına göre , yüzlerce npm paketini tehlikeye attı.
Wiz araştırmacıları Hila Ramati, Merav Bar, Gal Benmocha ve Gili Tikochinski, “Kampanya, ön kurulum aşamasında kötü amaçlı kod çalıştıran ve derleme ve çalışma zamanı ortamlarındaki potansiyel maruziyeti önemli ölçüde artıran yeni bir varyantı tanıtıyor.” dedi.
Eylül 2025’te ortaya çıkan Shai-Hulud saldırısı gibi, son etkinlik de çalınan sırları bu kez GitHub’da yayınlıyor: “Sha1-Hulud: İkinci Geliş.”
Önceki dalganın özelliği, TruffleHog’un kimlik bilgisi tarayıcısını kullanarak geliştirici makinelerde sırları aramak ve bunları saldırganın kontrolü altındaki harici bir sunucuya iletmek üzere tasarlanmış kötü amaçlı kodları göndermek için meşru paketlerin tehlikeye atılmasıydı.
Enfekte olan varyantlar ayrıca, tehlikeye atılan bakımcının sahip olduğu diğer npm paketlerinde kendisini yeniden yayınlayarak kendi kendini kopyalayan bir şekilde yayılma yeteneğiyle de geldi.
En son saldırılarda, saldırganların package.json dosyasındaki bir ön kurulum komut dosyasına (“setup_bun.js”) eklediği ve bu komut dosyasının Bun çalışma zamanını gizlice yüklemek veya bulmak ve paket halindeki kötü amaçlı bir komut dosyasını (“bun_environment.js”) çalıştırmak üzere yapılandırıldığı tespit edildi.
Kötü amaçlı veri, iki farklı iş akışı aracılığıyla aşağıdaki eylem dizisini gerçekleştirir:
Etkilenen makineyi “SHA1HULUD” adında, şirket içinde barındırılan bir çalıştırıcı olarak kaydeder ve bir enjeksiyon güvenlik açığı içeren ve özellikle kendi kendine barındırılan çalıştırıcılarda çalışan .github/workflows/discussion.yaml adlı bir iş akışı ekleyerek saldırganın, GitHub deposunda tartışmalar açarak virüslü makinelerde rastgele komutlar çalıştırmasına olanak tanır.
GitHub gizli dizileri bölümünde tanımlanan gizli dizileri sızdırır ve bunları bir yapıt olarak yükler, ardından indirilir ve ardından etkinliği gizlemek için iş akışı silinir.
Helixuard, “Yürütme sonrasında kötü amaçlı yazılım, yerel makineyi taramak için TruffleHog’u indirip çalıştırıyor ve NPM Tokenları, AWS/GCP/Azure kimlik bilgileri ve ortam değişkenleri gibi hassas bilgileri çalıyor.” dedi.
Wiz, yaklaşık 350 benzersiz kullanıcıda 25.000’den fazla etkilenen depo tespit ettiğini ve son birkaç saat içinde her 30 dakikada bir 1.000 yeni havuzun tutarlı bir şekilde eklendiğini söyledi.
Wiz, “Bu kampanya, Shai-Hulud isimlendirmesine ve ticari zanaata atıfta bulunarak npm tedarik zinciri uzlaşmaları eğilimini sürdürüyor, ancak farklı aktörleri de kapsayabilir” dedi. “Tehdit, kurulum sırasında kimlik bilgileri hırsızlığı ve sızma kodu yürüten meşru npm paketlerinin truva atı haline getirilmiş sürümlerini yayınlamak için güvenliği ihlal edilmiş bakımcı hesaplarından yararlanıyor.”
Koi Security, ikinci dalgayı çok daha agresif olarak nitelendirdi ve kötü amaçlı yazılımın, kimlik doğrulaması veya kalıcılık sağlayamaması durumunda kurbanın tüm ana dizinini yok etmeye çalıştığını ekledi. Bu, geçerli kullanıcının ana klasörü altında sahip olduğu tüm yazılabilir dosyaları içerir. Ancak, siliciye benzer bu işlevsellik yalnızca aşağıdaki koşullar karşılandığında tetiklenir:
- GitHub’da kimlik doğrulaması yapılamıyor
- GitHub deposu oluşturulamıyor
- GitHub jetonunu getiremiyor
- Bir npm belirteci bulamıyor
Güvenlik araştırmacıları Yuval Ronen ve Idan Dardikman, “Başka bir deyişle, eğer Sha1-Hulud kimlik bilgilerini çalamazsa, jetonları alamazsa veya herhangi bir sızıntı kanalını güvence altına alamazsa, varsayılan olarak felaket düzeyinde veri imhası söz konusu olur” dedi. “Bu, aktörün taktiklerini salt veri hırsızlığından cezai sabotaja kaydırarak, ilk dalgaya göre önemli bir artışa işaret ediyor.”
Tehdidin oluşturduğu riski azaltmak için kuruluşlardan, etkilenen paketlerin varlığı açısından tüm uç noktaları taraması, güvenliği ihlal edilmiş sürümleri anında etkili olacak şekilde kaldırması, tüm kimlik bilgilerini döndürmesi ve shai-hulud-workflow.yml gibi şüpheli dosyalar veya beklenmedik dallar için .github/workflows/ dosyasını inceleyerek kalıcılık mekanizmaları için depoları denetlemesi isteniyor.
(Bu gelişen bir hikayedir ve yeni ayrıntılar ortaya çıktıkça güncellenecektir.)