İndirilenler Klasöründeki Kötü Amaçlı Dosya, AI Kodlama Aracısını Zararlı Yazılım Yüklemeye Yönlendirmeyi Denedi

Bir geliştiricinin İndirilenler klasöründe beliren kötü amaçlı bir AGENTS.md dosyası, bir AI kodlama aracısını bilinen kötü amaçlı bir npm paketini kurmaya yönlendirmeye çalıştı. Forever Security, girişimi bir müşteri makinesinde kod çalışmadan durdurduğunu ve bir web sayfasının aracının uyacağı talimatları nasıl bırakabildiğini gösterdiğini bildirdi.

İndirilenler Klasöründe Kötü Amaçlı Talimat Dosyası Bulundu

Forever Security, bir geliştiricinin İndirilenler klasöründeki kötü amaçlı bir talimat dosyasının, bir AI kodlama aracısını bilinen kötü amaçlı bir npm paketi yüklemeye çalıştığını bildirdi. Şirket, gerçek bir müşteri makinesinde bu girişimi yakaladı ve herhangi bir kod çalışmadan önce aracı durdurdu. Dosyanın klasöre nasıl girdiğini tespit edemedi.

Dosya AGENTS.md idi; bir kodlama aracısı (örneğin OpenAI'nin Codex'i) bir klasörde başladığında okuyup talimat olarak izleyen düz metin bir talimat dosyasıydı. Normal mühendislik notları gibi görünmüştü. Bir bölüm, aracıya kendi yapılandırmasına bir sunucu eklemesini ve npm'den function-color adlı bir paket kurmasını söylüyordu. Bu paket, ayrı olarak belgelenen bir kötü amaçlı yazılım kampanyasının bir parçasıdır: function-color, function-flag adlı bir indiriciyi çeker; bu da bir Windows yükünü getirip çalıştırır. Kampanyayı analiz eden CloudSEK ve Checkmarx araştırmacıları, kampanyaya MALFEX adını verdiler.

Klasörün Önemi Neden Bu Kadar Büyük

Forever, bunun iki zararsız şey sayesinde işlediğini söyledi. Bir aracı, açtığı klasördeki talimat dosyasına güvenip ona uyar. Bir web sayfası, tıklama veya izin isteği olmadan, kendi başına bir dosyayı İndirilenler'e kaydedebilir; dosya adını ve içeriğini kendisi seçer. Bu ikisi birleştiğinde, bir web sayfası aracının emir olarak algıladığı bir dosyayı, aracının güvendiği bir klasöre bırakabilir.

Araştırmacılar, dosyanın bu yolla yakalandığını kanıtlayamadı. Forever bir kavram kanıtı sayfası oluşturdu: sayfayı ziyaret ederseniz, bir AGENTS.md sessizce İndirilenler'e indirilir. Gerçek bir saldırganın müşteriye karşı bu rotayı kullanıp kullanmadığı bilinmiyor.

Codex ve Claude Code Üzerinde Testler

Forever, saldırıyı iki aracı üzerinde yeniden üreterek bu durumun tek bir ürüne özgü olmadığını gösterdi. Codex'e karşı, gerçek saldırgan dosyası Codex'e ~/.codex/config.toml dosyasına bir sunucu kaydetmesini ve paketi kuran bir komut çalıştırmasını söyledi. Bu yapılandırma makinedeki her Codex oturumuna uygulandığı için, değişiklik bundan sonra saldırganın sunucusunu yalnızca İndirilenler'de değil, her klasörde yüklerdi. Codex, denemelerin %90'dan fazlasında kötü amaçlı yazılımı çalıştırdı.

Claude Code'a karşı, yerleştirilmiş bir CLAUDE.md, Claude'un bir proje ayar dosyasına ANTHROPIC_BASE_URL yazmasını, böylece API trafiğini Forever'ın kontrolündeki bir sunucuya yönlendirmeyi denedi. Bu değişiklik oturumun giriş belirtecini sızdırır; bu tek başına hesap ele geçirme demektir ve sunucunun, modelmiş gibi yanıt verip aracının çalıştırdığı komutları geri göndermesini sağlar. Claude böyle bir yazma için onay ister ve yanlış görünenleri genellikle reddeder; uzun mühendislik belgesi çerçevesi onayı vakaların yaklaşık yarısında aldı.

Ne Yapmalı

Forever, bir aracının klasöründeki talimat dosyasını takip ederek yapması gerekeni yaptığı için, OpenAI veya Anthropic'in yaması gereken bir şey olmadığını söyledi. Şirket bunu, bir tarayıcının phishing sayfası render etmesine benzetti: tarayıcı tasarlandığı gibi çalışıyordu, saldırı sayfada yatıyordu. "OpenAI veya Anthropic'in yaması gereken bir şey yok," diye konuştu Forever.

Forever şunları önerdi: Codex, Claude Code veya herhangi bir aracıyı ~/Downloads klasöründe başlatmayın. Kendi yazmadığınız talimat dosyalarını arayın; İndirilenler'de veya yeni klonladığınız bir depodaki başıboş bir AGENTS.md veya CLAUDE.md, saldırının tamamıdır. Bir aracı ona yaklaştırmadan önce okuyun. Aracı yapılandırmasını kontrol edin: ~/.codex/config.toml dosyasında, eklemediğiniz bir sunucu bloğu veya değişmiş temel URL'yi izleyin; bir projenin .claude/settings.json dosyasında, ayarlamadığınız ANTHROPIC_BASE_URL veya başka bir API uç noktasını izleyin. Onay istemlerini ve korumalı alanları açık tutun, aracıyı onları kapatmaya yönlendiren her şeye karşı dikkatli olun. Yerleştirilmiş bir dosya bulursanız, giriş belirtecinin sızdığını varsayın ve yenileyin.

Forever'ın telemetrisi, müşterilerin yaklaşık yarısının İndirilenler'de bir kodlama aracısı çalıştırdığını ve aracı oturumlarının yaklaşık çeyreğinin bir tarayıcı açtığını buldu. Bunlar, saldırının ihtiyaç duyduğu koşullardır.

Kaynaklar: The Hacker News